Une PME de 10 personnes est-elle vraiment une cible ?

Oui, précisément parce qu'elle est moins protégée. Les attaques par rançongiciel sont automatisées et visent tout ce qui est accessible, sans distinction de taille.

L'antivirus gratuit suffit-il ?

Pour un usage personnel, souvent. Pour une entreprise, non : il ne couvre ni les serveurs, ni la supervision centralisée, ni les comportements suspects. Un EDR par poste coûte quelques dinars par mois.

Combien coûte un audit de sécurité pour une PME ?

Une journée d'audit avec plan d'actions se chiffre en général entre 1 500 et 4 000 DT selon la taille de l'infrastructure.

Faut-il une assurance cyber ?

Elle devient courante, mais l'assureur exige la plupart des mesures ci-dessus (MFA, sauvegardes, mises à jour). Mettre ces mesures en place est donc la première étape dans tous les cas.

Cybersécurité en PME : les 10 mesures qui évitent la plupart des incidents

Pas besoin d'un budget de banque pour se protéger. Dix mesures concrètes, classées par effort, que toute PME tunisienne peut appliquer en quelques semaines.

Les incidents que nous voyons chez les PME ne viennent presque jamais d'attaques sophistiquées. Ils viennent d'un mot de passe réutilisé, d'une pièce jointe ouverte un lundi matin, d'un serveur jamais mis à jour. La bonne nouvelle : les mesures qui comptent sont simples et peu coûteuses. Voici les dix que nous mettons en place en priorité, de la plus rapide à la plus structurante.

Les mesures à faire cette semaine

1. Activer la double authentification (MFA) partout où c'est possible. Messagerie, Microsoft 365, banque en ligne, outils de gestion. Même si un mot de passe fuite, le compte reste fermé. C'est la mesure au meilleur rapport effort/protection, et elle est gratuite.

2. Supprimer les comptes des anciens collaborateurs. Un compte oublié, avec un mot de passe que plus personne ne surveille, est une porte ouverte. Faites la liste aujourd'hui.

3. Mettre à jour les systèmes. Windows, les navigateurs, le serveur de fichiers, le routeur. La plupart des attaques exploitent des failles corrigées depuis des mois.

Les mesures du mois

4. Un gestionnaire de mots de passe pour l'équipe. Il met fin aux mots de passe réutilisés et aux post-it. Les mots de passe deviennent longs, uniques, et partagés proprement entre collègues.

5. Une sauvegarde hors ligne ou immuable. Un rançongiciel chiffre tout ce qu'il atteint. Une copie sur bande, ou sur un stockage que l'attaquant ne peut pas modifier, est ce qui vous permettra de refuser de payer. Notre article sur la sauvegarde Veeam en PME détaille la mise en place.

6. Limiter les droits. Personne ne travaille au quotidien avec un compte administrateur. Chacun accède aux dossiers dont il a besoin, pas à tout le serveur. C'est fastidieux à mettre en place une fois, et ça contient énormément de dégâts le jour J.

7. Former l'équipe au phishing. Une heure suffit pour apprendre à reconnaître un e-mail piégé : expéditeur approximatif, urgence artificielle, lien qui ne mène pas où il prétend. Répéter l'exercice deux fois par an.

Les mesures du trimestre

8. Un pare-feu configuré, pas seulement branché. Le routeur du fournisseur d'accès n'est pas un pare-feu d'entreprise. Filtrer ce qui entre et ce qui sort, séparer le réseau des visiteurs de celui des serveurs, fermer les ports inutiles.

9. Une protection des postes de nouvelle génération (EDR). L'antivirus classique compare des signatures ; un EDR surveille les comportements et bloque un chiffrement de masse avant qu'il ne finisse. Pour une PME, les offres se facturent par poste et par mois.

10. Un plan écrit pour le jour où ça arrive. Qui appeler, quoi débrancher, où sont les sauvegardes, comment prévenir les clients. Un document d'une page, relu une fois par an, fait gagner les heures qui comptent.

Par quoi commencer

Si vous ne devez faire que trois choses : la MFA (1), la sauvegarde hors ligne (5) et la formation au phishing (7). Elles couvrent les trois scénarios les plus fréquents : le compte piraté, le rançongiciel, l'e-mail piégé.

Semocode réalise des audits de sécurité d'une journée pour les PME tunisiennes, avec un plan d'actions classé par priorité et par coût. Parlons-en.