La sécurité d'une PME se joue sur quelques fondamentaux
Pas sur un produit miracle. Des accès maîtrisés, des postes tenus à jour, un réseau segmenté et une sauvegarde que personne ne peut chiffrer : c'est ce qui fait la différence entre un incident d'une demi-journée et un arrêt de deux semaines.
Par où passe une attaque
Trois portes d'entrée, trois réponses
Dans les PME que nous auditons, les incidents empruntent presque toujours l'un de ces trois chemins : un identifiant volé par hameçonnage, un service exposé sur Internet sans protection, ou un poste laissé sans mise à jour.
La bonne nouvelle, c'est que ces trois portes se ferment avec des mesures connues, dont le coût n'a rien à voir avec celui d'un arrêt d'activité.
Identifiants volés
Un mot de passe seul ne protège plus une messagerie accessible depuis n'importe où. L'authentification multifacteur, la séparation des comptes d'administration et la revue des règles de redirection traitent l'essentiel du risque.
Service exposé
Bureau à distance ouvert « en attendant », interface d'administration accessible publiquement, VPN sans second facteur : ce sont les points que les balayages automatiques trouvent en quelques heures.
Poste ou serveur non tenu à jour
Les correctifs de sécurité ne s'appliquent pas seuls sur un parc hétérogène. Sans suivi, l'écart se creuse silencieusement pendant des mois.
| Mesure | Ce qu'elle empêche |
|---|---|
| Authentification multifacteur | L'usage d'un mot de passe volé par hameçonnage. |
| Firewall et filtrage | L'accès direct depuis Internet aux services internes. |
| Segmentation réseau | La propagation d'une machine infectée à tout le réseau. |
| Antivirus / EDR | L'exécution de codes malveillants et les comportements anormaux sur les postes. |
| Gestion des mises à jour | L'exploitation de failles publiques déjà corrigées par l'éditeur. |
| Droits au juste nécessaire | Qu'un compte compromis donne accès à l'ensemble des données. |
| Sauvegarde hors ligne | Que la sauvegarde soit chiffrée en même temps que la production. |
| Sensibilisation des équipes | Le clic sur une pièce jointe ou une demande de virement frauduleuse. |
Ce que nous ne proposons pas. Ni test d'intrusion, ni audit de conformité ISO, ni certification. Nous faisons de la sécurisation opérationnelle d'infrastructures de PME et nous le disons clairement.
Le scénario le plus coûteux
Comment se déroule réellement un rançongiciel
Contrairement à l'image répandue, le chiffrement n'est pas le début de l'attaque : c'est la fin. L'attaquant est souvent présent depuis plusieurs jours, le temps de comprendre l'environnement et de repérer les sauvegardes.
- EntréeIdentifiants récupérés par hameçonnage, ou service exposé sur Internet avec un mot de passe faible.
- Reconnaissance discrèteRepérage des partages, des serveurs et surtout des sauvegardes. Aucun signe visible pour les utilisateurs.
- Élévation de privilègesPrise d'un compte d'administration, souvent grâce à un mot de passe réutilisé ou à des droits trop larges.
- Neutralisation des sauvegardesSuppression ou chiffrement des copies accessibles depuis le réseau. C'est cette étape qui transforme un incident en crise.
- Chiffrement et demandeDéclenché en général la nuit ou un week-end, pour laisser le moins de réaction possible.
Les mesures qui cassent cette chaîne sont peu spectaculaires : authentification renforcée, comptes d'administration séparés, segmentation, et une copie de sauvegarde que le réseau ne peut pas atteindre.
En cas d'incident
- Isoler les machines du réseau, sans les éteindre
- Ne pas s'y connecter en administrateur
- Ne pas payer la rançon
- Conserver les traces pour l'analyse
- Déposer plainte
- Informer la CNIL si des données personnelles sont concernées
La restauration ne commence qu'une fois le point d'entrée identifié — sinon l'environnement est rechiffré quelques jours plus tard.
Nous contacterQuestions fréquentes
Ce que nous entendons le plus souvent
Une PME est-elle vraiment une cible ?
La majorité des attaques ne visent personne en particulier : elles balaient Internet à la recherche d'un accès ouvert, d'un mot de passe faible ou d'un logiciel non mis à jour.
Une PME n'est pas choisie, elle est trouvée. C'est précisément pour cela que les mesures de base ont un effet disproportionné.
Un antivirus suffit-il ?
Il reste nécessaire mais il n'est plus suffisant. Les attaques actuelles passent souvent par des identifiants volés plutôt que par un fichier malveillant : dans ce cas, l'attaquant utilise des outils légitimes et un antivirus classique ne voit rien d'anormal.
Il faut y ajouter l'authentification renforcée, la segmentation et une sauvegarde inatteignable.
Que faire en cas de rançongiciel ?
Isoler immédiatement les machines touchées du réseau sans les éteindre, ne pas se connecter dessus avec un compte administrateur, ne pas payer, et faire constater les faits.
La restauration ne commence qu'une fois le point d'entrée identifié, faute de quoi l'environnement est rechiffré quelques jours plus tard. Un dépôt de plainte est possible et la CNIL doit être informée si des données personnelles sont concernées.
Par où commencer quand on n'a rien fait ?
Par l'état des lieux. Dans la pratique, trois actions couvrent déjà une large partie du risque : activer l'authentification multifacteur sur la messagerie, vérifier qu'une copie de sauvegarde est hors d'atteinte du réseau, et fermer les services exposés sur Internet qui n'ont pas de raison de l'être.
Où en êtes-vous réellement ?
L'audit couvre les accès, les postes, les serveurs, le réseau, la messagerie et les sauvegardes, et vous remet les points à corriger classés par priorité.
Demander mon audit offert Être rappelé