Audit informatique et cybersécurité : pourquoi les PME sont les premières cibles des hackers ?

Un dirigeant de PME m’a appelé un mardi soir, complètement dépité. Son comptable avait cliqué sur un lien dans un faux mail de relance fournisseur. Résultat… tout le serveur chiffré par un ransomware, trois jours d’arrêt complet, et une facture de récupération à cinq chiffres. Cette histoire, on l’entend chaque semaine chez Newlink. Et franchement, elle illustre un problème que beaucoup sous-estiment encore.

Pourquoi les PME sont les cibles privilégiées des hackers ?

Faut pas croire que les cybercriminels visent uniquement les grands groupes du CAC 40. C’est même tout l’inverse. Les PME représentent environ 43% des demandes d’assistance sur la plateforme Cybermalveillance.gouv.fr en 2024. Le calcul des attaquants est simple, presque cynique : une petite structure, c’est souvent moins de moyens techniques, moins de personnel dédié à la sécurité, et des portes d’entrée grandes ouvertes.

On parle beaucoup des grandes violations de données dans les médias. Mais la réalité du terrain, celle que je constate au quotidien, c’est que le hacker moyen préfère largement attaquer dix PME qu’un seul grand compte. Pourquoi ? Parce que le rapport effort/gain est bien meilleur. Un mot de passe faible ici, un pare-feu mal configuré là… et le tour est joué.

Ces chiffres donnent le vertige, non ? Et pourtant, les PME manipulent des données sensibles tous les jours. Coordonnées bancaires de clients, contrats fournisseurs, données RH… Un trésor pour n’importe quel attaquant un peu motivé. Personnellement, quand je vois une entreprise de 30 salariés sans antivirus à jour, ça me fait le même effet qu’une maison avec la porte grande ouverte en pleine nuit.

Les failles les plus exploitées dans les PME

Bon, rentrons dans le concret. Quels sont les points d’entrée favoris des cybercriminels quand ils ciblent une petite ou moyenne entreprise ? D’expérience, c’est souvent bête et méchant. Pas besoin d’exploits sophistiqués quand le mot de passe administrateur est « 123456 » ou que le serveur Windows n’a pas été mis à jour depuis 2022.

• Les emails de phishing qui imitent des factures ou des relances fournisseurs
• Les mots de passe faibles ou réutilisés sur plusieurs comptes professionnels
• Les logiciels et systèmes d’exploitation non mis à jour depuis des mois
• Les accès distants VPN mal sécurisés ou sans authentification forte
• Les sauvegardes absentes ou stockées sur le même réseau que les données

Un client de Lyon m’a raconté en 2023 que son prestataire précédent n’avait jamais configuré de double authentification sur le VPN. Quelqu’un est entré avec un identifiant volé, et pendant trois semaines (oui, trois semaines !) le pirate se baladait tranquillement dans le réseau. Personne ne s’en est rendu compte jusqu’à ce que les fichiers commencent à disparaître. Ce genre de situation, ça arrive bien plus souvent qu’on ne le pense.

L’ANSSI a d’ailleurs relevé une augmentation de 30% des incidents cyber touchant les PME et ETI françaises en 2025. Et le constat est assez terrible quand on y réfléchit : dans la grande majorité des cas, les failles exploitées étaient connues. Connues et non corrigées. C’est un peu comme savoir qu’il y a une fuite au plafond et poser un seau au lieu de réparer le toit.

Le facteur humain reste le maillon faible

J’en parlais tout à l’heure avec les emails de phishing, mais il faut vraiment insister sur ce point. La technique, on sait la sécuriser (enfin, quand on s’en donne les moyens). Le problème, c’est que la majorité des attaques réussies passent par un collaborateur qui clique sur le mauvais lien, qui ouvre la mauvaise pièce jointe. Et ce n’est pas de sa faute, on ne lui a jamais appris à repérer une arnaque bien ficelée.

Une bonne gestion de parc informatique inclut justement la sensibilisation des équipes. Parce que vous pouvez investir dans le meilleur pare-feu du marché, si votre comptable donne ses identifiants à un faux support technique par téléphone… tout ça ne sert à rien. C’est comme mettre une porte blindée et laisser la fenêtre ouverte, disons.

Conséquences financières d’une cyberattaque sur une PME

Parlons argent. Parce que c’est souvent le nerf de la guerre et ce qui fait vraiment réagir les dirigeants. Le coût moyen d’une cyberattaque pour une entreprise française tourne autour de 15 000 €. Mais attention, c’est une moyenne. Certaines PME se retrouvent avec des factures qui dépassent les 230 000 €, voire 500 000 € dans les cas les plus graves.

• Le coût de restauration des systèmes et des données perdues
• Les notifications obligatoires au titre du RGPD aux clients concernés
• La perte de chiffre d’affaires pendant l’arrêt d’activité
• L’atteinte durable à la réputation et la perte de confiance des clients
• Les frais juridiques et les éventuelles amendes réglementaires

Un cabinet d’assurance a estimé que le risque de défaillance d’une entreprise augmente d’environ 50% dans les six mois qui suivent une violation de sécurité rendue publique. Pour une PME à 2 millions d’euros de chiffre d’affaires, une attaque à 150 000 € ou 350 000 €… c’est potentiellement fatal. On n’en revient pas forcément.

Et puis il y a les coûts cachés. Ceux dont on ne parle pas assez. La hausse de la dette, la perte de contrats en cours, le temps passé à gérer la crise au lieu de développer l’activité. J’ai vu des dirigeants passer littéralement deux mois à temps plein sur la gestion d’un incident cyber. Deux mois où ils ne vendaient plus, ne managaient plus, ne faisaient plus tourner leur entreprise. Le vrai coût, il est aussi là.

L’assurance cyber ne couvre pas tout

Beaucoup de PME pensent que leur assurance va tout prendre en charge. Mauvaise surprise. Les assureurs exigent désormais un état des lieux sécurité avant même d’accepter une police cyber. Sans audit préalable, certaines compagnies refusent purement et simplement l’indemnisation en cas d’incident. C’est un peu, comment dire, le serpent qui se mord la queue.

Pour préparer votre entreprise avant un audit, il faut anticiper ces exigences. Les assureurs veulent voir des preuves concrètes de votre posture de sécurité. Pas juste des bonnes intentions, mais des mesures réelles, documentées et vérifiables.

L’audit informatique et cybersécurité pour les PME

Bon. Passons à la solution. Un audit informatique, c’est quoi exactement ? C’est un diagnostic complet de la protection de votre système d’information. Pas un simple scan avec un logiciel gratuit trouvé sur internet, non. On parle d’une évaluation structurée qui couvre trois dimensions fondamentales.

Chez Newlink, on compare souvent ça à un contrôle technique automobile. Vous ne le faites pas parce que la voiture est en panne, mais pour éviter qu’elle le soit. C’est exactement la même logique. Et franchement, quand on voit le nombre de PME qui n’ont jamais fait auditer leur sécurité informatique… ça fait froid dans le dos.

Les étapes concrètes d’un audit cybersécurité

D’abord, on cartographie votre SI. Postes, serveurs, équipements réseau, applications cloud, tout y passe. C’est un inventaire exhaustif, un peu fastidieux, mais absolument indispensable. Parce que comment voulez-vous protéger ce que vous ne connaissez même pas ? Un de nos clients avait un ancien serveur NAS branché dans un placard depuis 2019, accessible depuis internet, avec les identifiants par défaut. Personne ne savait qu’il était là.

Ensuite viennent les entretiens avec les collaborateurs clés. On cherche à comprendre les usages réels, pas les procédures théoriques. L’écart entre ce qui est écrit dans la charte informatique et ce qui se passe vraiment au quotidien, c’est souvent un gouffre. Et c’est dans ce gouffre que les attaquants s’engouffrent, si vous me passez le jeu de mots.

• La cartographie complète du système d’information et des flux de données
• L’analyse des vulnérabilités techniques avec des outils professionnels
• L’évaluation du niveau de maturité cyber sur chaque thématique
• L’estimation des impacts métiers en cas d’attaque réelle
• La construction d’un plan d’actions priorisé et chiffré

Le livrable final, c’est un rapport détaillé avec un plan d’actions hiérarchisé. Pas un document de 200 pages illisible, attention. Un plan concret, avec des priorités claires et des estimations de coûts. L’idée, c’est que le dirigeant puisse trancher rapidement sur ce qui doit être fait en premier, en fonction de son budget et de ses contraintes.

Cinq actions concrètes pour protéger votre PME

Allez, je vous donne cinq mesures qui reviennent systématiquement dans nos recommandations post-audit. Ce sont les fondamentaux. Pas besoin d’un budget astronomique pour les mettre en place. Mais elles changent radicalement le niveau de risque.

1. Mettre à jour tous les systèmes

Ça paraît bête dit comme ça. Mais le nombre de PME qui tournent avec des versions obsolètes de Windows, des plugins WordPress non mis à jour, des firmwares de routeurs datant d’il y a trois ans… c’est hallucinant. Chaque mise à jour corrige des failles de sécurité connues. Ne pas les appliquer, c’est laisser la porte ouverte aux attaquants qui exploitent précisément ces vulnérabilités répertoriées (les fameuses KEV).

2. Déployer l’authentification multifacteur

Le MFA, c’est probablement le meilleur rapport coût/efficacité en cybersécurité. Un mot de passe volé ne sert plus à rien si l’attaquant doit aussi récupérer le code envoyé sur le téléphone du collaborateur. On estime que le MFA bloque quelque chose comme 99% des attaques par compromission de compte. Et ça prend à peu près dix minutes à configurer par utilisateur.

3. Sauvegarder sur un stockage isolé

La règle du 3-2-1 (trois copies, deux supports différents, une copie hors site) devrait être gravée dans le marbre de chaque PME. J’ai vu trop d’entreprises perdre toutes leurs données parce que les sauvegardes étaient sur le même réseau que les postes infectés par le ransomware. Quand le chiffrement touche aussi les sauvegardes, là, c’est vraiment game over. Assurer la redondance de vos connexions internet participe aussi à cette logique de résilience.

4. Former et sensibiliser les équipes

On y revient encore, parce que c’est capital. Des campagnes de simulation de phishing régulières, des formations courtes mais fréquentes, des rappels visuels dans les locaux… Tout ça contribue à créer une culture de la vigilance. Un collaborateur bien formé, c’est votre meilleur pare-feu. Franchement, bien meilleur que n’importe quel logiciel à 10 000 € l’année.

5. Externaliser la surveillance avec un prestataire

Soyons réalistes. Une PME de 20 ou 50 salariés ne peut pas embaucher un responsable cybersécurité à temps plein. C’est là que l’infogérance prend tout son sens. Confier la surveillance de votre SI à un prestataire spécialisé, c’est avoir des yeux experts en permanence sur votre infrastructure, sans supporter le coût d’un recrutement dédié.

Conformité RGPD et NIS2 pour les PME

Au-delà de la protection technique, il y a un aspect réglementaire qu’on ne peut plus ignorer. L’article 32 du RGPD impose des mesures techniques et organisationnelles appropriées. La CNIL considère un audit régulier comme une bonne pratique attendue. Et en cas de fuite de données, l’absence d’audit aggrave les sanctions. Pas le genre de truc qu’on veut découvrir après coup.

La directive NIS2, entrée en application récemment, étend les obligations de cybersécurité à de nombreux secteurs. Y compris pour des PME dites « essentielles » qui ne se sentaient pas concernées jusqu’ici. DORA vient rajouter une couche pour les acteurs financiers. Bref, le cadre réglementaire se durcit, et c’est tant mieux. Mais encore faut-il s’y préparer.

Pour revenir sur ce point de la conformité, ce n’est pas juste une question de cocher des cases. Un audit cybersécurité bien mené produit exactement les preuves documentées que ces réglementations exigent. La cartographie des données sensibles, l’évaluation des risques, le plan d’action formel… tout ça découle naturellement de l’audit. D’une pierre deux coups, si je peux me permettre.

Questions fréquentes

Combien coûte un audit cybersécurité pour une PME ?

Le budget varie généralement entre 4 000 € et 15 000 € selon la taille de l’entreprise, la complexité du système d’information et les objectifs de conformité visés. C’est un investissement qui se rentabilise très vite quand on le compare au coût moyen d’une cyberattaque, estimé à quelque chose comme 15 000 € minimum pour les cas les plus légers.

À quelle fréquence faut-il réaliser un audit ?

L’idéal, c’est d’alterner chaque année entre un audit de cybersécurité complet (qui donne une feuille de route à court et moyen terme) et un test d’intrusion pour valider les mesures mises en place. Le paysage des menaces évolue tellement vite qu’un audit réalisé il y a deux ans ne reflète probablement plus la réalité de votre exposition actuelle.

Une PME de moins de 20 salariés est-elle vraiment concernée ?

Absolument. La taille ne protège pas, c’est même l’inverse. Les très petites entreprises sont souvent les moins bien protégées et manipulent pourtant des données client sensibles. Un ransomware ne vérifie pas votre chiffre d’affaires avant de chiffrer vos fichiers. Et avec les obligations du RGPD, même une structure de cinq personnes engage sa responsabilité en cas de fuite de données.

Quelle différence entre un audit et un test d’intrusion ?

L’audit est un diagnostic global qui évalue la posture de sécurité sur les plans technique, organisationnel et humain. Le test d’intrusion (pentest) est plus ciblé. Un expert tente concrètement de pénétrer votre système comme le ferait un attaquant. L’ordre recommandé, c’est d’abord l’audit pour identifier les faiblesses, puis le pentest pour vérifier que les corrections tiennent la route.

L’audit va-t-il perturber l’activité de mon entreprise ?

Non, un audit bien mené n’interrompt pas vos opérations. Les analyses techniques se font en arrière-plan, les entretiens avec les collaborateurs sont programmés sur des créneaux courts. Chez Newlink, on planifie chaque étape en amont pour que ça reste transparent au quotidien. Vos équipes continuent de travailler normalement pendant toute la durée de l’intervention.