« Pourquoi un pirate informatique s’intéresserait-il à nous ? Nous sommes une petite entreprise. »
C’est probablement l’une des phrases que j’entends le plus souvent.
Et pourtant, c’est précisément cette idée reçue qui fait des PME des cibles privilégiées.
Contrairement à l’image du pirate informatique qui s’attaque uniquement aux grandes banques ou aux multinationales, la réalité est bien différente : aujourd’hui, les cybercriminels recherchent avant tout le meilleur rapport entre l’effort nécessaire et le gain potentiel.
Et sur ce point, les PME cochent souvent toutes les cases.
Les cybercriminels raisonnent comme des entreprises
Les groupes de ransomware, les fraudeurs ou les organisations cybercriminelles sont devenus de véritables entreprises.
Ils disposent de budgets, d’objectifs de rentabilité, de services clients, de négociateurs et même de tableaux de bord.
Leur objectif n’est pas de s’attaquer à l’entreprise la plus connue.
Leur objectif est de trouver la victime la plus facile à compromettre.
Ils cherchent des entreprises qui :
- disposent de données de valeur ;
- dépendent fortement de leur informatique ;
- possèdent des protections limitées ;
- seront susceptibles de payer rapidement pour reprendre leur activité.
Une PME représente souvent exactement ce profil.
« Nous sommes trop petits pour intéresser un pirate »
Cette affirmation est fausse.
Aujourd’hui, la majorité des attaques ne sont plus réalisées manuellement.
Les cybercriminels utilisent des outils automatisés qui parcourent Internet en permanence à la recherche de :
- serveurs mal configurés ;
- VPN vulnérables ;
- mots de passe compromis ;
- logiciels non mis à jour ;
- messageries exposées.
Ils ne connaissent pas votre entreprise.
Ils ne savent parfois même pas son nom.
Ils détectent simplement une vulnérabilité… puis l’exploitent.
La question n’est donc plus :
« Pourquoi nous ? »
Mais plutôt :
« Pourquoi pas nous ? »
Les conséquences sont souvent plus graves pour une PME
Une grande entreprise dispose généralement :
- d’équipes cybersécurité ;
- d’assurances adaptées ;
- de procédures de crise ;
- de sauvegardes multiples ;
- de ressources financières importantes.
Une PME, en revanche, dépend souvent de quelques personnes clés.
Un arrêt informatique de quelques jours peut provoquer :
- l’arrêt complet de la production ;
- l’impossibilité de facturer ;
- des retards de livraison ;
- la perte de clients ;
- des coûts juridiques importants ;
- une atteinte durable à la réputation.
Pour certaines entreprises, quelques jours d’interruption suffisent à mettre en péril plusieurs années d’efforts.
La cybersécurité n’est plus un sujet informatique
Longtemps, la cybersécurité a été perçue comme un problème réservé au service informatique.
Ce n’est plus le cas.
Aujourd’hui, une cyberattaque peut toucher :
- la production ;
- les finances ;
- les ressources humaines ;
- la logistique ;
- les ventes ;
- la direction générale.
Elle devient donc un véritable enjeu de gouvernance et de continuité d’activité.
La question n’est plus de savoir si une entreprise sera ciblée.
La vraie question est de savoir si elle sera capable de continuer à fonctionner lorsque cela arrivera.
Cinq mesures qui réduisent immédiatement les risques
La bonne nouvelle est qu’il n’est pas nécessaire de disposer d’un budget de plusieurs centaines de milliers d’euros pour améliorer significativement son niveau de sécurité.
Quelques mesures apportent déjà un gain considérable :
- activer l’authentification multifactorielle (MFA) sur tous les comptes critiques ;
- maintenir les systèmes et logiciels à jour ;
- réaliser des sauvegardes régulières et tester leur restauration ;
- sensibiliser les collaborateurs au phishing et aux fraudes ;
- préparer un plan de réponse aux incidents avant qu’une crise ne survienne.
La cybersécurité est avant tout une question d’organisation.
Conclusion
Les cybercriminels ne ciblent pas la taille d’une entreprise.
Ils ciblent son niveau de préparation.
Une PME n’est pas trop petite pour être attaquée.
Elle est parfois simplement plus rentable.
Dans un monde où chaque activité dépend désormais du numérique, investir dans la cybersécurité ne consiste plus uniquement à protéger des ordinateurs.
Il s’agit de protéger l’activité, les emplois, les clients… et parfois la survie même de l’entreprise.
La meilleure cyberattaque reste celle qui ne peut jamais interrompre votre activité.