La cybersécurité n’est pas réservée aux grandes entreprises dotées d’une DSI de 50 personnes. Chaque PME, quelle que soit sa taille, peut significativement réduire son exposition aux cyberattaques en appliquant une série d’actions simples et systématiques. Cette checklist recense les 10 mesures prioritaires recommandées par l’ANSSI et les experts en sécurité, classées par ordre d’urgence et accessibles à toute structure dès aujourd’hui.
Pourquoi une checklist plutôt qu’une stratégie complexe ?
La plupart des cyberattaques réussies contre les PME exploitent des failles basiques : un mot de passe faible, un logiciel non mis à jour, un employé qui clique sur un lien frauduleux. Selon l’ANSSI, plus de 80 % des incidents de sécurité auraient pu être évités avec des mesures d’hygiène informatique élémentaires. Cette checklist vous permet de commencer immédiatement, sans attendre un audit coûteux ni un consultant externe.
80 %
Des attaques exploitent des failles connues et évitables
4 h
Temps estimé pour appliquer cette checklist complète
0 €
Budget minimum pour les 5 premières actions
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Action 1 : Activer l’authentification à deux facteurs (2FA) partout
Le vol de mot de passe est le vecteur d’attaque n°1. L’authentification à deux facteurs (2FA) ajoute une couche de protection indépendante : même si un attaquant obtient votre mot de passe, il lui manque le second facteur (code SMS, application d’authentification) pour se connecter.
Priorité absolue : activez le 2FA sur votre messagerie professionnelle, votre espace cloud (Microsoft 365, Google Workspace), votre VPN et vos accès administrateur. Utilisez une application comme Google Authenticator ou Microsoft Authenticator plutôt que le SMS, moins sécurisé.
Action 2 : Déployer un gestionnaire de mots de passe
La réutilisation de mots de passe est catastrophique : si un seul service est compromis, tous vos comptes qui partagent ce mot de passe sont exposés. Un gestionnaire de mots de passe (Bitwarden, 1Password, Dashlane) génère et stocke des mots de passe uniques et complexes pour chaque compte, sans que vos employés n’aient à les mémoriser.
Bitwarden propose une version gratuite illimitée pour les PME. Pour 3 €/utilisateur/mois, la version Business ajoute le partage sécurisé entre collègues et les journaux d’accès.
Action 3 : Mettre à jour tous les logiciels et systèmes
Les mises à jour de sécurité corrigent des vulnérabilités découvertes et publiées. Un attaquant qui connaît une faille CVE (Common Vulnerabilities and Exposures) peut l’exploiter en quelques minutes sur n’importe quel système non patché. Activez les mises à jour automatiques sur Windows, macOS, tous les navigateurs et les applications critiques (Office, Adobe, etc.).
Pour votre infrastructure serveur, planifiez une fenêtre de maintenance mensuelle pour appliquer les mises à jour de vos serveurs, NAS et équipements réseau. Ne laissez jamais un système vulnérable accessible depuis Internet.
Action 4 : Mettre en place une sauvegarde selon la règle 3-2-1
En cas de ransomware, la seule protection absolue est d’avoir une sauvegarde propre et récente. La règle 3-2-1 est le standard minimal :
- 3 copies de vos données
- Sur 2 supports différents (par exemple disque local + cloud)
- Dont 1 copie hors-site ou déconnectée (non accessible depuis le réseau)
Testez vos sauvegardes régulièrement en effectuant une restauration test. Une sauvegarde non testée est une sauvegarde dont vous ne connaissez pas la fiabilité réelle.
Action 5 : Former vos employés au phishing
Le phishing représente le point d’entrée de 90 % des cyberattaques. Même le meilleur firewall ne peut pas protéger contre un employé qui clique sur un lien frauduleux. Une formation de 30 minutes par trimestre suffit à réduire drastiquement le risque. Abordez systématiquement :
- Comment vérifier l’adresse e-mail d’un expéditeur
- Les signes d’un e-mail frauduleux (urgence artificielle, fautes, liens suspects)
- La procédure à suivre en cas de doute (ne jamais cliquer, signaler à l’IT)
- Les simulations de phishing pour tester le niveau de vigilance
Action 6 : Segmenter votre réseau Wi-Fi
Si votre réseau Wi-Fi est compromis (mot de passe trop simple, équipement infecté), un attaquant a accès à l’ensemble de votre infrastructure. La segmentation réseau consiste à isoler les différentes catégories d’équipements :
- Réseau principal : postes de travail et serveurs métier
- Réseau invité : visiteurs et appareils personnels
- Réseau IoT : imprimantes, caméras, objets connectés
La plupart des routeurs professionnels (Ubiquiti, Netgear Business, Cisco) permettent cette segmentation via des VLANs. Contactez votre prestataire informatique si vous n’êtes pas à l’aise avec la configuration réseau.
Action 7 : Installer un EDR ou un antivirus managé
Les antivirus traditionnels basés sur des signatures ne détectent que les menaces connues. Un EDR (Endpoint Detection and Response) surveille en permanence le comportement des processus et détecte les menaces inconnues, les ransomwares et les attaques fileless.
Microsoft Defender for Business (inclus dans Microsoft 365 Business Premium) est la solution la plus accessible pour démarrer. Pour une protection renforcée, CrowdStrike Falcon Go ou SentinelOne Core offrent des capacités supérieures à partir de 6-9 $/poste/mois.
Action 8 : Chiffrer les disques durs de vos postes
Un laptop volé sans chiffrement du disque expose l’intégralité de vos données d’entreprise. BitLocker (Windows Pro) et FileVault (macOS) sont des solutions de chiffrement intégrées, gratuites et transparentes pour l’utilisateur. Activez-les sur tous vos postes nomades en priorité, puis sur l’ensemble du parc.
Conservez les clés de récupération BitLocker dans votre Azure AD ou dans un emplacement sécurisé hors des postes eux-mêmes ; vous en aurez besoin si un employé oublie son PIN.
Action 9 : Créer une politique d’accès minimal (principe du moindre privilège)
Chaque employé ne devrait avoir accès qu’aux données et systèmes strictement nécessaires à son rôle. Si un compte est compromis, les dégâts restent limités à son périmètre d’accès. Auditez régulièrement les droits d’accès et supprimez immédiatement les accès des employés qui quittent l’entreprise.
Règle d’or : aucun employé ne devrait travailler au quotidien avec un compte administrateur local. Créez des comptes standards pour le travail courant, et réservez les comptes admin aux opérations de maintenance explicitement autorisées.
Action 10 : Rédiger un plan de réponse aux incidents
En cas d’attaque, chaque minute compte. Avoir un plan documenté permet d’agir rapidement sans paniquer. Votre plan minimal doit répondre à ces questions :
- Qui appeler en premier (DSI, prestataire, direction) ?
- Comment isoler un poste infecté du réseau ?
- Où se trouvent les sauvegardes et comment les restaurer ?
- Quand faut-il notifier la CNIL (dans les 72h si données personnelles) ?
- Qui contacter chez votre assureur cyber ?
Un document d’une page, imprimé et disponible hors-ligne, vaut mieux qu’une procédure complexe stockée uniquement sur le réseau compromis.
La politique de sécurité informatique (PSI) est la formalisation de ses actions.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Protégez votre PME des cyberattaques grâce à l’intelligence artificielle. 41 pages, 6 chapitres, un plan d’action 90 jours. Sans jargon technique, actionnable dès la première lecture.
Récapitulatif : votre checklist en un coup d’œil
| Action | Priorité | Coût | Temps |
|---|---|---|---|
| 1. Activer le 2FA | Critique | Gratuit | 30 min |
| 2. Gestionnaire de mots de passe | Critique | 0–3 €/user/mois | 1 h |
| 3. Mises à jour automatiques | Critique | Gratuit | 15 min |
| 4. Sauvegardes 3-2-1 | Critique | Variable | 2 h |
| 5. Formation anti-phishing | Haute | Gratuit | 30 min/trimestre |
| 6. Segmentation réseau Wi-Fi | Haute | Inclus (routeur) | 2 h |
| 7. EDR ou antivirus managé | Haute | 0–9 $/poste/mois | 2 h |
| 8. Chiffrement des disques | Moyenne | Gratuit | 1 h |
| 9. Moindre privilège | Moyenne | Gratuit | 2 h |
| 10. Plan de réponse aux incidents | Moyenne | Gratuit | 2 h |
Ces 10 actions constituent votre socle de sécurité minimal. Elles ne garantissent pas une protection à 100 %, aucune mesure ne le peut, mais elles réduisent drastiquement votre surface d’attaque et compliquent suffisamment la tâche des attaquants opportunistes pour qu’ils se tournent vers des cibles plus vulnérables.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
À lire également
- Règle 3-2-1 : comment sauvegarder vos données pour survivre à une cyberattaque
- Sécuriser son réseau Wi-Fi : guide complet pour PME en 2026
- Ransomware : comment les PME françaises sont ciblées et comment réagir
- Les meilleurs antivirus pour PME en 2026 : comparatif complet
- Et pour une vision complète des technologies IA au service de la cybersécurité de votre entreprise, consultez notre panorama des technologies IA pour la cybersécurité des PME en 2026.
