La cybersécurité d’une PME ne se joue pas sur le nombre d’outils installés. Elle se joue sur une poignée de décisions simples, prises dans le bon ordre, et maintenues dans le temps. Cet article vous donne cette liste.
Dix mesures, classées du meilleur rapport entre effort et protection au moins urgent. Vous n’avez pas besoin de les appliquer toutes cette semaine. Vous avez besoin de commencer par la première.
Pourquoi cet ordre, et pas un autre ?
Les attaques qui touchent les PME suisses ne sont presque jamais des opérations sur mesure. Ce sont des campagnes automatisées qui balaient des milliers d’entreprises et s’arrêtent sur celles qui présentent une faiblesse connue : un mot de passe réutilisé, un logiciel non mis à jour, une pièce jointe ouverte trop vite.
Vous n’avez donc pas à vous défendre contre un adversaire déterminé. Vous avez à cesser d’être la cible la plus simple du lot.
En 2025, l’Office fédéral de la cybersécurité a reçu 64 733 déclarations volontaires de cyberincidents, contre 62 954 l’année précédente. Dans le même temps, seules 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. Cette prise de conscience est une bonne nouvelle, à condition qu’elle se traduise en actes. Le détail de ces annonces, et ce qu’il faut en conclure ou non, figure dans notre panorama de la cybercriminalité en Suisse en chiffres.
Le classement qui suit repose sur trois critères : la gravité de ce que la mesure évite, la fréquence de l’attaque concernée, et l’effort réel qu’elle demande à une entreprise de quelques personnes. Il rejoint la logique des Normes minimales TIC publiées par la Confédération et celle des guides destinés aux TPE et PME.
| # | Mesure | Mise en place | Maintenance | Ce qu’elle bloque | Impact |
|---|---|---|---|---|---|
| 1 | Sauvegarde avec copie hors ligne, restauration testée | Élevé | Moyen | Rançongiciel, panne, effacement | Décisif |
| 2 | Double authentification (messagerie, banque, admin) | Faible | Nul | Vol de mot de passe, piratage de messagerie | Décisif |
| 3 | Mises à jour automatiques partout | Faible | Faible | Exploitation de failles connues | Élevé |
| 4 | Mots de passe uniques via un gestionnaire | Moyen | Faible | Réutilisation, fuites en cascade | Élevé |
| 5 | Retrait des accès au départ d’un collaborateur | Faible | Faible | Accès résiduel, malveillance interne | Élevé |
| 6 | Comptes sans droits d’administrateur au quotidien | Moyen | Nul | Propagation d’un logiciel malveillant | Élevé |
| 7 | Protection de la messagerie (filtrage, SPF, DKIM, DMARC) | Moyen | Faible | Hameçonnage, usurpation de votre domaine | Élevé |
| 8 | Sensibilisation annuelle de toute l’équipe | Moyen | Moyen | Fraude au président, clics à risque | Moyen à élevé |
| 9 | Procédure écrite en cas d’attaque, imprimée | Faible | Faible | Perte de temps et erreurs le jour J | Moyen |
| 10 | Inventaire des données personnelles et des hébergeurs | Moyen | Faible | Non-conformité, angles morts | Moyen |
1. Sauvegarder, avec une copie hors ligne et une restauration testée
Ce que c’est. Des copies de vos données conservées ailleurs, dont au moins une que rien sur votre réseau ne peut atteindre, et dont vous avez vérifié qu’elles se restaurent réellement.
Pourquoi elle compte. C’est la mesure qui transforme une catastrophe en mauvaise semaine. Face à un rançongiciel, c’est elle qui vous donne le droit de refuser de payer. Au second semestre 2025, 57 incidents liés à des rançongiciels ont été annoncés à l’OFCS, et ces chiffres ne recensent que les cas signalés.
L’effort réel. C’est la mesure la plus exigeante de la liste : quelques heures de mise en place, un abonnement ou un matériel dédié, et une vérification régulière. C’est aussi la seule dont l’absence ne se rattrape pas.
Le premier pas. Ce mois-ci, restaurez un fichier au hasard depuis votre sauvegarde et vérifiez qu’il s’ouvre. Puis lisez la règle 3-2-1 des sauvegardes pour combler ce qui manque.
Le disque externe branché en permanence sur le serveur sera chiffré en même temps que le reste. Et la sauvegarde qui échoue silencieusement depuis des mois se découvre le matin de l'attaque. Une copie déconnectée et un test de restauration annuel valent tous les logiciels de sécurité du marché.
2. Activer la double authentification sur les accès critiques
Ce que c’est. En plus du mot de passe, une seconde preuve d’identité : un code généré par une application sur le téléphone, ou une clé physique.
Pourquoi elle compte. Un mot de passe finit toujours par circuler, par fuite chez un fournisseur ou par hameçonnage. La double authentification rend ce mot de passe volé inutilisable seul. C’est la mesure au meilleur rapport entre cinq minutes de configuration et le risque écarté.
L’effort réel. Quelques minutes par compte, généralement sans surcoût. La gêne quotidienne est faible : la plupart des services ne redemandent le second facteur que sur un appareil inconnu.
Le premier pas. Aujourd’hui, activez-la sur la messagerie de la direction et de la comptabilité, puis sur l’e-banking et sur les comptes administrateurs. Les autres suivront. Le détail viendra dans notre article dédié à la double authentification.
3. Laisser les mises à jour se faire automatiquement
Ce que c’est. L’installation automatique des correctifs de sécurité sur les ordinateurs, les téléphones, les logiciels métier, mais aussi sur le routeur, le serveur, le NAS et les objets connectés.
Pourquoi elle compte. Les campagnes automatisées exploitent des failles publiquement documentées, souvent corrigées depuis des mois. Une entreprise à jour n’est tout simplement pas concernée par la majeure partie de ce bruit de fond.
L’effort réel. Faible : c’est une case à cocher sur les postes de travail. La difficulté est ailleurs, dans les équipements que personne ne surveille : le routeur du fournisseur d’accès, l’imprimante réseau, la caméra de surveillance.
Le premier pas. Faites la liste de tout ce qui est branché au réseau, y compris ce qui n’est pas un ordinateur, et vérifiez pour chaque élément la date de sa dernière mise à jour. Le sujet est détaillé dans les mises à jour.
4. Un mot de passe unique par service, dans un gestionnaire
Ce que c’est. Un logiciel qui retient et remplit les mots de passe à votre place. Vous n’en mémorisez qu’un seul, celui du gestionnaire.
Pourquoi elle compte. Le vrai danger n’est pas le mot de passe faible, c’est le mot de passe réutilisé. Quand un site tiers se fait pirater, les identifiants volés sont testés automatiquement sur des centaines d’autres services. Un mot de passe unique par service confine la fuite à un seul compte.
L’effort réel. Moyen, parce qu’il s’agit d’un changement d’habitude. Comptez une à deux heures pour installer l’outil et migrer les comptes importants, puis un gain de temps net au quotidien.
Le premier pas. Testez la robustesse de vos mots de passe actuels avec notre test de mot de passe, et vérifiez avec la vérification e-mail si vos adresses figurent dans des fuites connues. Puis migrez d’abord la messagerie et la banque. Voir les mots de passe.
5. Retirer les accès au départ d’un collaborateur
Ce que c’est. Une étape systématique dans votre processus de départ : désactiver les comptes, récupérer le matériel, changer les mots de passe partagés, retirer les droits d’accès distants.
Pourquoi elle compte. C’est l’angle mort le plus fréquent dans les petites structures. Des comptes restent actifs des mois, parfois des années, après un départ. Ils constituent une porte d’entrée idéale pour quiconque récupère ces identifiants.
L’effort réel. Très faible une fois la liste établie : quinze minutes par départ. L’effort porte sur la création initiale de la liste des accès.
Le premier pas. Rédigez aujourd’hui la liste des accès accordés à un collaborateur type, et vérifiez que les personnes parties l’an dernier n’y figurent plus. Voir la gestion des accès. La même liste, lue à l’envers, sert le jour d’une arrivée : c’est le propos de notre article sur l’arrivée d’un nouveau collaborateur.
Les mesures 5, 6 et 9 ne coûtent rien d'autre qu'un document tenu à jour. Un simple tableau des accès, revu deux fois par an, résout à lui seul une bonne partie des risques liés aux comptes. Commencez par ce qui s'écrit, avant d'acheter ce qui s'installe.
6. Travailler avec un compte sans droits d’administrateur
Ce que c’est. Chaque personne utilise au quotidien un compte standard. Les droits d’administrateur sont réservés à un compte séparé, utilisé uniquement pour installer ou configurer.
Pourquoi elle compte. Un logiciel malveillant hérite des droits de la personne qui l’exécute. Ouvert depuis un compte standard, il reste confiné. Ouvert depuis un compte administrateur, il peut s’installer durablement, désactiver les protections et se propager sur le réseau.
L’effort réel. Moyen à la mise en place, nul ensuite. Il faut créer les comptes et accepter quelques demandes de mot de passe lors d’installations.
Le premier pas. Vérifiez si le compte que vous utilisez tous les jours est administrateur. Si oui, créez-vous un compte standard et gardez l’autre pour les opérations techniques.
7. Protéger la messagerie, techniquement
Ce que c’est. Deux choses distinctes : un filtrage anti-hameçonnage sérieux en entrée, et la configuration des enregistrements SPF, DKIM et DMARC sur votre nom de domaine, en sortie.
Pourquoi elle compte. La messagerie est la porte d’entrée dominante. Le filtrage réduit ce qui arrive dans les boîtes. SPF, DKIM et DMARC empêchent des tiers d’envoyer des messages qui semblent venir de votre entreprise, ce qui est le mécanisme de la fraude au président et des faux ordres de virement adressés à vos clients.
L’effort réel. Le filtrage est souvent déjà inclus dans votre offre de messagerie professionnelle et demande surtout d’être activé et réglé. La partie SPF, DKIM et DMARC demande une intervention technique chez votre hébergeur, généralement quelques heures pour un prestataire.
Le premier pas. Demandez à votre prestataire si votre domaine dispose des trois enregistrements, et faites-vous confirmer la réponse par écrit. Voir la sécurité de la messagerie.
8. Sensibiliser toute l’équipe une fois par an
Ce que c’est. Une session courte, annuelle, qui montre des exemples réels de messages frauduleux et indique clairement à qui signaler un doute.
Pourquoi elle compte. Aucun filtre ne bloque tout, et les messages les plus dangereux sont ceux qui ne contiennent ni pièce jointe ni faute d’orthographe. La direction doit y participer : elle est la cible privilégiée des fraudes au virement, et son absence enverrait le message inverse de celui recherché.
L’effort réel. Une heure par an et par personne, plus la préparation. La campagne nationale S-U-P-E-R, portée par la Confédération et ses partenaires, fournit un support gratuit et mémorisable : Sauvegarder, mises à jUr, Protéger avec un antivirus, E-mails avec prudence, Réduire les risques avec des mots de passe forts.
Le premier pas. Fixez une date dans l’agenda de l’entreprise et annoncez qu’un signalement de doute ne sera jamais reproché. Voir pourquoi sensibiliser. Si vous voulez aller plus loin qu’une séance unique, notre article sur le programme de sensibilisation annuel propose un calendrier de séquences courtes prêt à reprendre.
Dans la plupart des incidents évitables, quelqu'un avait eu un doute mais n'a rien dit, par crainte de passer pour naïf. Le temps entre le clic et le signalement détermine l'ampleur des dégâts. Dites explicitement à votre équipe qu'un signalement inutile est toujours préférable à un silence.
9. Écrire la procédure à suivre en cas d’attaque
Ce que c’est. Une page, imprimée, qui indique qui appeler, dans quel ordre, avec quels numéros, et les trois premiers gestes à faire.
Pourquoi elle compte. Le jour de l’incident, la messagerie est peut-être inaccessible et les fichiers chiffrés. Les décisions se prennent alors dans l’urgence, et les mauvaises se prennent en quelques minutes : éteindre un serveur détruit des traces, payer une rançon dans la panique ne garantit rien.
L’effort réel. Une heure de rédaction, une relecture par an. C’est la mesure la moins coûteuse de la liste.
Le premier pas. Rédigez la page et imprimez-la en trois exemplaires, dont un hors des locaux. Notez-y le numéro de votre prestataire informatique, celui de votre assurance et le lien de signalement à l’OFCS. Voir les premières heures après une attaque, et la trame complète dans le plan de réponse aux incidents.
10. Inventorier vos données personnelles et leurs hébergeurs
Ce que c’est. Une liste des catégories de données personnelles que vous traitez (clients, employés, candidats), de l’endroit où elles se trouvent et de qui y a accès.
Pourquoi elle compte. On ne protège pas ce qu’on ne connaît pas. Cet inventaire fait apparaître les copies oubliées et les prestataires étrangers dont personne ne se souvient. Il constitue par ailleurs la base de vos obligations en matière de protection des données, et le document que l’on vous demandera en cas d’incident.
L’effort réel. Une demi-journée pour une petite structure, davantage si vous utilisez de nombreux services en ligne. À revoir une fois par an.
Le premier pas. Listez les logiciels et services où figurent des données de clients ou d’employés, avec le pays d’hébergement. Le cadre est expliqué dans vos obligations nLPD. Pour une appréciation adaptée à votre activité, faites-vous accompagner par un professionnel.
Par quoi commencer selon votre taille ?
L’ordre ci-dessus vaut pour toutes les entreprises, mais le rythme réaliste ne dépend pas seulement du budget : il dépend de l’effectif. Les trois trajectoires qui suivent sont développées séquence par séquence dans notre plan d’action selon la taille de l’entreprise.
De 1 à 9 personnes. Votre avantage est la simplicité, votre contrainte est le temps. Traitez les mesures 2, 3 et 4 ce mois-ci : elles ne demandent aucun prestataire. Puis attaquez la mesure 1, quitte à la confier à un tiers. Les mesures 9 et 5 tiennent chacune sur une page. Vous pouvez atteindre un niveau correct en un trimestre, sans budget significatif.
De 10 à 49 personnes. Les mesures d’organisation deviennent prioritaires, car les accès se multiplient plus vite que la surveillance. Traitez les mesures 5, 6 et 7 en même temps que les trois premières. Désignez une personne responsable du sujet, même à temps très partiel, et donnez-lui un budget annuel identifié. Sans responsable nommé, ces mesures se diluent.
50 personnes et plus. Les dix mesures constituent votre socle, pas votre programme. Formalisez : politique écrite, revue annuelle des accès, exercice de crise, et exigences de sécurité vis-à-vis de vos fournisseurs, qui deviennent une voie d’entrée à part entière. Vos clients et vos assureurs commenceront à vous demander des preuves.
Que pouvez-vous faire cette semaine ?
Ne cherchez pas à traiter les dix points d’un coup. Cette semaine, faites trois choses : activez la double authentification sur la messagerie et la banque, restaurez un fichier depuis votre sauvegarde pour vérifier qu’elle fonctionne, et écrivez la page « qui appeler en cas de problème ».
Ces trois actions représentent moins d’une demi-journée cumulée et couvrent déjà les scénarios les plus destructeurs. Le reste peut s’étaler sur l’année, à raison d’une mesure par mois.
Pour situer votre point de départ, le check-up cyber reprend ces dix mesures sous forme de questions et vous donne une vue d’ensemble en quelques minutes. Les articles détaillés de chaque mesure sont regroupés dans le pilier Bonnes pratiques.