Cybersécurité des TPE et PME

Le vrai risque pour une PME n’est pas celui que l’on croit

La menace principale n’est pas une attaque ciblée menée par un expert : c’est un rançongiciel diffusé massivement qui trouve une porte ouverte, ou un e-mail frauduleux qui pousse un collaborateur à saisir son mot de passe ou à modifier un RIB fournisseur.

Les conséquences, elles, sont très concrètes : plusieurs jours d’arrêt d’activité, des données de production perdues, des clients à prévenir, une obligation de notification à la CNIL en cas de fuite de données personnelles et, souvent, un virement détourné qui ne sera jamais récupéré.

La bonne nouvelle : quelques mesures bien choisies éliminent l’immense majorité de ce risque. Encore faut-il qu’elles soient réellement en place, et surtout vérifiées — une sauvegarde jamais restaurée n’est pas une sauvegarde.

Notre approche : auditer, prioriser, puis équiper

Nous ne commençons jamais par vendre un produit. Nous commençons par un audit de sécurité qui établit un état des lieux factuel de votre exposition.

• Cartographie : quelles données sont critiques, où sont-elles stockées, qui y accède et depuis où.
• Vérification des sauvegardes : existence, fréquence, externalisation, immuabilité et — le point le plus souvent défaillant — capacité réelle à restaurer.
• Exposition externe : services publiés sur Internet, accès distants, comptes obsolètes, mots de passe compromis figurant dans des fuites connues.
• Facteur humain : pratiques de mots de passe, sensibilisation au phishing, procédure de validation des changements de coordonnées bancaires.

Les mesures que nous déployons

À l’issue de l’audit, nous vous remettons un plan d’action hiérarchisé : ce qui doit être corrigé immédiatement, ce qui peut attendre le trimestre suivant, et ce qui relève du confort. Vous arbitrez, nous mettons en œuvre.

• Sauvegarde externalisée chiffrée, avec conservation multi-versions et tests de restauration périodiques documentés.
• Protection des postes et des serveurs par Bitdefender GravityZone, complétée selon votre niveau de risque par la détection avancée ATS, l’EDR, puis le MDR adossé à un SOC — les trois niveaux sont détaillés plus bas.
• Authentification multifacteur (MFA) sur la messagerie, les accès distants et les applications sensibles.
• Coffre-fort de mots de passe Keeper : partage sécurisé entre collaborateurs, révocation immédiate au départ d’un salarié, et fin des mots de passe stockés dans les navigateurs ou les tableurs.
• Filtrage de la messagerie par Hornetsecurity et protection web par GravityZone — deux couches distinctes —, durcissement des postes, cloisonnement des réseaux et suppression des accès inutiles.
• Sensibilisation des équipes : sessions courtes et concrètes, à partir de cas réels de fraude au président et de faux fournisseurs.

Notre socle de protection : Bitdefender GravityZone

Nous avons standardisé la protection des postes et des serveurs sur Bitdefender GravityZone. Travailler avec une seule console pour l’ensemble de nos clients a un effet direct sur la qualité du service : nos techniciens en connaissent les réglages fins, et une alerte inhabituelle chez l’un nous met en garde chez les autres.

GravityZone ne se limite pas à un antivirus. C’est un empilement de couches qui interviennent à des moments différents de l’attaque.

• Antivirus et antimalware alimentés par apprentissage automatique, mis à jour en continu par le renseignement sur les menaces de l’éditeur.
• Anti-exploit : détection des techniques d’exploitation elles-mêmes, ce qui permet de bloquer des failles de type « jour zéro » avant qu’un correctif n’existe.
• Advanced Threat Control : surveillance permanente des applications et des processus, chaque action suspecte étant notée et le processus stoppé lorsque son score dépasse un seuil.
• Protection web : analyse du comportement du trafic, pas seulement de listes de domaines connus.
• Contrôle du contenu et des appareils : restriction de l’accès aux applications, aux sites ou aux catégories web, et blocage des supports amovibles.
• Pare-feu et défense contre les attaques réseau, gérés depuis la même console que le reste.

ATS, EDR, MDR : trois niveaux de détection, trois budgets

Au-delà du socle, trois niveaux s’ajoutent. Ils ne se remplacent pas, ils s’empilent — et chacun se justifie par un risque précis, pas par principe.

ATS (Advanced Threat Security) ajoute deux moteurs à GravityZone : HyperDetect, qui pousse l’analyse par apprentissage automatique sur les fichiers douteux, et Sandbox Analyzer, qui fait détoner le fichier suspect dans un environnement isolé pour observer son comportement réel avant qu’il ne touche votre poste. ATS est aussi le prérequis technique de l’EDR.

L’EDR (Endpoint Detection and Response) surveille en continu les postes et le réseau pour repérer des comportements suspects, y compris discrets — ceux qui n’impliquent aucun fichier malveillant, mais un détournement d’outils légitimes. Sa valeur ne réside pas seulement dans le blocage : c’est le seul niveau qui vous dit ce qui s’est réellement passé.

• Le chemin complet de l’attaque, de l’entrée initiale jusqu’au dernier poste touché.
• Les tactiques, techniques et procédures employées (TTP), qui indiquent à qui l’on a affaire.
• Les indicateurs de compromission (IoC), à rechercher ensuite sur l’ensemble du parc.
• Une analyse continue des risques liés aux utilisateurs, au réseau et au système d’exploitation, avec des alertes précoces et de la chasse proactive aux menaces.

MDR et SOC Blackpoint : la surveillance ne s’arrête jamais

Un EDR installé mais que personne ne regarde perd l’essentiel de son intérêt. C’est le point de rupture le plus fréquent chez les PME : l’outil détecte, l’alerte tombe un vendredi à 22 h, et personne ne la lit avant lundi. Or les rançongiciels sont très majoritairement déclenchés la nuit et le week-end, précisément pour cette raison.

Nous adossons donc l’EDR à un service MDR (Managed Detection and Response) relié au SOC (Security Operations Center) de Blackpoint. Le MDR est l’équipe qui surveille, qualifie et répond ; le SOC est le centre où convergent les signaux de tous vos outils de sécurité. Concrètement, cela revient à disposer d’une équipe de sécurité de garde en permanence, sans en supporter le coût d’embauche ni de formation.

Ce que cela change en cas d’incident : la menace est qualifiée en quelques minutes plutôt qu’en quelques semaines, et la réponse est immédiate — isolement des machines compromises, éradication, puis remise en service progressive. Vous êtes prévenu et associé aux décisions, mais la première réaction n’attend pas votre disponibilité.

• Surveillance 24 h/24, 7 j/7, 365 j/an, y compris la nuit, les week-ends et les congés.
• Détection appuyée sur des moteurs d’analyse comportementale qui repèrent des signaux faibles hors de portée d’un antivirus classique.
• Réponse engagée dès la qualification : isolement du poste, coupure des accès, éradication.
• Un niveau de surveillance comparable à celui d’un grand compte, pour un abonnement mensuel dimensionné à votre parc.
• Une traçabilité des incidents et des actions menées, utile face à votre assureur cyber et aux questionnaires de sécurité de vos donneurs d’ordre.

Microsoft 365 : là où l’attaquant n’a plus besoin de virus

Vos documents, votre messagerie et vos échanges internes ont migré vers Microsoft 365. L’attaquant a suivi. Et il a compris quelque chose d’inconfortable : quand il possède un mot de passe valide, il n’a plus besoin d’installer quoi que ce soit. Il se connecte, tout simplement.

C’est l’angle mort de la protection des postes. Un EDR, aussi bon soit-il, ne voit rien : aucun programme malveillant ne s’exécute, aucune machine de votre parc n’est touchée. Pendant ce temps, l’intrus lit vos échanges, crée une règle qui détourne discrètement certains messages, puis attend la bonne facture pour envoyer un changement de RIB parfaitement crédible — depuis votre propre boîte.

Nous étendons donc la surveillance du SOC Blackpoint aux identités Microsoft 365, avec son offre Cloud MDR. La logique reste celle des postes de travail : détecter, qualifier, puis agir sans attendre vos horaires de bureau.

• Surveillance des identités 24 h/24 : prises de contrôle de comptes, connexions anormales et compromission de messagerie professionnelle.
• Capacité d’action du SOC en quelques minutes : désactivation d’un compte, blocage d’une application malveillante, coupure des sessions actives.
• Détection des connexions depuis l’étranger, avec des règles de voyage adaptées à vos déplacements réels plutôt qu’un blocage aveugle.
• Alertes sur les consentements d’applications : c’est ainsi qu’un attaquant obtient un accès durable à une boîte sans jamais avoir besoin du mot de passe, y compris après son changement.
• Notifications configurables selon les événements qui comptent pour vous : voyage impossible, pays non approuvés, octroi de droits.
• Inventaire unifié : les données Microsoft 365 alimentent automatiquement l’inventaire des actifs, du poste de travail jusqu’au cloud.
• Priorisation contextuelle : les menaces Microsoft 365 sont corrélées au reste de la surface d’attaque, et un tri assisté par IA écarte les faux positifs pour concentrer l’attention là où le risque est réel.

Filtrer la messagerie, puis former ceux qui la lisent

L’e-mail reste la porte d’entrée dominante. Rançongiciel, vol d’identifiants, fausse facture, changement de RIB : presque tout commence par un message qu’un collaborateur ouvre en pensant bien faire, souvent un vendredi en fin de journée.

Nous filtrons donc la messagerie en amont, avec Hornetsecurity 365 Total Protection. Le principe : le message est analysé avant d’atteindre la boîte de réception, et pas seulement au moment de sa réception — un lien parfaitement inoffensif à l’arrivée peut devenir malveillant deux heures plus tard, une fois le filtre passé.

Mais aucun filtre n’arrête tout, et surtout pas la fraude qui ne contient ni pièce jointe ni lien : un simple message bien tourné demandant un virement urgent. C’est pourquoi nous doublons le filtrage d’un programme de sensibilisation continue, appuyé sur le Security Awareness Service du même éditeur.

• Filtrage du spam et des logiciels malveillants avant la boîte de réception, avec mise en quarantaine consultable.
• Analyse des pièces jointes en environnement isolé (sandboxing) avant remise au destinataire.
• Réécriture des liens : l’URL est réanalysée au moment où l’utilisateur clique, pas seulement à la réception du message.
• Détection de la fraude au président et de la compromission de messagerie professionnelle, y compris sans pièce jointe.
• Détection du « quishing », ces QR codes qui contournent les filtres classiques parce qu’ils ne contiennent aucun lien lisible.
• Remédiation automatique : un message déjà distribué mais reconnu malveillant ensuite est retiré des boîtes concernées.
• Simulations de phishing et modules e-learning calibrés sur le niveau de risque de chaque collaborateur, plutôt qu’une formation uniforme que personne ne suit.

Continuité d’activité et obligations réglementaires

Se protéger ne suffit pas : il faut aussi savoir quoi faire le jour où l’incident survient. Nous formalisons avec vous un plan de reprise simple — qui prévenir, dans quel ordre remonter les systèmes, quel délai de reprise viser, quelles données seront perdues dans le pire des cas.

Nous vous aidons également à documenter vos mesures de sécurité, ce qui devient nécessaire face au RGPD, aux exigences croissantes des assureurs cyber, et aux questionnaires de sécurité que vos grands donneurs d’ordre vous adressent de plus en plus souvent.