Ce que nous découvrons chez les PME romandes
Au bon vieux temps
Pendant longtemps, au moins 30 ans, du moins dans nos contrées, la cybersécurité a été perçue comme une préoccupation réservée aux grandes entreprises, aux militaires et aux espions.
Les PME romandes, souvent très ancrées dans leur réalité opérationnelle, ont longtemps considéré leurs infrastructures comme trop petites pour attirer l’attention des cybercriminels.
Sauf que ces derniers l’ont vite compris… Cette perception bascula autour de 2015, lorsque les premières vagues de ransomwares ont frappé des cabinets médicaux, des fiduciaires, des ateliers industriels, des garages, et même des communes, dont certains cas ont défrayé la chronique tant les protections les plus élémentaires avaient été négligées.
Pour beaucoup, ce fut un réveil brutal : les attaques n’étaient plus ciblées, elles étaient automatisées, massives, et touchaient désormais tout le monde ou presque.
Les parades
Peu à peu, la riposte s’est organisée, et les audits de cybersécurité sont devenus un outil essentiel, pour ne pas dire le premier, pour comprendre l’état réel d’une infrastructure.
Et ils révèlent souvent une réalité bien différente de ce que les dirigeants imaginent : les PME ne manquent pas de sérieux, mais elles évoluent dans un environnement numérique devenu trop complexe pour être géré sans méthode, sans expérience aussi. Et les constats que nous faisons, année après année, sont étonnamment récurrents.
Un héritage technique qui explique beaucoup de choses
Avant 2015, les infrastructures des PME étaient relativement simples : un serveur local, quelques postes Windows, un antivirus, un routeur fourni par l’opérateur. Les risques étaient faibles, les attaques rares, et la cybersécurité relevait davantage du bon sens que d’une stratégie aboutie.
L’arrivée des ransomwares a changé la donne.
Les entreprises ont découvert à quel point elles dépendaient de leurs données, de leurs systèmes informatiques aussi, et à quel point leurs sauvegardes, placées souvent sur le même réseau, étaient fragiles.
Beaucoup ont commencé à demander des audits, très souvent après un incident, parfois pour comprendre comment éviter le prochain !
Puis, en 2020, est arrivée la crise du COVID, marquée par le télétravail, l’adoption massive d’outils cloud, la multiplication des appareils personnels et l’intégration de solutions SaaS (Software as a Service) un peu partout.
En quelques années, les PME ont vu leur environnement numérique devenir plus complexe que celui de certaines grandes organisations… mais sans les équipes internes pour le gérer !
Les audits réalisés depuis cette période montrent une accumulation de petites failles, de mauvaises habitudes et de configurations laissées en l’état, qui finissent par créer un terrain idéal pour les cybercriminels.
Les failles que nous retrouvons systématiquement
Lors d’un audit, le premier constat concerne presque toujours les mots de passe : ils sont faibles, réutilisés, partagés entre collègues, quand ils ne sont pas carrément collés sur l’écran, voire en capitales sur le mur du bureau partagé, visible par tous, y compris par ceux qui attendent derrière le guichet, un cas vécu dans une commune vaudoise.
De plus, l’absence d’un gestionnaire de mots de passe est quasi systématique. Cette faille, pourtant simple à corriger, reste l’une des portes d’entrée les plus utilisées par les attaquants.
Viennent ensuite les sauvegardes
Beaucoup d’entreprises pensent être protégées, mais découvrent que leurs sauvegardes ne fonctionnent plus depuis des mois, qu’elles sont stockées sur le même NAS que les données, ou qu’aucune procédure de restauration n’a jamais été testée.
Dans certains cas, la sauvegarde existe, mais elle est inutilisable, corrompue ou incomplète. Et c’est l’un des constats les plus sensibles, car il conditionne la capacité de l’entreprise à survivre à un incident, et qu’un faux sentiment de sécurité est pire que pas de sécurité du tout…
Les appareils réseau et les postes de travail
Les routeurs et firewalls constituent un autre point faible récurrent. Les équipements fournis par les opérateurs sont souvent laissés en configuration par défaut, avec des ports ouverts inutilement, des mots de passe administrateur inchangés, ou une absence totale de segmentation réseau.
Le Wi‑Fi invité n’est pas isolé, les accès externes ne sont pas maîtrisés, et les journaux de connexion ne sont jamais consultés. Les postes de travail présentent également des failles classiques : mises à jour retardées, voire bloquées, antivirus obsolètes, droits administrateurs accordés à tout le monde par confort, absence de chiffrement.
Pire encore, les failles logicielles pourtant connues restent ouvertes pendant des mois, parfois des années, faute de temps ou de procédure prévue pour les appliquer, quand il ne s’agit pas de vieux systèmes même plus supportés par leurs éditeurs.
L’externalisation
En parallèle, le cloud, devenu incontournable, apporte son lot de risques. Microsoft 365, OneDrive, Google Workspace ou Dropbox sont souvent utilisés sans authentification à deux facteurs, avec des partages publics non contrôlés ou des synchronisations non sécurisées.
Pourtant, le cloud n’est pas dangereux en soi, mais mal configuré, il devient un vecteur d’exposition majeur.
BYOD (Bring Your Own Device)
Les appareils personnels constituent un autre point de fragilité récurrent. Depuis des années, le télétravail a normalisé l’usage de smartphones et d’ordinateurs privés pour accéder aux données professionnelles.
Dans la majorité des audits, nous découvrons des informations sensibles stockées sur des appareils non chiffrés, non mis à jour, et totalement hors du contrôle de l’entreprise. Quand ce n’est pas le même ordinateur portable qui sert au travail le jour, et comme plate-forme de jeu familiale le soir…
Où sont les fondamentaux ?
Enfin, un constat revient presque toujours : l’absence de documentation technique.
Pas de cartographie réseau, pas de liste des accès, pas de procédure de restauration, pas de description des configurations, et pas de dossier d’identifiants. Lors d’un incident, cette absence de documentation rallonge les délais au moment le plus crucial, augmente les coûts, et complique la reprise d’activité.
Pourquoi ces failles persistent
En premier lieu, les PME n’ont pas d’équipe interne dédiée à l’informatique, et encore moins à la cybersécurité. La gestion du numérique repose souvent sur un informaticien généraliste, une agence web ou un prestataire externe qui intervient ponctuellement, quand ce n’est pas sur un seul employé à l’aise avec l’informatique, mais dont ce n’est pas le métier.
Et puis, les infrastructures ont évolué trop vite, sous la pression du cloud, du télétravail et des outils SaaS.
De leur côté, les cybercriminels, qui sont de plus en plus professionnalisés, ont industrialisé leurs attaques, avec des suites spécialisées ciblant désormais les PME parce qu’elles sont plus vulnérables, et surtout plus rapides à payer sous l’effet de la panique.
Les attaquants ont même compris que les demandes de rançons devaient être supportables pour avoir une chance d’être payées, et ils les adaptent au chiffre d’affaires de la cible visée, en se rattrapant sur le nombre.
L’arbitrage budgétaire
Les budgets, enfin, sont souvent mal orientés. Les entreprises investissent dans du matériel, des logiciels, des abonnements cloud, mais rarement dans la configuration informatique, la documentation, la formation ou les audits réguliers, clairement encore perçus comme superfétatoires.
Ce sont pourtant ces éléments qui font la différence entre une infrastructure fragile et une infrastructure résiliente, qui peut sauver l’entreprise, le jour où… Ce qui ne devait arriver qu’aux autres clignote en rouge sur votre écran, avec des instructions en anglais pour verser une rançon en bitcoins alors que plus rien d’autre ne fonctionne…
Ce que doit apporter un audit moderne
Un audit de cybersécurité n’est pas un rapport théorique ; c’est une photographie précise de l’état réel de l’entreprise, un outil de décision, remis en main propre et expliqué aux décideurs, et souvent le premier pas vers une autonomie numérique durable.
Il doit couvrir l’infrastructure, les postes de travail, le cloud, les sauvegardes, les processus internes et la conformité, sans oublier l’attitude des collaborateurs, cadres compris…
Il doit permettre de comprendre non seulement ce qui ne va pas, mais pourquoi, et comment corriger les failles de manière réaliste, progressive et adaptée à la taille de l’entreprise, et surtout, emporter l’adhésion, car une sécurité mal comprise est presque toujours contournée.
Conclusion
Les audits révèlent presque toujours les mêmes failles, et ce n’est pas un hasard.
Ce n’est ni un manque de rigueur, ni de la négligence, c’est un environnement numérique devenu trop complexe pour être géré sans autres méthodes que celles de l’empirisme !
Un audit de cybersécurité n’est donc pas un luxe : c’est une base qui permet de comprendre, de corriger, et surtout de reprendre le contrôle dans un monde où tout évolue très vite, et où les données sont au cœur de l’entreprise, que l’on en soit conscient, ou pas…
