Par où commencer en cybersécurité quand on dirige une PME ?

Par trois choses gratuites, avant tout prestataire. Identifier ce qui ferait le plus mal si vous le perdiez ou s'il était divulgué. Tester réellement une restauration de sauvegarde, chronomètre en main. Recenser qui dispose d'un accès à vos systèmes, y compris les prestataires et les anciens salariés. Le guide des règles d'hygiène informatique de l'ANSSI fournit ensuite un socle de mesures gratuit et reconnu.

Quels dispositifs publics existent pour aider une PME ?

Cybermalveillance.gouv.fr propose des contenus de sensibilisation, un annuaire de prestataires et une assistance en cas d'incident. L'ANSSI publie le guide des 42 règles d'hygiène informatique et porte le dispositif MonAideCyber, qui permet un premier diagnostic accompagné par un aidant bénévole. France Num et les chambres de commerce et d'industrie orientent également les dirigeants, parfois avec des aides au financement.

Faut-il appeler un grand cabinet de conseil ou un indépendant ?

Les grands cabinets sont dimensionnés pour des organisations qui ont une direction des systèmes d'information et un budget correspondant ; leur méthode est solide mais souvent disproportionnée pour une PME. Un consultant indépendant coûte moins cher et s'adapte mieux, mais la qualité est très variable et il faut savoir vérifier. Un infogéreur connaît votre informatique mais est juge et partie sur les mesures qui le concernent. Le bon choix dépend de votre taille et de ce que vous cherchez : un avis stratégique, une mise en œuvre technique, ou les deux.

Comment vérifier qu'un consultant en cybersécurité est sérieux ?

Quatre signaux. Il vous pose des questions sur votre métier avant de parler technique. Il dit clairement ce qu'il ne fait pas et vers qui il oriente dans ce cas. Il ne promet pas de certification qu'il ne peut pas délivrer, une certification ISO 27001 ne pouvant être émise que par un organisme accrédité. Et il refuse de vous vendre un outil avant d'avoir regardé votre organisation.

Par où commencer, et qui contacter

Vous dirigez une PME, vous savez que le risque existe, et le marché vous semble coupé en deux. D'un côté des cabinets dont les tarifs sont hors de portée. De l'autre des prestataires trouvés au hasard, dont vous n'avez aucun moyen d'évaluer la qualité. Cette page cartographie les options, y compris celles qui ne coûtent rien.

Trois choses à faire avant d'appeler qui que ce soit

Elles sont gratuites, elles prennent quelques heures, et elles changent la nature de toutes les conversations que vous aurez ensuite.

Identifier ce qui ferait le plus mal. Pas votre parc informatique, ce qui fait tourner l'entreprise. Un fichier client, des plans techniques, un logiciel de production, une certification. Posez la question autrement : qu'est-ce qui, divulgué ou perdu demain, mettrait l'activité en difficulté ?

Tester une restauration. Pas vérifier que la sauvegarde tourne. Restaurer réellement quelque chose, chronomètre en main. Beaucoup d'entreprises découvrent à ce moment que la sauvegarde existe depuis des années sans avoir jamais été éprouvée.

Lister qui a un accès. Salariés, anciens salariés, prestataires informatiques, mainteneurs d'équipement, comptable. Cette liste est presque toujours plus longue que prévu, et c'est souvent le premier écart à fermer.

Si ces trois exercices vous laissent mal à l'aise, c'est normal. Ils sont faits pour ça.

Ce qui existe gratuitement

Les 42 règles d'hygiène informatique de l'ANSSI. Guide public, référence en France, à parcourir seul.

Cybermalveillance.gouv.fr. Dispositif national : sensibilisation, annuaire de prestataires, assistance en cas d'incident.

MonAideCyber. Dispositif ANSSI, premier diagnostic accompagné par un aidant. Bien adapté à une entreprise qui part de zéro.

France Num et les chambres de commerce. Orientation des dirigeants, parfois aides au financement d'un diagnostic.

Ces ressources ne remplacent pas un regard extérieur sur votre situation. Elles évitent de payer pour ce qu'on peut obtenir seul.

Les types de prestataires, et ce qu'ils font réellement

Les grands cabinets. Méthodes solides, équipes importantes, capacité à traiter des organisations complexes. Ils sont dimensionnés pour des entreprises disposant d'une direction des systèmes d'information et d'un budget en rapport. Pour une PME, la difficulté n'est pas seulement le tarif, c'est que le livrable suppose souvent des moyens de mise en œuvre que vous n'avez pas.

Votre infogéreur ou prestataire informatique. Il connaît votre installation, ce qui est un avantage réel. Mais il est juge et partie dès qu'il s'agit d'évaluer des mesures dont il a lui-même la charge, et son métier est l'exploitation, pas l'analyse de risque.

Les prestataires techniques et testeurs d'intrusion. Utiles quand le périmètre est défini et que vous voulez éprouver une défense. Ils livrent des constats techniques, rarement leur traduction en décisions de dirigeant.

Les consultants indépendants. Coût inférieur, adaptation meilleure, interlocuteur unique. La qualité est en revanche très variable et rien ne la signale de l'extérieur. C'est là que votre crainte est légitime, d'où la section suivante.

Comment vérifier qu'un consultant est sérieux

Quatre signaux, sans aucune compétence technique de votre part.

Il vous interroge sur votre métier avant de parler technique. Quelqu'un qui commence par vos outils ne pourra pas prioriser correctement.
Il dit ce qu'il ne fait pas. Un prestataire qui sait tout faire ne sait rien faire.
Il ne promet pas de certification. Une certification ISO 27001 est délivrée par un organisme accrédité, jamais par un consultant.
Il ne vend pas d'outil avant d'avoir regardé. Un produit vendu au premier rendez-vous est un signal commercial, pas un diagnostic.

Une question utile : « qu'est-ce que vous me déconseilleriez malgré mon budget ? » Une réponse précise indique quelqu'un qui raisonne en priorités.

Ce que fait ICCForge

ICCForge est un cabinet indépendant en Île-de-France, dédié aux PME et ETI. Il a été fondé par un ancien directeur de production industrielle, après quinze années à ce poste, ce qui oriente la manière de travailler : partir des contraintes réelles d'exploitation plutôt que d'un référentiel.

La démarche commence par vous montrer ce qu'un attaquant peut trouver sur votre entreprise à partir de sources publiques, sans toucher à vos systèmes et sans engagement. Vient ensuite l'évaluation des risques et un plan d'action proportionné à votre taille et à vos moyens. Formation des équipes si nécessaire.

Ce qu'ICCForge ne fait pas, pour être net : pas de réponse à incident, pas de test d'intrusion formel, pas de délivrance de certification. Dans ces trois cas l'orientation se fait vers d'autres.

Les offres · La méthode · Si vous êtes une PME industrielle · Si un client vous envoie un questionnaire sécurité · Zone d'intervention en Île-de-France · NIS2 et la responsabilité du dirigeant

Questions fréquentes

Par où commencer concrètement cette semaine ?: Identifier ce qui ferait le plus mal, tester une restauration de sauvegarde, lister qui dispose d'un accès. Les trois sont gratuits.
Quels dispositifs publics existent ?: Les 42 règles d'hygiène de l'ANSSI, cybermalveillance.gouv.fr, MonAideCyber, France Num et les chambres de commerce.
Grand cabinet ou indépendant ?: Le grand cabinet est dimensionné pour des organisations dotées d'une DSI. L'indépendant s'adapte mieux à une PME, mais la qualité varie et se vérifie.
Combien ça coûte ?: Chez ICCForge il n'y a pas de grille tarifaire, parce qu'il n'y a pas de mission standard. Le périmètre se définit lors d'un premier échange.

Parler de votre situation