La cybersécurité PME n’est plus un enjeu réservé aux banques, aux gouvernements et aux grandes entreprises. Phishing, vol de mots de passe, deepfakes, intelligence artificielle et fuite de données exposent aujourd’hui les petites et moyennes entreprises à des risques bien réels.
Et le problème, c’est que la sécurité informatique PME arrive rarement en tête des priorités d’un entrepreneur.
On pense d’abord aux ventes. Aux clients. Aux employés. À la croissance.
La cybersécurité? On s’en occupera plus tard.
Pourtant, comme le rappelle cet épisode de Longueur d’avance, une PME peut elle aussi devenir la cible d’une cyberattaque. Et parfois, il suffit d’une erreur humaine pour ouvrir la porte.
Étienne Crevier et Dominic Gagnon discutent de ces enjeux avec une experte en cybersécurité chez nesto afin de comprendre comment les entrepreneurs peuvent mieux protéger leur organisation.
Voici 7 éléments à retenir pour améliorer la cybersécurité de votre PME.
L’une des premières erreurs consiste à penser que son entreprise est trop petite pour intéresser les pirates informatiques.
Pourquoi attaqueraient-ils une PME alors qu’ils pourraient s’en prendre à une banque ou à une multinationale?
Parce qu’une petite entreprise peut justement être plus facile à attaquer.
Dans l’épisode, Dominic Gagnon raconte notamment avoir reçu un appel qui semblait provenir de son chef des finances. La voix était crédible et la demande aussi : obtenir un code d’authentification permettant d’accéder à un compte.
Le problème?
Ce n’était pas son CFO.
Un deepfake vocal avait été utilisé pour tenter de le convaincre de transmettre l’information. Dominic explique être passé très près de donner le code demandé.
Cet exemple démontre à quel point une cyberattaque PME peut aujourd’hui prendre des formes beaucoup plus sophistiquées qu’un simple courriel frauduleux.
La première étape est donc d’accepter qu’aucune entreprise connectée à Internet n’est complètement à l’abri.
On imagine facilement un cybercriminel qui tente de contourner un système informatique complexe.
Mais pourquoi s’attaquer directement à la technologie lorsqu’on peut convaincre un humain de donner lui-même l’accès?
C’est ce qu’on appelle notamment l’ingénierie sociale.
Dominic raconte avoir testé la vigilance de ses propres employés avec un faux courriel de réinitialisation de mot de passe LinkedIn.
Malgré le fait qu’il travaillait dans une entreprise technologique avec des employés sensibilisés aux enjeux numériques, plusieurs personnes lui ont transmis leurs identifiants.
Et les vulnérabilités peuvent être encore plus simples.
Un mot de passe écrit sur un Post-it.
Un lien ouvert trop rapidement.
Un faux courriel provenant supposément du président.
Une demande urgente de transfert bancaire.
La cybersécurité PME ne repose donc pas uniquement sur les outils technologiques.
Les employés doivent comprendre les risques et savoir reconnaître les comportements suspects.
Toutes les entreprises ne doivent pas protéger les mêmes choses.
Pour une fintech, les données financières et personnelles des clients peuvent représenter l’actif le plus sensible.
Pour une entreprise manufacturière, ce pourrait être ses systèmes de production.
Pour une entreprise technologique, ce pourrait être son code, sa propriété intellectuelle ou les informations de ses utilisateurs.
L’experte invitée dans l’épisode explique justement que la stratégie utilisée chez nesto ne pourrait pas simplement être copiée dans une autre organisation.
Chaque entreprise possède des clients, des systèmes et des risques différents.
Une bonne stratégie de protection des données entreprise commence donc par quelques questions simples :
Quelles sont les informations les plus importantes de l’entreprise?
Où sont-elles stockées?
Qui peut y accéder?
Que se passerait-il si elles disparaissaient demain?
Que se passerait-il si elles devenaient publiques?
Avant d’acheter de nouveaux outils de sécurité, il faut comprendre ce que l’on cherche réellement à protéger.
Parmi les mesures simples à mettre en place pour améliorer la sécurité informatique d’une PME, l’authentification multifacteur — ou MFA — est particulièrement importante.
Le principe est simple.
Un mot de passe ne suffit plus pour accéder à un compte.
L’utilisateur doit confirmer son identité avec un deuxième facteur : une application d’authentification, un code ou une autre méthode de validation.
Si un pirate obtient le mot de passe d’un employé, il lui manque donc encore une étape pour accéder au compte.
Cette protection ajoute une certaine friction.
Mais cette friction existe aussi pour les attaquants.
Dans une stratégie de cybersécurité PME, le but n’est pas nécessairement de rendre une attaque impossible.
Il faut surtout la rendre suffisamment difficile pour réduire les risques.
La protection des données entreprise ne concerne pas seulement les cyberattaques.
Un ordinateur peut être volé.
Un disque dur peut briser.
Un employé peut supprimer un fichier important.
Un logiciel peut connaître une panne.
Et une attaque peut rendre certaines données complètement inaccessibles.
C’est pourquoi les sauvegardes demeurent essentielles.
Dans l’épisode, l’importance de conserver une copie de ses données, notamment à l’extérieur du système principal, est directement abordée.
Dominic raconte lui-même avoir déjà perdu un ordinateur qui contenait une session complète de matériel de cours qu’il n’avait pas sauvegardé.
Il ne s’agissait même pas d’une cyberattaque.
Pourtant, les conséquences étaient bien réelles : des centaines d’heures de travail à refaire.
Une bonne stratégie de cybersécurité PME doit donc inclure des sauvegardes régulières et une façon claire de récupérer les données importantes lorsqu’un problème survient.
Que faites-vous demain matin si un employé vous annonce que son compte a été piraté?
Qui doit-il appeler?
Qui prend la décision de fermer un accès?
Qui contacte votre fournisseur informatique?
Qui communique avec les clients si des données sont compromises?
Ce ne sont pas des questions auxquelles on veut commencer à répondre au milieu d’une crise.
Un plan de réponse à un incident peut pourtant commencer très simplement.
Même une petite entreprise peut déterminer à l’avance qui doit être contacté lorsqu’un incident survient.
Il est également important de développer une culture sans blâme.
Si un employé clique sur un mauvais lien, il doit se sentir à l’aise de le signaler immédiatement.
Cacher son erreur par peur des conséquences ne fait que donner davantage de temps à l’attaquant.
Plus une entreprise détecte rapidement un incident, plus elle peut agir rapidement pour limiter les dommages.
L’intelligence artificielle et la cybersécurité sont maintenant intimement liées.
Les employés utilisent des outils d’IA pour analyser des documents, automatiser des tâches, résumer de l’information ou accélérer leur travail.
Ces outils peuvent apporter énormément de valeur.
Mais ils soulèvent aussi une nouvelle question :
Quelles informations de l’entreprise sommes-nous prêts à leur transmettre?
Un employé peut, par exemple, téléverser un document confidentiel dans une plateforme externe sans nécessairement comprendre ce qu’il advient ensuite des données.
La solution pourrait sembler évidente : tout bloquer.
Mais cette stratégie comporte elle aussi des risques.
Lorsqu’une entreprise interdit systématiquement les nouveaux outils, certains employés peuvent simplement chercher des façons de contourner les restrictions.
Ils utilisent alors leurs comptes personnels, leurs propres appareils ou des plateformes non approuvées.
L’entreprise perd ainsi encore plus de contrôle.
La discussion dans l’épisode met plutôt de l’avant une approche basée sur la gestion du risque : permettre l’innovation dans un cadre adapté à la réalité et au niveau de risque de l’organisation.
La cybersécurité PME ne devrait donc pas être synonyme de « tout bloquer ».
Elle devrait permettre d’utiliser les nouvelles technologies de façon réfléchie.
Une petite entreprise n’a pas nécessairement besoin d’embaucher immédiatement un spécialiste en cybersécurité à temps plein.
Selon l’experte invitée dans l’épisode, l’important au départ est surtout de nommer clairement une personne responsable du dossier.
Dans plusieurs PME, cette responsabilité peut initialement être confiée à l’équipe informatique ou à une personne possédant les compétences nécessaires.
À mesure que l’entreprise grandit, la situation peut évoluer.
Les données deviennent plus nombreuses.
Les systèmes se multiplient.
Le nombre d’employés augmente.
Les risques aussi.
La stratégie de sécurité informatique PME doit donc évoluer avec la maturité de l’organisation plutôt que d’essayer de reproduire immédiatement les pratiques d’une grande entreprise.
Il existe aussi un autre extrême : vouloir tellement protéger son organisation qu’on finit par empêcher les employés de travailler efficacement.
Interdire chaque nouveau logiciel.
Bloquer les outils d’IA.
Limiter excessivement les appareils.
Ajouter une procédure complexe à chaque action.
Cette approche peut réduire certains risques, mais elle peut également créer suffisamment de frustration pour pousser les employés à contourner les règles.
Une bonne stratégie de cybersécurité PME cherche plutôt le juste équilibre entre sécurité et productivité.
Une banque n’aura évidemment pas la même tolérance au risque qu’une jeune entreprise technologique.
L’objectif est donc de déterminer quel niveau de risque l’entreprise est prête à accepter et d’ajouter les bonnes protections en conséquence.
Aucun outil ne peut garantir à lui seul la sécurité complète d’une entreprise.
C’est pourquoi l’épisode aborde le principe d’une défense en couches.
L’idée est de combiner plusieurs protections :
Chaque couche ajoute une difficulté supplémentaire pour un attaquant.
Pour une PME, l’objectif n’est donc pas nécessairement de devenir impossible à pirater.
Il est d’arrêter d’être une cible facile.
Pour un entrepreneur, la quantité d’information disponible sur la cybersécurité peut rapidement devenir intimidante.
Il n’est pourtant pas nécessaire de tout transformer demain matin.
Commencez par vous poser quelques questions.
Est-ce que l’authentification multifacteur est activée sur vos comptes importants?
Savez-vous exactement qui possède les accès administrateurs?
Vos données critiques sont-elles sauvegardées?
Vos anciens employés ont-ils toujours certains accès?
Votre équipe sait-elle quoi faire lorsqu’elle reçoit un courriel suspect?
Savez-vous qui appeler si une attaque survient?
Dans l’épisode, la curiosité est justement présentée comme un élément essentiel pour commencer à mieux comprendre sa situation et ses vulnérabilités.
Attendre qu’un incident survienne pour réfléchir à la cybersécurité PME peut coûter cher.
La bonne nouvelle, c’est qu’améliorer sa sécurité ne signifie pas nécessairement investir immédiatement dans une infrastructure extrêmement complexe.
Commencer peut être beaucoup plus simple.
Comprendre les données importantes.
Former ses employés.
Activer le MFA.
Faire des sauvegardes.
Contrôler les accès.
Préparer un plan d’intervention.
Et encadrer l’utilisation des nouvelles technologies.
La cybersécurité ne consiste pas à éliminer tous les risques.
Elle consiste à comprendre ceux auxquels son entreprise est exposée et à mettre suffisamment de protections en place pour réduire les chances qu’une erreur, un faux courriel ou un mot de passe compromis devienne une crise majeure.
Pour les entrepreneurs, la question n’est donc plus vraiment de savoir si la cybersécurité PME mérite leur attention.
C’est de savoir ce qu’ils peuvent commencer à protéger dès aujourd’hui.
