Diagnostic de cybersécurité pour PME : savoir où vous en êtes vraiment

Pourquoi commencer par un diagnostic plutôt que par un outil ?

Parce qu'un outil acheté avant d'avoir compris son exposition résout un problème qu'on n'a pas forcément, tout en laissant intact celui qu'on a. Le diagnostic établit d'abord où passent vos données, qui y accède et ce qui vous arrêterait demain. L'outillage vient après, et découle de ce constat.

La séquence inverse est pourtant la plus fréquente. Une entreprise apprend qu'un concurrent a été touché, achète un antivirus haut de gamme, et reste vulnérable sur ce qui l'aurait réellement arrêtée : un accès distant sans second facteur, une sauvegarde jamais restaurée, un prestataire qui détient les clés de tout.

Cette précipitation est compréhensible. L'offre du marché est construite autour de produits, et un produit se commande plus facilement qu'une analyse. Mais elle produit une sécurité en trompe-l'œil : des dépenses réelles, un risque inchangé.

Un diagnostic coûte du temps d'attention plutôt que du budget d'équipement. C'est son intérêt : il est réversible, et il ne vous engage à rien, ni envers nous, ni envers un éditeur.

Que regarde-t-on exactement ?

Six plans, pris dans l'ordre où ils cèdent en situation réelle : les accès, les sauvegardes, la messagerie, la surface exposée sur Internet, la chaîne de sous-traitance TI, et les obligations réglementaires. Chacun se vérifie par des questions concrètes, pas par un questionnaire déclaratif.

L'ordre n'est pas neutre. Il suit ce qui, dans les incidents documentés, sert effectivement de porte d'entrée et de facteur aggravant. Un point faible sur les accès annule les efforts faits ailleurs ; une sauvegarde non testée transforme un incident gérable en arrêt prolongé.

• Les accès et les identités. Qui peut entrer, depuis où, avec quel second facteur. Comptes d'administration, accès distants, comptes partagés, et surtout les accès qui auraient dû être fermés au départ d'une personne.
• Les sauvegardes. Leur existence ne suffit pas : ce qui compte est leur isolement du réseau et la date de la dernière restauration réellement effectuée. Une sauvegarde jamais restaurée est une hypothèse, pas une protection.
• La messagerie. Configuration d'authentification du domaine, filtrage, règles de redirection automatique installées à votre insu, et procédure de vérification des demandes de virement.
• La surface exposée. Ce que votre organisation publie sans le savoir : services accessibles depuis Internet, interfaces d'administration, composants non mis à jour, certificats expirés.
• La chaîne de sous-traitance TI. Qui détient des accès permanents à vos systèmes, sous quel encadrement contractuel, et ce qui se passe si ce prestataire est lui-même compromis.
• Les obligations. Ce que la Loi 25 attend de vous, et ce que vos donneurs d'ordre exigent désormais dans leurs questionnaires fournisseurs.

Qu'est-ce que vous recevez à la fin ?

Une cartographie de vos zones à risque, classées par rapport entre impact et effort, et non par ordre alphabétique ou par famille de produit. Elle indique ce qui mérite d'être traité en premier, ce qui peut attendre, et ce qui relève d'un autre métier que le nôtre.

Le document est écrit pour être lu par une direction, pas par une équipe technique. Il nomme les conséquences d'affaires (arrêt d'activité, contrat perdu, obligation réglementaire non tenue)plutôt que les vulnérabilités techniques dont personne ne peut arbitrer la portée.

Il est aussi conçu pour vous servir ailleurs. Les éléments qu'il contient répondent à une bonne part des questionnaires fournisseurs et des demandes d'assureur, qui portent presque toujours sur les mêmes points.

Il vous reste acquis. Si vous décidez de traiter le sujet en interne, avec un autre prestataire ou plus tard, le constat garde sa valeur : nous n'y voyons pas une perte, mais la seule façon honnête de proposer un diagnostic.

Diagnostic ou audit complet : lequel choisir ?

Le diagnostic situe l'exposition et fixe les priorités ; il s'adresse à une organisation qui doit décider par où commencer. L'audit complet mesure, teste et documente en profondeur ; il s'adresse à une organisation qui sait déjà quoi regarder, souvent parce qu'un tiers l'exige.

Commencer par un audit complet sans diagnostic préalable revient à examiner minutieusement un périmètre qu'on n'a pas choisi. Le résultat est volumineux, coûteux à produire, et souvent inexploitable faute de hiérarchie.

L'inverse (s'arrêter au diagnostic quand un client, un assureur ou un régulateur attend des preuves)ne suffit pas non plus. Le diagnostic dit où regarder ; il ne remplace pas la mesure.

Dans la pratique, la plupart des organisations qui nous consultent pour la première fois ont besoin du premier. Le second vient ensuite, sur un périmètre restreint et justifié.

Questions fréquentes