Sécuriser le SI d'une PME avec 0 RSSI et 50K€ de budget

Les PME : cibles privilégiées, défenses minimales

Jeudi dernier, le comptable d’une PME industrielle de 65 salariés reçoit un email de son “directeur général” qui demande un virement urgent de 42 000€ vers un nouveau fournisseur. L’email est parfait : le ton est juste, la signature est identique, le contexte est plausible (un fournisseur récemment référencé). Le numéro de compte est faux. Le comptable exécute le virement. L’argent disparaît en 2 heures

Cette attaque (une fraude au président assistée par IA) aurait été bloquée par une simple procédure de double validation des virements, l’une des mesures de notre Phase 2, à 10K€/an. Le virement perdu : 42 000€. Le ratio coût de la prévention / coût de l’incident : 1 pour 4.

Ce genre d’incident n’est plus exceptionnel. 43% des cyberattaques visent les PME et ETI (source : ANSSI, Panorama de la cybermenace 2024). Ce n’est pas un hasard. Les grandes entreprises ont des équipes sécurité, des SOC, des budgets dédiés. Les PME ont… un responsable informatique qui fait aussi le support, l’admin réseau et les achats de matériel

Selon l’ANSSI, 85% des PME françaises n’ont pas de RSSI dédié, interne ou externalisé (source : ANSSI). La sécurité est “gérée” de manière informelle, souvent par quelqu’un qui n’a ni la formation ni le temps. Le résultat : des mots de passe admin partagés par email, des sauvegardes jamais testées, des serveurs qui n’ont pas été mis à jour depuis 2 ans

Le coût moyen d’un incident de sécurité pour une PME est de 200K€ à 1M€ (remédiation + arrêt d’activité + perte de données + atteinte à la réputation). Au-delà des coûts directs, l’impact business est durable : pertes de clients suite à l’incident, primes d’assurance qui doublent ou triplent, équipes clés qui démissionnent après avoir refait du travail perdu

La bonne nouvelle : il est possible de construire un niveau de sécurité solide avec un budget de 30 à 50K€ par an, sans recruter. Voici comment, en 4 phases

Note sur le titre : “0 RSSI” signifie ici “sans recruter de RSSI en CDI”. Les 4 phases ci-dessous sont réalisables avec votre équipe IT en place tant que le SI reste simple (effectif < 100 personnes, 1 à 2 sites, applications métier limitées). Au-delà, un accompagnement expert à temps partagé (RSSI externalisé, 30-50K€/an) devient pertinent, voir la dernière section

Phase 1 : Hygiène de base (0 à 5K€)

Ces mesures sont gratuites ou quasi gratuites. Elles bloquent 60% des attaques courantes (phishing, brute force, exploitation de vulnérabilités connues)

MFA partout (0€)

Le MFA (Multi-Factor Authentication) est la mesure de sécurité au meilleur rapport coût/efficacité qui existe. Activez-le sur :

• Microsoft 365 / Google Workspace (inclus dans l’abonnement)
• VPN d’accès distant (si vous en avez un)
• Outils cloud critiques (CRM, ERP, comptabilité)
• Tous les comptes administrateurs sans exception

Le MFA bloque 99,9% des attaques par compromission de mot de passe (source : Microsoft, étude sur les comptes Azure AD, 2023, applicable principalement aux environnements Microsoft 365). C’est gratuit sur la quasi-totalité des plateformes professionnelles. Il n’y a littéralement aucune raison de ne pas l’activer

Sauvegardes testées (2-3K€)

Avoir des sauvegardes ne suffit pas. Il faut qu’elles soient :

• Automatiques : quotidiennes pour les données critiques, hebdomadaires pour le reste
• Hors ligne (au moins une copie) : disque externe déconnecté, bande, ou bucket cloud avec verrouillage d’objet
• Testées mensuellement : restaurez un fichier, une base de données, un serveur complet. Si vous n’avez jamais testé une restauration, vous n’avez pas de sauvegarde, vous avez un espoir

La règle 3-2-1 : 3 copies, 2 supports différents, 1 copie hors site. Un NAS + un bucket S3 avec versioning + un disque externe mensuel. Budget : 2 à 3K€ de setup + 50€/mois de stockage cloud.

Mises à jour automatiques (0€)

80% des attaques exploitent des vulnérabilités connues pour lesquelles un correctif existe. Activez les mises à jour automatiques sur tous les postes (Windows Update, macOS), les serveurs (unattended-upgrades sous Linux), et les équipements réseau (firmware)

Pour les applications métier où les mises à jour automatiques ne sont pas possibles, instaurez une revue mensuelle : quels correctifs sont disponibles, lesquels sont critiques, qui les applique

Inventaire des actifs (0€)

Vous ne pouvez pas protéger ce que vous ne connaissez pas. Listez :

• Tous les serveurs (physiques et cloud)
• Tous les postes de travail et mobiles
• Tous les accès VPN et comptes administrateurs
• Tous les services SaaS utilisés (y compris le shadow IT)

Un tableur suffit pour commencer. L’objectif est d’avoir une vue exhaustive de la surface d’attaque

Phase 2 : Gouvernance légère (10K€)

Politique de sécurité simple (2K€)

Pas besoin d’un document de 100 pages. Une politique de sécurité efficace pour une PME tient en 5 à 10 pages et couvre :

• Gestion des mots de passe (longueur, renouvellement, gestionnaire recommandé)
• Classification des données (public, interne, confidentiel)
• Règles d’utilisation des équipements (BYOD, travail à distance)
• Procédure en cas d’incident (qui appeler, quoi faire, quoi ne pas faire)
• Responsabilités (qui est responsable de quoi)

Faites-la rédiger ou valider par un prestataire spécialisé. Un consultant cybersécurité facture 1 à 2K€ pour une politique sur mesure pour une PME.

Sensibilisation des équipes (5K€/an)

Le maillon faible de la sécurité reste l’humain. 91% des cyberattaques commencent par un email de phishing. La sensibilisation n’est pas un PowerPoint annuel que personne n’écoute

Un programme efficace comprend :

• Campagnes de phishing simulé trimestrielles (des services comme KnowBe4 ou Mailinblack envoient de faux emails de phishing et mesurent le taux de clic)
• Micro-formations de 15 minutes par trimestre (pas 3 heures d’affilée)
• Communication régulière : un email mensuel “sécurité en bref” avec les dernières menaces et les bons réflexes

Le taux de clic sur les phishing simulés passe de 15-25% selon le secteur (source : Proofpoint State of the Phish 2025) à moins de 5% en 6 mois. C’est mesurable, c’est concret

Gestion des accès (3K€)

Appliquez le principe du moindre privilège : chaque utilisateur n’a accès qu’à ce dont il a besoin pour travailler. Concrètement :

• Supprimez les comptes des anciens salariés (vérifiez, il y en a toujours qui traînent)
• Séparez les comptes administrateurs des comptes quotidiens
• Revoyez les droits d’accès tous les trimestres
• Documentez qui a accès à quoi

Un audit initial par un prestataire (1 à 2 jours) identifie les comptes orphelins, les droits excessifs, et les accès non justifiés

Phase 3 : Surveillance (15 à 20K€)

EDR sur tous les postes (8-12K€/an)

L’antivirus classique ne suffit plus. Un EDR (Endpoint Detection and Response) surveille le comportement des postes et serveurs en temps réel, détecte les activités suspectes (chiffrement massif, élévation de privilèges, communication vers des domaines malveillants), et peut isoler automatiquement une machine compromise

Des solutions comme CrowdStrike Falcon Go, SentinelOne, ou Microsoft Defender for Business coûtent 5 à 8€ par poste par mois. Pour une PME de 100 postes : 8 à 12K€/an, hors coût d’implémentation (3-5 jours de setup) et d’exploitation (1-2 jours/mois de monitoring). C’est le prix d’un week-end d’arrêt de production en cas d’incident

Monitoring basique et alertes (5-8K€)

Sans monitoring, vous ne savez pas que vous êtes attaqué. Les attaquants sont en moyenne présents dans un SI pendant 21 jours avant d’être détectés. Avec un monitoring basique :

• Centralisation des logs (Windows Event Logs, accès VPN, connexions admin)
• Alertes sur les événements critiques (tentatives de brute force, connexions inhabituelles, modifications de configuration)
• Dashboard de suivi (nombre de tentatives bloquées, alertes ouvertes)

Un SIEM léger (Wazuh en open-source, ou les fonctionnalités incluses dans Microsoft Defender) suffit pour une PME. Le coût est surtout dans la configuration initiale (2 à 3 jours de prestataire) et la revue mensuelle des alertes

Phase 4 : Amélioration continue (15 à 20K€)

Tests d’intrusion annuels (8-12K€)

Un test d’intrusion (pentest) est un audit offensif : un prestataire tente de compromettre votre SI comme le ferait un attaquant réel. Il identifie les vulnérabilités que vous n’avez pas vues : un serveur exposé sur Internet, un partage réseau trop ouvert, une application web avec une faille d’injection

Un pentest par an est le minimum. Ciblez les actifs les plus critiques : la messagerie, le VPN, les applications web, l’Active Directory. Budget : 8 à 12K€ pour un périmètre PME. A noter : budget remediation post-pentest non inclus (prevoir 5-10 jours de dev/an)

Revues trimestrielles (5-8K€)

La sécurité n’est pas un projet avec une date de fin. C’est un processus continu. Instaurez une revue trimestrielle :

• État des mises à jour et des vulnérabilités ouvertes
• Revue des accès et des comptes
• Analyse des alertes EDR/monitoring
• Suivi du plan d’action sécurité
• Bilan des campagnes de phishing simulé

Un prestataire spécialisé peut réaliser cette revue en 1 jour par trimestre

Récapitulatif : 50K€/an pour dormir tranquille

Phase	Actions	Budget annuel
Phase 1	MFA, sauvegardes, mises à jour, inventaire	3-5K€
Phase 2	Politique, sensibilisation, gestion des accès	10K€
Phase 3	EDR, monitoring, alertes	15-20K€
Phase 4	Pentests, revues trimestrielles	15-20K€
Total licences et services externes		43-55K€

Ce budget couvre les outils et prestations externes. Prévoir en complément le temps interne mobilisé : monitoring EDR (1-2 j/mois), tests de restauration mensuels (1 j/mois), revue des alertes et logs (1-2 j/mois), sensibilisation continue (0.5-1 j/mois), suivi pentest et roadmap (0.5 j/mois). Soit 4 à 6 jours/mois d’un profil IT, soit 25 à 40K€/an en coût chargé

Enveloppe globale réaliste : 70 à 95K€/an pour une PME de 50 à 200 salariés. Les “50K€” du titre couvrent les licences et services ; le reste est du temps homme interne (ou prestation externalisée dans le cadre d’un RSSI à temps partagé qui pilote et délègue l’exécution)

Ce budget couvre un niveau de sécurité largement supérieur à 90% des PME françaises. Il réduit le risque d’incident majeur de 80 à 90% sur les vecteurs courants (phishing, ransomware, comptes compromis). Et il reste 5 à 10 fois moins cher qu’un incident

Quand passer à l’étape suivante

Les 4 phases ci-dessus couvrent les fondamentaux pour une PME jusqu’à ~100 salariés, SI simple, 1 à 2 sites. Au-delà de ce seuil, ou si vous êtes dans un secteur réglementé, le pilotage stratégique demande un RSSI externalisé (30-50K€/an pour 4-8 j/mois en mode récurrent, voir les 90 premiers jours d’un RSSI externalisé)

Mais à mesure que votre SI se complexifie (cloud hybride, applications critiques, croissance rapide, exigences réglementaires), vous aurez besoin d’un pilotage stratégique de la sécurité

C’est le moment de considérer un accompagnement expert à temps partagé : quelqu’un qui pilote la roadmap sécurité, interface avec la direction, prépare les audits de conformité, et s’assure que les 4 phases restent à jour

Les signaux qui indiquent ce besoin :

• Votre CA dépasse 10M€ et vous avez des clients grands comptes qui exigent des certifications
• Vous traitez des données sensibles (santé, finance, données personnelles à grande échelle)
• Vous êtes soumis à des réglementations sectorielles (NIS2, DORA, HDS)
• Vous avez subi un incident et vous ne voulez pas que ça se reproduise

Pour aller plus loin sur ce sujet, consultez notre guide sur quand et pourquoi faire appel à un RSSI externalisé

Cet article est conçu pour les dirigeants et DSI. Pour les détails techniques d’implémentation (configuration EDR, règles de pare-feu, GPOs Active Directory, scripts de monitoring), demandez un audit de sécurité détaillé ou consultez les guides pratiques de l’ANSSI et du CERT-FR.

Sources et méthodologie

• ANSSI, Panorama de la cybermenace 2024 : statistiques sur les PME/ETI attaquées (43%) et l’absence de RSSI (85%)
• Microsoft, étude Azure AD 2023 : efficacité du MFA (99,9% des attaques par compromission de mot de passe)
• Proofpoint, State of the Phish 2025 : taux de clic phishing (15-25% selon le secteur)
• Budgets : les fourchettes de prix sont basées sur les tarifs constatés en 2025-2026 pour des PME de 50 à 200 salariés en France métropolitaine

---

Vous voulez savoir où vous en êtes ? Notre audit cybersécurité évalue votre posture de sécurité et identifie les actions prioritaires en 30 minutes