L'essentiel de la cybersécurité pour décider.

Avant-propos — Pour vous, dirigeant

Vous n'avez pas besoin de devenir expert en cybersécurité. Vous avez besoin de savoir décider.

Ce livret n'est pas un manuel technique. Il ne parle ni de pare-feux, ni de configurations, ni d'outils. Il s'adresse à celles et ceux qui dirigent une TPE, une PME ou une petite organisation — une entreprise de quelques salariés, une collectivité, une association, un cabinet. Des structures qui, le plus souvent, n'ont pas de responsable sécurité, confient leur informatique à un prestataire, et découvrent le sujet le jour où il devient un problème.

Il tient en une idée simple. La cybersécurité n'est pas une affaire de technique : c'est une affaire de décision. Et les décisions qui comptent — que protéger, quoi exiger de son prestataire, comment réagir quand l'incident survient, faut-il payer une rançon — ne se délèguent pas. Elles reviennent au dirigeant.

Les chiffres et exemples cités s'appuient sur les travaux publics de l'ANSSI, de l'ENISA et du CERT-FR (2025-2026). Nous décrivons le risque tel qu'il est, non tel qu'on l'imagine.

I. Comprendre

Avant de se protéger, il faut savoir de quoi, et pour quoi.

La cybersécurité est une décision, pas une technologie

On croit souvent que se protéger, c'est acheter le bon logiciel. C'est une illusion rassurante. Les outils comptent, mais ils ne décident rien. Ils n'établissent pas ce qui est vital pour votre activité, n'arbitrent pas entre ce que vous acceptez de risquer et ce que vous refusez. Ces choix-là sont des choix de direction.

Ce que vous protégez vraiment : la confiance et la mission

Un incident cyber n'abîme pas d'abord des machines. Il abîme la confiance — celle de vos clients, de vos usagers, de vos partenaires, de vos équipes — et il menace votre capacité à poursuivre votre mission. Une mairie qui ne peut plus délivrer d'actes d'état civil, un cabinet dont les dossiers clients sont menacés de publication, une PME qui ne peut plus facturer : dans chaque cas, ce qui est en jeu dépasse l'informatique.

La menace réelle, en quelques chiffres

En 2025, l'ANSSI a traité plus de 3 500 événements de sécurité en France. À l'échelle européenne, l'ENISA recense près de 4 900 incidents vérifiés sur un an. L'hameçonnage — le courriel piégé — reste à l'origine d'environ 60 % des intrusions : la première porte d'entrée n'est pas un exploit sophistiqué, c'est un humain qui clique. Deux évolutions méritent l'attention d'un dirigeant : l'intelligence artificielle abaisse le coût de la fraude, et la bascule vers l'extorsion sans chiffrement — voler les données et menacer de les publier, ce qu'aucune sauvegarde ne répare.

Pourquoi les petites structures sont visées

« Nous sommes trop petits pour intéresser qui que ce soit » est une idée fausse et dangereuse. Les attaques ne sont pas des vendettas ciblées : elles sont opportunistes et industrialisées. En 2024, l'ANSSI a traité 218 incidents touchant des collectivités — dont 144 communes. Les petites structures sont ciblées précisément parce qu'elles sont accessibles : moindre maturité, moyens limités, forte dépendance à un prestataire, sauvegardes non isolées.

II. Gouverner

Les décisions les moins chères et les plus efficaces se prennent avant la crise, à froid.

Partir des missions, pas des outils

La première question n'est pas « quel logiciel installer ? » mais « qu'est-ce qui, chez nous, ne doit jamais s'arrêter, ou fuiter ? ». Pour une PME, ce sera peut-être la facturation, le fichier clients, les coordonnées bancaires. Pour une collectivité, l'état civil et la paie. Pour un cabinet, la confidentialité des dossiers. Identifiez ces quelques missions vitales : elles décident où porter l'effort en priorité.

Les cinq fondamentaux qui arrêtent la grande majorité des attaques

Vous n'avez pas besoin d'un arsenal. Cinq mesures simples, appliquées avec constance, ferment la porte à l'immense majorité des attaques opportunistes : l'authentification multifacteur (MFA) sur tout ce qui est accessible depuis Internet ; des sauvegardes hors ligne, testées (une sauvegarde jamais restaurée n'en est pas une) ; les mises à jour régulières ; la journalisation (sans traces, on ne peut ni comprendre, ni prouver) ; et le moindre privilège (chacun n'accède qu'à ce dont il a besoin). Ces gestes ne sont pas spectaculaires. Ils sont décisifs.

La continuité : tenir quand la panne arrive

La question n'est pas seulement d'éviter la crise, mais de fonctionner malgré elle. Que faites-vous si, demain matin, vos systèmes sont inutilisables pendant une semaine ? Une organisation résiliente a pensé cela à l'avance : quelles activités basculer en mode dégradé, dans quel ordre redémarrer.

Vos dépendances : le prestataire, le cloud

Si votre informatique est confiée à un prestataire, retenez ceci : l'externalisation transfère des opérations, jamais votre responsabilité. Le jour de l'incident, c'est votre organisation qui rend des comptes. Vous devez donc exiger de votre prestataire ce qu'un dirigeant a le droit d'exiger : où sont vos sauvegardes et sont-elles isolées, qui fait quoi en cas d'incident, sous quel délai, comment les preuves sont préservées. Ces points s'écrivent dans le contrat, pas dans la panique.

Ce que la loi attend désormais de vous

La réglementation place la responsabilité chez le dirigeant, pas chez le technicien. Le RGPD impose, en cas de violation de données personnelles, une notification à la CNIL sous 72 heures. La directive européenne NIS 2 étend les obligations à environ 15 000 entités en France, avec une responsabilité explicite des organes de direction. Le message est clair : attendre « la date » pour s'y mettre est une faute.

III. Réagir

Le jour de l'incident, quelques bons réflexes dans les premières heures pèsent plus que tout le reste.

Le premier réflexe : qualifier sans détruire

Face à l'incident, la tentation est double : tout éteindre, ou tout réinstaller au plus vite pour « repartir ». Les deux détruisent l'information dont vous aurez besoin pour décider — et, le cas échéant, pour porter plainte. Le bon premier geste est de qualifier sans détruire : isoler ce qui doit l'être pour stopper la propagation, sans tout couper à l'aveugle, et préserver les traces.

Ne pas payer : pourquoi

La question de la rançon se pose presque toujours. La doctrine, comme la position des autorités françaises, est claire : on ne paie pas. Payer n'offre aucune garantie — ni que vous récupérerez vos données, ni qu'elles ne seront pas publiées ou revendues malgré tout — et cela finance le crime. L'affaire du centre hospitalier de Corbeil-Essonnes (2022) le confirme : l'établissement n'a pas payé ; les données ont été publiées un mois plus tard — payer n'aurait rien empêché. La décision se prend à froid, au niveau de la direction.

Notifier, signaler, porter plainte

Réagir, c'est aussi respecter vos obligations, et elles jouent en votre faveur. Si des données personnelles sont concernées, vous notifiez la CNIL sous 72 heures. Vous signalez l'incident au dispositif national d'assistance (cybermalveillance.gouv.fr pour les plus petites structures, l'ANSSI pour les entités concernées). Vous déposez plainte. Loin d'être un aveu de faiblesse, le signalement est ce qui vous permet d'être aidé.

Communiquer juste

En crise, le silence et le mensonge coûtent plus cher que la vérité. Communiquer ne consiste pas à protéger une image, mais à protéger la confiance : dire ce que l'on sait, ce que l'on ignore encore, ce que l'on fait, à qui de droit et au bon moment.

IV. Ce que la réalité enseigne

Deux faits publics, documentés, pour vérifier que la doctrine tient sur le terrain.

Corbeil-Essonnes (2022) : refuser la rançon, tenir la mission

Dans la nuit du 20 au 21 août 2022, le Centre hospitalier Sud-Francilien est frappé par un rançongiciel. Rançon réclamée : 10 millions de dollars. L'hôpital bascule en mode dégradé — urgences perturbées, interventions reportées, retour partiel au papier — et ne paie pas. Un mois plus tard, des données sensibles sont publiées. La leçon pour une petite structure est transposable : l'épreuve réelle n'a pas été technique mais organisationnelle — la capacité à poursuivre la mission en mode dégradé, préparée avant la crise. (Sources : Le Monde Informatique, LeMagIT, Public Sénat, 2022.)

Les collectivités face au rançongiciel

En 2024, l'ANSSI a traité 218 incidents touchant des collectivités — dont 144 communes — parmi lesquels 25 rançongiciels ; 21 sur 25 ont provoqué une perturbation significative de l'activité. La fragilité ne tient pas à un manque d'outils sophistiqués, mais à l'absence des fondamentaux. Appliquer les gestes simples vaut mieux qu'attendre l'outil parfait — et déclarer l'incident, c'est ce qui permet d'être aidé. (Source : ANSSI, Panorama de la cybermenace 2025 et bilan des collectivités 2024.)

Mémento — Pour agir dès cette semaine

À détacher, afficher, et confronter à votre prestataire dès cette semaine.

Les dix gestes qui comptent

1. Activez le MFA partout où l'on se connecte depuis Internet (messagerie, accès distants, comptes d'administration).
2. Sauvegardez hors ligne, et testez la restauration — une sauvegarde jamais restaurée n'en est pas une.
3. Mettez à jour systèmes et logiciels sans traîner.
4. Limitez les droits : chacun accède au strict nécessaire.
5. Activez la journalisation — sans traces, pas de compréhension ni de preuve.
6. Sensibilisez vos équipes à l'hameçonnage : la première porte d'entrée est humaine.
7. Encadrez votre prestataire par écrit : rôles, délais, preuves, sauvegardes.
8. Écrivez un plan de crise d'une page : qui décide, qui prévient, dans quel ordre redémarrer.
9. Décidez à froid votre position sur le paiement d'une rançon : non, et pourquoi.
10. Préparez vos contacts d'urgence : prestataire, assurance, CNIL, cybermalveillance.gouv.fr, dépôt de plainte.

Les trois questions à poser à votre prestataire

Où sont nos sauvegardes, et sont-elles isolées du réseau et testées ? Qui fait quoi, et sous quel délai, en cas d'incident ? Comment préservez-vous les preuves plutôt que de tout réinstaller en urgence ?

La carte des 72 heures

Dès la découverte d'un incident touchant des données personnelles : qualifier sans détruire → isoler sans tout couper → préserver les traces → notifier la CNIL sous 72 h → informer les personnes si le risque est élevé → signaler (cybermalveillance.gouv.fr / ANSSI) → porter plainte → communiquer avec exactitude → reconstruire depuis des sauvegardes saines, puis corriger la cause.

DRC, à vos côtés

Ce livret est la voix condensée d'une doctrine portée par DRC — DATASHIELD Risk Consulting, qui agit sous trois noms complémentaires : Forterys porte le conseil (la décision), DATASHIELD porte l'investigation (la vérité), Après Piratage porte l'assistance (les personnes). Une conviction les relie : protéger une organisation, c'est protéger sa capacité à poursuivre sa mission malgré l'incertitude. Pour aller plus loin, l'édition complète du CODEX développe chacun de ces sujets.