Comment préparer son entreprise à une cyberattaque avant qu'il ne soit trop tard

Un jour, un de mes clients — une PME de 40 salariés dans la logistique — m'appelle à 7h12. Plus de fichiers. Plus de mails. Un message en anglais sur l'écran du serveur, avec un compte à rebours. Le patron me dit une phrase que j'ai entendue dix fois depuis : « Je pensais qu'on était trop petits pour intéresser quelqu'un. » Il avait tort, évidemment. Et son entreprise n'avait aucun plan écrit, aucun contact d'expert pré-identifié, et pas la moindre idée de qui appeler en premier.

Voilà pourquoi je veux vous parler de préparation. Pas de logiciels miracles. Pas de jargon. De ce qu'il faut avoir posé avant que la merde touche le ventilateur — parce qu'après, il est déjà trop tard pour improviser.

Préparer son entreprise à une cyberattaque : arrêtez de croire que vous êtes trop petit

Le premier blocage que je rencontre, systématiquement, ce n'est pas technique. C'est mental. On me sort toujours la même phrase, à peu de choses près : « On n'a rien d'intéressant à voler. » Faux. Un fichier client, des coordonnées bancaires, un accès à une boîte mail professionnelle : ça se revend. Un rançongiciel ne cible pas votre prestige, il cible votre impossibilité de travailler.

J'ai vu un cabinet d'orthodontie de trois personnes paralysé deux jours entiers par une attaque à 2 000 euros de rançon. Trois personnes. Deux jours. Vous imaginez le coût réel, en rendez-vous annulés et en patients furieux ?

Bref, la question n'est pas « est-ce que ça peut m'arriver ». C'est « quand, et suis-je prêt ».

Quelles sont les 4 phases d'une cyberattaque ?

Une attaque sérieuse ne débarque pas par hasard. Elle suit un déroulé quasi méthodique, et c'est justement ce qui vous donne des occasions de la repérer :

1. Identification et reconnaissance — l'attaquant observe, collecte des infos sur vos salariés, vos outils, vos failles visibles.
2. Intrusion — il entre, souvent par un mail piégé ou un mot de passe faible.
3. Capture et exploitation — il récupère ce qu'il veut : données, accès, chiffrement.
4. Dissimulation — il efface ses traces pour rester discret, ou pour maximiser les dégâts.

Ce découpage n'est pas une vue de l'esprit. Il vient d'un constat simple : chaque phase est un point de contrôle. Si vous surveillez les connexions anormales, si vous sensibilisez au hameçonnage, si vous coupez les accès dès un doute, vous cassez la chaîne. Le problème, c'est que la plupart des entreprises ne surveillent rien du tout jusqu'à la phase 3.

Le plan de réponse : ce que personne ne vous montre vraiment

Tous les articles vous diront « faites un plan ». Génial. Et ensuite ? Le mien tenait sur deux pages, et il a sauvé la mise à ce client logistique parce qu'il répondait à des questions très bêtes : qui j'appelle à 3h du matin ? Qui décide de couper le réseau ? Qui parle à la presse ?

Voici la trame que j'utilise maintenant pour chaque entreprise que j'accompagne :

• Un annuaire d'urgence nominatif : le responsable interne, votre prestataire IT, un expert externe, votre assureur cyber, votre avocat. Des noms, des portables, vérifiés tous les six mois.
• Un arbre de décision simple : à partir de quel niveau de gravité on isole le réseau, on prévient la direction, on contacte les autorités.
• Une cellule de crise désignée : trois à cinq personnes maximum, avec un décideur clair. Pas un comité de douze.
• Des sauvegardes testées : une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une croyance.

Et le point que j'ajoute toujours en dernier, parce qu'il sauve des réputations : un modèle de communication. Un mail type pour les clients, une phrase pour les salariés, une position sur ce qu'on dit ou pas. Dans la panique, on écrit n'importe quoi — et ça se retourne contre vous.

Quelles sont les 6 méthodes de piratage les plus courantes ?

Vous n'allez pas vous défendre contre tout. Mais connaître les portes d'entrée les plus fréquentées change déjà la donne. Voici celles que je vois le plus souvent sur le terrain :

• Le hameçonnage (phishing) — de loin le numéro un, il imite un fournisseur, un client, une banque.
• Le rançongiciel — chiffre vos données et réclame un paiement.
• L'attaque par mot de passe — força brute ou identifiants revendus.
• L'exploitation d'une faille non corrigée — un logiciel jamais mis à jour, une porte ouverte.
• Le DDoS — saturer votre service pour le rendre inaccessible.
• L'usurpation d'identité — se faire passer pour un dirigeant pour déclencher un virement.

Regardez bien cette liste. Quatre des six méthodes passent par un humain, pas par une faille technique sophistiquée. Ça devrait vous dire où mettre votre énergie.

Quel est le meilleur rempart lors d'une cyberattaque ?

Franchement ? C'est l'humain. Je sais, ça fait cliché. Mais regardez les chiffres de mon expérience : sur la dizaine d'incidents que j'ai accompagnés, huit ont commencé par un clic sur un lien ou une pièce jointe. Huit sur dix.

Un salarié formé, qui se pose la question « tiens, pourquoi mon fournisseur m'écrit depuis une adresse bizarre ? », c'est un rempart gratuit. À côté, une solution de détection à 20 000 euros par an reste aveugle face à quelqu'un qui clique sans réfléchir.

Attention, je ne dis pas que la technique ne sert à rien — ce serait malhonnête. Un bon antivirus, des sauvegardes, une double authentification : indispensable. Mais si vous ne devez investir que dans une chose cette année, mettez-la dans la sensibilisation cyber. Une session par trimestre, des mails de test, un canal où chacun peut signaler un doute sans passer pour un idiot. Ça coûte trois fois rien et ça change tout.

Quelles sont les obligations de l'employeur en cas de cyberattaque ?

Là, on quitte le conseil pour entrer dans le cadre légal — et beaucoup de dirigeants l'ignorent jusqu'au jour où ça tombe sur eux. En France, l'employeur a une obligation de protection des données personnelles qu'il traite (RGPD), et une obligation de sécurité vis-à-vis de ses salariés. Concrètement :

• Déclarer la violation de données à la CNIL sous 72 heures si elle présente un risque pour les personnes concernées.
• Informer les personnes affectées quand le risque est élevé.
• Documenter l'incident : ce qui s'est passé, quand, quelles mesures prises.
• Signaler l'attaque aux autorités compétentes selon la nature — et la ANSSI joue un rôle central pour accompagner et orienter les victimes.

J'ai vu un dirigeant paniquer et tout éteindre sans rien noter. Résultat : impossible de reconstituer la chronologie, et une déclaration à la CNIL faite dans la précipitation, avec des trous. Notez. Toujours.

Niveau de préparation : où vous situez-vous ?

Un petit tableau vaut mieux qu'un long discours. Voici comment je classe les entreprises que je rencontre :

Niveau	Ce que je vois sur le terrain	Ce qui manque
Débutant	Aucune sauvegarde testée, pas de plan, mots de passe simples	Tout. Vraiment tout.
Intermédiaire	Sauvegardes en place, antivirus, mais personne ne sait qui appeler	Plan écrit, contacts, formation
Solide	Plan à jour, sauvegardes restaurées, sensibilisation régulière	Exercice de crise annuel

La bonne nouvelle : passer de « débutant » à « intermédiaire » ne demande pas un budget colossal. Un après-midi de travail et une poignée de bonnes décisions. Le saut vers « solide », c'est de la régularité.

La sensibilisation : le levier que tout le monde sous-estime

Je vais vous raconter un échec personnel. La première fois que j'ai organisé une formation cyber dans une entreprise, j'ai déroulé 90 slides techniques. À la fin, un salarié m'a demandé, très sérieux, si « le cloud c'était dans les nuages ». J'avais tout raté. J'avais parlé à des experts, pas à des humains.

Depuis, j'ai tout changé. Une session dure 30 minutes. Pas de slides. On part d'exemples réels — un faux mail de livraison, une fausse facture — et on regarde ensemble ce qui cloche. On rit des pièges grossiers. On répète que signaler un doute n'est pas une honte mais un réflexe.

Résultat mesurable sur mon dernier accompagnement : en six mois, les signalements spontanés de mails suspects ont été multipliés par cinq. Cinq. Pas parce que les gens étaient devenus experts, mais parce qu'ils osaient enfin lever la main.

Par où commencer, concrètement, cette semaine

Vous êtes peut-être en train de vous dire : tout ça est très bien, mais je fais quoi lundi matin ? Voici ma liste, dans l'ordre :

1. Listez vos cinq contacts d'urgence — interne et externe — sur une page, et diffusez-la.
2. Vérifiez qu'une sauvegarde se restaure vraiment. Pas qu'elle existe : qu'elle marche.
3. Activez la double authentification sur les accès sensibles : mail, banque, outils métiers.
4. Organisez une sensibilisation courte avec des exemples concrets de votre secteur.

Quatre actions. Rien d'insurmontable. Et pourtant, quand je pose la question aux entreprises que je croise, à peine une sur trois a coché les quatre cases.

Ce qu'il faut retenir, et ce que personne ne vous dira

La préparation à une cyberattaque ne se mesure pas au prix de votre matériel. Elle se mesure à votre capacité à répondre à une question toute simple, posée calmement autour d'une table : « si demain matin plus rien ne fonctionne, qui appelle qui ? »

Si vous pouvez répondre sans hésiter, vous êtes déjà mieux armé que la majorité. Si vous butez, vous savez par où commencer.

Et la vérité que j'ai fini par accepter après des années à accompagner des entreprises : personne n'est jamais totalement prêt. La question n'est pas d'atteindre la perfection, mais de réduire le temps entre « on est attaqué » et « on sait quoi faire ». Ce temps-là, c'est des heures, parfois des jours. Et c'est exactement là que tout se joue.