Les guides publics le rappellent d’une autre façon : il n’y a pas de risque zéro, mais une PME peut faire beaucoup avec des mesures accessibles et un pilotage régulier.
Sensibilisation (phishing, mots de passe, réflexes)
Durcissement (chiffrement PC, blocage macros, principes de moindre privilège)
Le tableau qui évite les offres “marketing” : Mesure → Preuve → Fréquence → Décision
Voici le format le plus utile pour un dirigeant : vous devez pouvoir lire une ligne et savoir quoi décider.
Pourquoi insister sur la journalisation ?
Parce que la détection et la supervision s’appuient sur des logs bien conçus, l’ANSSI publie des recommandations dédiées et relie explicitement journalisation et capacité de détection.
Mesure
Preuve fournie (exemples)
Fréquence
Décisions possibles
MFA (dont admin)
% comptes couverts + liste exceptions
Mensuel
Forcer MFA / traiter exceptions
Comptes admin
inventaire + changements + justification
Mensuel
Réduire privilèges / valider accès
Patching
% conforme + postes “en retard”
Mensuel
Planifier correctifs / arbitrer exceptions
EDR / endpoints
% agents actifs + incidents détectés
Mensuel
Couvrir trous / corriger causes
Messagerie
incidents phishing + actions (règles, blocages)
Mensuel
Renforcer politiques / sensibiliser
Sauvegardes
succès/échecs + alertes
Hebdo/Mensuel
Corriger sources d’échec
Tests de restauration
compte-rendu test + temps réel
Trimestriel (min.)
Ajuster PRA / confirmer RTO
Journalisation (logs)
périmètre collecté + qualité + alertes clés
Mensuel
Étendre logs / réduire angles morts
Vulnérabilités
top 10 + criticité + statut
Mensuel
Prioriser remédiations
Incidents
timeline + actions + rétablissement
À chaque incident
Investir sur cause racine
Reporting : exemple d’un “bon” rapport mensuel en PME
Un rapport utile tient en 2 niveaux :
Niveau 1 — 1 page “dirigeant”
Synthèse du mois (3 faits + 3 actions)
Risque principal et ce qui est fait pour le réduire
Prestataire : exécute mesures, surveille, alerte, propose plan d’actions
Éditeurs/Cloud/Opérateurs : interviennent sur incidents dépendants (à intégrer au processus)
Ajoutez deux éléments indispensables :
Escalade (quand vous êtes appelé, sur quels seuils)
Preuves (quels logs/rapports, où, combien de temps)
Sur la supervision, l’ANSSI insiste aussi sur la nécessité de moyens organisationnels adaptés, y compris en cas d’externalisation : cela se traduit concrètement par des canaux d’échange, une gouvernance et des responsabilités claires.
Contrat & RGPD : ce que vous devez cadrer
Dès que votre prestataire administre votre SI (comptes, messagerie, logs, etc.), il intervient potentiellement sur des données personnelles. Le RGPD encadre la relation responsable de traitement / sous-traitant, y compris la sous-traitance ultérieure (chaîne de sous-traitants).
À exiger, côté “concret”
Un cadre contractuel conforme (souvent “DPA” / clause article 28).
La gestion des sous-traitants ultérieurs (cloud, outils) et la transparence associée.
La traçabilité des accès et actions d’administration (preuve, conservation, restitution).
Pour la supervision, il existe des documents ANSSI sur le pilotage d’un projet de supervision : même si vous ne faites pas “un SOC complet”, vous pouvez reprendre la logique (gouvernance, périmètre, objectifs, exploitation).
Red flags : 10 signaux d’une offre vide
“SOC 24/7” mais pas de périmètre écrit
Pas de reporting, ou uniquement “joli PDF” sans annexes/exports
Aucune métrique de couverture (MFA, EDR, patching)
Sauvegardes annoncées sans tests de restauration
“On gère la sécurité” mais pas de RACI ni d’escalade
Logs flous (“on collecte”) sans périmètre ni conservation
Incidents non tracés (pas de timeline, pas d’actions)
Sous-traitants cachés / non listés
Tout est “inclus” mais rien n’est opposable (SLA, horaires, plafonds)
Refus de donner accès aux preuves (exports, historique)
C’est quoi la cybersécurité managée pour une PME ?
Un service qui met en place un socle de sécurité, surveille les signaux d’attaque, et aide à répondre aux incidents — avec des preuves (reporting + exports) pour piloter.
SOC managé et MDR : quelle différence ?
Le SOC est centré supervision/alertes/analyse. Le MDR met l’accent sur détection + réponse, souvent via la protection endpoints. Dans les deux cas, exigez périmètre + preuves + gouvernance.
Parce que la détection s’appuie sur des logs fiables : l’ANSSI publie des recommandations dédiées et relie la journalisation à la capacité de détection.
RGPD : que faut-il cadrer avec un prestataire ?
La relation responsable/sous-traitant (article 28), la chaîne de sous-traitants, les mesures de sécurité, l’assistance, et les modalités de restitution/suppression.
