PME - La sécurité, trop cher? - Parce que... c'est l'épisode 0x641!
Parce que… c’est l’épisode 0x641!
Shameless plug
12 au 17 octobre 2025 - Objective by the sea v8
14 et 15 octobre 2025 - ATT&CKcon 6.0
14 et 15 octobre 2025 - Forum inCyber Canada
Code rabais de 30% - CA25KDUX92
4 et 5 novembre 2025 - FAIRCON 2025
8 et 9 novembre 2025 - DEATHcon
17 au 20 novembre 2025 - European Cyber Week
25 et 26 février 2026 - SéQCure 2026
Description
Dans cet épisode, trois experts en cybersécurité partagent leur expérience pour démystifier l’idée reçue selon laquelle la sécurité informatique serait financièrement hors de portée pour les petites et moyennes entreprises. Nicholas Milot, cofondateur de Yack et spécialiste des tests d’intrusion, Cyndie Feltz, également cofondatrice de Yack avec une expertise en gestion exécutive, et Dominique Derrier, RSSI chez Neotrust, apportent un éclairage pragmatique sur cette question cruciale.
Le mythe du coût prohibitif
L’un des principaux obstacles psychologiques pour les PME est la perception que la cybersécurité nécessite des budgets comparables à ceux des grandes entreprises comme Desjardins. Cette croyance est renforcée par l’abondance de solutions coûteuses sur le marché, souvent assorties de minimums d’utilisateurs qui peuvent rapidement faire grimper la facture à des centaines de milliers de dollars. Face à ces chiffres, de nombreuses PME concluent que la sécurité n’est tout simplement pas à leur portée et abandonnent l’idée d’investir dans ce domaine.
Pourtant, cette vision est fondamentalement erronée. Comme le souligne Cyndie Feltz à travers une analogie pertinente avec la santé, la cybersécurité s’apparente davantage à une bonne hygiène de vie qu’à un traitement de luxe. Certes, on peut dépenser des sommes importantes pour des coachs sportifs personnalisés et des programmes d’entraînement sophistiqués, mais les bases d’une bonne santé reposent simplement sur une alimentation équilibrée, une paire de chaussures de course et de la régularité. La cybersécurité fonctionne selon le même principe : il s’agit d’adopter de bonnes pratiques quotidiennes plutôt que d’accumuler des solutions technologiques onéreuses.
Le piège du “buffet de cybersécurité”
Le marché propose environ 300 types de produits différents en matière de sécurité informatique. Face à ce buffet gargantuesque où tout semble briller et attirer l’attention, il est facile pour une PME de se sentir dépassée et de faire des choix inadaptés à ses besoins réels. Le problème ne réside pas uniquement dans le coût d’acquisition de ces solutions, mais aussi dans les ressources nécessaires pour les administrer correctement.
Les experts constatent régulièrement que les PME acquièrent des outils sophistiqués qu’elles n’ont ni le temps ni les compétences d’utiliser efficacement. Une solution non configurée ou mal administrée n’apporte aucune valeur, quelle que soit sa qualité intrinsèque. De plus, les vendeurs, naturellement motivés par leurs objectifs commerciaux, peuvent convaincre les entreprises d’acheter des produits performants mais inadaptés à leur contexte spécifique.
Nicolas Milot observe dans ses tests d’intrusion que les entreprises compromises disposent souvent de solutions de sécurité en place, mais que celles-ci ne sont pas correctement exploitées. Le manque de temps pour se “mettre les mains dedans” et maintenir ces outils à jour rend les investissements initiaux largement inefficaces.
Les fondamentaux accessibles
Avant même de considérer l’achat de nouvelles solutions, les PME peuvent mettre en place des mesures de base à faible coût. Dominique Derrier suggère de commencer simplement par des politiques internes et des mémos, même si leur efficacité reste limitée. L’important est de ne pas se cacher derrière l’excuse du coût pour ne rien faire du tout. Une approche progressive, étape par étape, permet d’avancer sans dépenses excessives.
Les experts s’accordent sur quatre piliers fondamentaux que toute PME devrait prioriser :
L’authentification multifacteur (MFA) : Protéger l’identification des utilisateurs avec des mots de passe robustes et le MFA représente un investissement minimal avec un impact sécuritaire maximal. Ces outils sont souvent déjà disponibles dans les licences Microsoft ou Google que les entreprises possèdent.
Les mises à jour régulières : Nicolas souligne avec humour qu’il profite justement des entreprises négligentes en matière de mises à jour pour démontrer la facilité avec laquelle on peut compromettre leurs systèmes. Maintenir ses logiciels à jour ne coûte rien, mais sauve beaucoup de problèmes.
Les antivirus et solutions de détection (EDR/XDR) : Même Windows Defender, bien que pas optimal, vaut mieux que rien et est souvent déjà inclus dans les licences existantes. L’essentiel est de le configurer correctement et de surveiller les alertes.
Les sauvegardes (backups) : Point crucial soulevé par tous les intervenants, les backups devraient relever de l’opérationnel TI plutôt que de la sécurité. Ils doivent être correctement configurés, testés régulièrement, et surtout ne jamais être joints au domaine Active Directory, une erreur courante aux conséquences désastreuses.
Les pièges à éviter
Les experts mettent en garde contre plusieurs écueils. L’utilisation de l’intelligence artificielle comme argument de vente pour les PME constitue un signal d’alarme : ces entreprises n’ont pas besoin de ce type de fonctionnalités sophistiquées, même si certaines formes d’analyse comportementale existent depuis longtemps dans les outils de sécurité sous d’autres appellations.
Un bon conseiller ne cherchera pas à vendre de nouvelles solutions, mais plutôt à optimiser l’existant. La configuration correcte de Microsoft ou Google, dont les paramètres par défaut laissent souvent à désirer, peut transformer radicalement la posture de sécurité sans investissement supplémentaire.
Conclusion
Le message est clair : mieux vaut faire peu de choses mais les faire bien, plutôt que de multiplier les outils partiellement déployés. La question fondamentale pour chaque PME devrait être : “Que se passerait-il si nous perdions toutes nos données ?” Cette réflexion sur ce qui est véritablement précieux permet d’orienter les investissements de manière pragmatique. La cybersécurité n’est pas une question de budget illimité, mais de choix judicieux et d’utilisation optimale des ressources disponibles.
Collaborateurs
Nicolas-Loïc Fortin
Cyndie Feltz
Nicholas Milot
Dominique Derrier
Crédits
Montage par Intrasecure inc
Locaux virtuels par Riverside.fm
France