Actualités Sécurité : Cybersécurité : pourquoi les PME doivent repenser leur protection numérique

Pendant longtemps, nous avons raconté la cybersécurité comme une affaire de grands groupes : banques, opérateurs télécoms, administrations. Les petites et moyennes entreprises se croyaient à l’abri, faute d’être assez visibles ou assez riches pour intéresser des pirates. Cette idée ne tient plus. Les rapports publiés ces dernières années par les éditeurs de sécurité, les assureurs et les agences publiques décrivent un déplacement net de la menace vers les structures de taille modeste, moins outillées pour se défendre.

Le sujet évolue vite : les outils, les techniques d’attaque et les règles changent en permanence, et une entreprise bien protégée il y a trois ans ne l’est pas forcément aujourd’hui. Pour suivre les évolutions technologiques et leurs conséquences sur les entreprises, les professionnels peuvent également consulter Silicon Valley, un média consacré à l’innovation et au numérique. Ce décryptage cherche à comprendre pourquoi ce basculement a lieu, ce que change l’intelligence artificielle, et quelles priorités s’imposent à un dirigeant qui n’a ni direction informatique ni budget illimité.

Une menace qui n’épargne plus les petites structures

Les attaquants ne choisissent pas toujours leurs cibles une à une. Beaucoup de campagnes sont automatisées : des outils balayent Internet à la recherche de failles connues, de mots de passe réutilisés ou de messageries mal protégées. Une PME n’a pas besoin d’être « intéressante » pour être touchée. Il suffit qu’elle soit vulnérable. Le rapport Verizon sur les violations de données (DBIR), édition 2025, illustre cette réalité. Selon ses auteurs, les rançongiciels étaient présents dans 44 % des violations analysées, contre 32 % l’année précédente. Le rapport indique aussi que la part est nettement plus élevée dans les petites entreprises, où ces logiciels de chiffrement et de rançonnage figurent dans la grande majorité des incidents recensés. Autre enseignement : l’implication de prestataires tiers dans les violations aurait doublé sur un an, ce qui rappelle qu’une entreprise peut être fragilisée par la faiblesse d’un fournisseur. Il faut rester prudent avec ces chiffres. Ils reposent sur des incidents effectivement détectés et rapportés, donc sur un échantillon qui ne reflète pas toute la réalité. Mais la tendance est cohérente avec ce que décrivent d’autres sources, notamment les agences nationales de cybersécurité. Pour une PME, les conséquences sont rarement spectaculaires dans la presse. Elles sont d’abord concrètes : une production à l’arrêt, une facturation impossible, des données clients inaccessibles, parfois une perte de confiance durable. Selon IBM, dans son étude 2025, le coût moyen mondial d’une violation de données atteint environ 4,4 millions de dollars. Cette moyenne est tirée vers le haut par les grandes organisations, mais elle donne un ordre de grandeur de ce qu’un incident majeur peut représenter. Pour une petite structure, une facture bien inférieure peut suffire à menacer sa survie.

Des attaques plus crédibles grâce à l’intelligence artificielle

L’intelligence artificielle générative a changé la nature de certaines attaques, sans les révolutionner. Le phishing, ce courriel frauduleux qui imite un fournisseur, une banque ou un supérieur hiérarchique, se repérait souvent à ses fautes d’orthographe ou à sa syntaxe approximative. Ces signaux deviennent moins fiables : les outils de génération de texte produisent désormais des messages fluides, adaptés à la langue et au secteur de la victime. Des services de clonage de voix et de génération de vidéo ont également permis des fraudes dites « au président », où un salarié reçoit un appel qu’il croit authentique pour déclencher un virement. Plusieurs cas ont été rapportés dans la presse spécialisée, y compris dans de grandes entreprises. Rien n’indique que les PME soient à l’abri de ce type de mystification, et leurs procédures de validation sont souvent moins formalisées. Il serait toutefois excessif de présenter l’IA comme une arme absolue entre les mains des attaquants. La plupart des intrusions exploitent encore des failles ordinaires : un mot de passe faible, un logiciel non mis à jour, un accès distant mal sécurisé. L’IA abaisse surtout le coût et le temps nécessaires pour mener des campagnes crédibles à grande échelle. Elle ne remplace pas les causes classiques des incidents.

L’IA utilisée en interne, un risque que l’on sous-estime

Le sujet a un second versant, moins commenté. Dans de nombreuses entreprises, les salariés utilisent des assistants d’IA grand public pour rédiger, traduire ou analyser des documents, parfois sans que la direction le sache. Ces usages non encadrés, que l’on désigne souvent par l’expression « IA fantôme » (shadow AI), peuvent conduire à copier dans un outil externe des données clients, des contrats ou des éléments financiers. L’étude IBM 2025 a consacré une part de son analyse à ce phénomène. Ses auteurs observent que les organisations confrontées à un usage important d’IA non autorisée subissent des coûts de violation plus élevés, et qu’une large majorité des entreprises ayant signalé un incident lié à l’IA n’avaient pas de contrôles d’accès adaptés. Là encore, ces conclusions viennent d’un éditeur qui vend aussi des solutions de sécurité, et il convient de les lire comme un signal plus que comme une mesure définitive. Pour un dirigeant de PME, la réponse n’est pas forcément d’interdire ces outils, ce qui est rarement tenable. Il s’agit plutôt de définir ce qui peut y être saisi, d’identifier les services acceptables et de former les équipes.

Protéger les données, une obligation autant qu’un intérêt

La protection des données n’est pas seulement une question technique. C’est aussi un cadre juridique, qui varie selon les pays mais converge dans ses principes. Dans l’Union européenne, le RGPD impose depuis 2018 des obligations de sécurité et de notification des violations, quelle que soit la taille de l’entreprise. La directive NIS2 étend en outre les exigences de cybersécurité à un nombre plus large de secteurs et d’entités, y compris des acteurs de taille intermédiaire, avec des transpositions nationales qui avancent à des rythmes différents. Au Maroc, la loi 09-08 sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel, contrôlée par la CNDP, et la loi 05-20 relative à la cybersécurité, dont la mise en œuvre est suivie par la Direction générale de la sécurité des systèmes d’information (DGSSI), structurent le cadre applicable. Les entreprises qui travaillent avec des clients ou des partenaires européens peuvent en outre relever des deux régimes à la fois. Ces contraintes font débat. Pour certains dirigeants et organisations patronales, elles représentent une charge administrative disproportionnée pour des structures qui n’ont pas de juriste ni de responsable de la conformité. Pour les autorités et les spécialistes, elles constituent au contraire un socle minimal, qui oblige les entreprises à cartographier leurs données et à anticiper les incidents plutôt que de les subir. Les deux positions ne s’excluent pas : l’enjeu est de rendre ces exigences applicables sans les vider de leur sens.

Les mesures de base qui font la différence

Face à ces risques, nous entendons parfois que la cybersécurité exigerait des investissements hors de portée. Les agences publiques de plusieurs pays répètent pourtant que l’essentiel repose sur un nombre limité de pratiques, appliquées avec constance. Parmi les recommandations qui reviennent le plus souvent : activer l’authentification à deux facteurs sur la messagerie, les outils de gestion et les accès distants, maintenir à jour les systèmes, les logiciels et les équipements réseau, réaliser des sauvegardes régulières, dont au moins une copie déconnectée du réseau, et tester leur restauration, limiter les droits d’accès de chaque salarié à ce dont il a réellement besoin, former les équipes à reconnaître les messages suspects et à vérifier par un second canal toute demande de virement inhabituelle, rédiger un plan de réaction simple : qui prévenir, quoi isoler, comment communiquer. Aucune de ces mesures ne garantit l’absence d’incident. Mais elles réduisent la surface d’attaque, limitent les dégâts et raccourcissent le temps de reprise, ce qui compte souvent davantage que l’idée d’une protection parfaite. Pour les entreprises dont les moyens internes sont limités, recourir à un prestataire spécialisé ou à une assurance cyber peut compléter ce dispositif, à condition de lire attentivement les exclusions de garantie.

Une veille technologique devenue nécessaire

Les menaces et les règles bougent plus vite que les cycles budgétaires d’une PME. Suivre l’actualité technologique n’est donc plus un exercice réservé aux passionnés : c’est une composante de la gestion du risque. Cette veille ne remplace pas l’expertise d’un spécialiste, mais elle aide un dirigeant à poser les bonnes questions et à repérer les signaux faibles avant qu’ils ne deviennent des incidents.

Une question de gouvernance autant que d’outils

Ce que nous retenons de ces données, c’est que la cybersécurité des PME relève moins d’une course technologique que d’une question d’organisation. Les attaques évoluent, l’IA les rend plus crédibles, la réglementation se durcit. Mais les entreprises qui s’en sortent le mieux sont généralement celles qui ont identifié leurs données sensibles, désigné un responsable et répété leurs réflexes avant la crise. Reste une question ouverte : jusqu’où les pouvoirs publics doivent-ils accompagner les petites structures, par des aides, des audits ou des dispositifs mutualisés, plutôt que de se limiter à des obligations ? La réponse conditionnera sans doute la capacité des économies, au Maroc comme en Europe, à protéger leur tissu d’entreprises.

FAQ

Une petite entreprise est-elle vraiment une cible ? Oui. Beaucoup d’attaques sont automatisées et visent des failles connues, sans considération de taille. Les petites structures sont même parfois privilégiées, car leurs défenses sont plus faibles. Quelle est la première mesure à mettre en place ? L’authentification à deux facteurs sur la messagerie et les accès distants, associée à des sauvegardes testées. Ce sont des mesures peu coûteuses qui bloquent ou limitent une grande partie des incidents courants. L’intelligence artificielle rend-elle les attaques inévitables ? Non. Elle rend certaines attaques, comme le phishing, plus crédibles, mais les protections de base restent efficaces. Les procédures de vérification, notamment pour les virements, deviennent plus importantes. Les salariés peuvent-ils utiliser des outils d’IA en toute sécurité ? Oui, à condition de fixer des règles : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, et qui est responsable de ce cadre.