Avec dix chiffres relevés chaque mois par votre prestataire informatique, vous pouvez savoir si votre entreprise est mieux protégée qu'au printemps. Chacun d'eux vous indique aussi où placer votre prochain euro de sécurité.
En 2025, le piratage de compte a été la première menace des entreprises et associations, avec 21 % des demandes d'assistance et une hausse de 52 % en un an, d'après le classement des cybermalveillances professionnelles de 2025 publié par Cybermalveillance.gouv.fr. Récemment, on vous avons expliqué pourquoi les pirates visent en priorité le dirigeant de PME. Dans cet article, que vous pouvez lire dans l'encadré ci-dessous, vous comprendrez pourquoi même si vous n'êtes pas de la partie, vos données et vos systèmes ne sont pas invulnérables et doivent donc être protégés correctement.
Pour suivre le niveau de risque de votre entreprise sans formation technique, vous pouvez tenir un tableau de bord cyber. Il s'agit d'une page de synthèse sans jargon, où vous pouvez rattacher chaque indicateur à une décision de votre ressort, de la formation d'une équipe au remplacement d'un poste.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Vos salariés et les tentatives de fraude
En 2025, l'hameçonnage a été à l'origine de 55 % des cyberattaques significatives subies par les organisations interrogées pour le baromètre annuel du CESIN. Les membres de ce club sont les responsables de la sécurité informatique de grandes entreprises et d'ETI françaises. Vos salariés reçoivent la plupart de ces tentatives d'hameçonnage par courriel, et vous pouvez suivre leur vigilance avec trois chiffres de votre tableau de bord.
1. La part de salariés sensibilisés dans l'année
Comme le démontre le baromètre de maturité cyber publié par Cybermalveillance.gouv.fr en octobre 2025, dans 60 % des TPE et PME interrogées, la direction avait organisé au moins une action de sensibilisation, contre 90 % dans les entreprises de plus de dix salariés. Pour votre tableau de bord, le calcul est simple. Vous divisez le nombre de salariés formés au cours des douze derniers mois par votre effectif total, puis vous surveillez l'évolution de ce ratio, en particulier après chaque vague d'embauches.
2. Le taux de clic lors des faux courriels d'hameçonnage
Votre prestataire peut envoyer à vos équipes de faux e-mails piégés, puis compter les clics et les signalements. Si le taux de clic augmente entre deux campagnes, vous pouvez demander un résultat par service et savoir quelle équipe former en priorité. Vous avez aussi intérêt à suivre le nombre de salariés qui ont signalé le faux message au prestataire, car un salarié vigilant peut alerter toute l'entreprise avant qu'un collègue ne clique sur une vraie campagne.
3. Le nombre de tentatives de fraude au virement repérées
Dans le classement de Cybermalveillance.gouv.fr, la fraude au faux ordre de virement était la troisième menace des entreprises et associations en 2025, avec 13,5 % des demandes d'assistance et une hausse de 93 % en un an. Un escroc peut usurper l'identité d'un fournisseur et demander par courriel un changement de RIB à votre service comptable.
Votre comptable peut noter chaque demande suspecte de modification de coordonnées bancaires, puis vous en présenter le total en fin de mois. Dès la deuxième tentative dans le mois, vous pouvez imposer un contre-appel systématique au numéro habituel du fournisseur, avant chaque virement vers un nouveau compte.
Vos comptes et vos accès
Avant de couvrir une PME, les assureurs cyber vérifient la protection de ses comptes. On vous a listé les conditions des assureurs cyber pour couvrir une PME, à commencer par la double authentification sur la messagerie et les consoles d'administration. Trois indicateurs de votre tableau de bord portent sur ces accès.
4. La part de comptes protégés par double authentification
Votre prestataire peut compter les comptes de messagerie et d'accès à distance protégés par double authentification, puis rapporter ce nombre au total des comptes actifs. Sur la messagerie, l'objectif est de 100 %, car un pirate peut prendre le contrôle d'une seule boîte non protégée pour envoyer de faux ordres de virement à vos clients.
5. Le nombre de comptes administrateurs
Avec un compte administrateur, un utilisateur peut installer des logiciels et désactiver l'antivirus d'un poste. Il arrive qu'un dirigeant de PME travaille au quotidien avec ce type de compte, si bien qu'un pirate peut obtenir les pleins pouvoirs sur le réseau dès que ce dirigeant ouvre une pièce jointe piégée. Vous avez intérêt à garder ce chiffre au plus bas, avec pour chaque personne concernée un compte d'administration séparé de son compte de travail quotidien.
6. Les accès encore ouverts pour d'anciens salariés et prestataires
Dans 35 % des cas, les répondants du CESIN ont subi une attaque indirecte, via un prestataire ou un fournisseur. Chaque mois, votre prestataire peut comparer la liste des comptes actifs à celle de vos départs de salariés et de vos contrats de prestation terminés. Il suffit d'un seul compte d'ancien salarié encore actif pour qu'un pirate entre dans votre réseau avec des identifiants volés. Pour chaque compte de ce type, vous pouvez donc exiger une fermeture dans la journée.
Vos sauvegardes et vos mises à jour
Dans 8,1 % des cas, en 2025, une entreprise ou une association a sollicité Cybermalveillance.gouv.fr après un ransomware, qui peut chiffrer vos fichiers ainsi que les sauvegardes branchées en permanence au réseau, avant que ses opérateurs ne vous réclament une rançon.
7. La date du dernier test de restauration réussi
Tant que personne n'a restauré une sauvegarde, vous ignorez si elle fonctionne. Votre prestataire peut restaurer chaque mois un dossier choisi au hasard, puis noter la date et la durée de l'opération. Les assureurs exigent en outre le respect de la règle du 3-2-1-1-0. Elle impose trois copies de vos données, sur deux supports différents, dont une hors ligne. Si la dernière restauration réussie date de plus de trois mois, vous pouvez demander un test avant la fin de la semaine.
8. Le délai d'installation des correctifs critiques
L'exploitation de failles non corrigées a été le deuxième vecteur d'attaque recensé par le CESIN, avec 41 % des cas, derrière le phishing. Demandez à votre prestataire le nombre de jours écoulés entre la publication d'un correctif critique par un éditeur et son installation sur vos postes et serveurs. Si ce délai augmente d'un mois sur l'autre, votre prestataire manque probablement de temps ou d'outils d'automatisation. Vous pouvez aborder ce point lors de votre prochaine réunion.
9. Le nombre de machines privées de mises à jour de sécurité
Le 14 octobre dernier, Microsoft a publié le dernier correctif gratuit de Windows 10. Depuis, vous ne pouvez prolonger les mises à jour de sécurité de ce système qu'avec un abonnement payant, limité à trois ans. Sans cet abonnement, Microsoft ne publie plus aucun correctif pour vos postes sous Windows 10, même contre une faille exploitée par des pirates.
Votre prestataire peut vous indiquer chaque mois le nombre de postes et de serveurs privés de mises à jour de sécurité par leur éditeur. Avec ce chiffre, vous pouvez inscrire le remplacement de ces machines dans le budget de l'an prochain.
Votre budget et la revue mensuelle
10. La part du budget informatique consacrée à la sécurité
Dans le baromètre du CESIN, 42 % des répondants ont indiqué un budget de cybersécurité égal ou supérieur à 5 % de leur budget informatique, et 70 % ont estimé leurs ressources insuffisantes. Quatre répondants sur dix travaillent dans une grande entreprise, si bien que ce repère n'est qu'un ordre de grandeur pour une PME. Additionnez vos dépenses annuelles de licences de sécurité, de prestations, de formation et d'assurance cyber, puis divisez ce total par votre budget informatique annuel. Mettez ce ratio à jour à chaque nouvelle dépense, et regardez surtout son évolution d'un trimestre à l'autre.
Pour décider à partir de ces dix chiffres, réservez trente minutes par mois avec votre prestataire ou votre référent informatique. Demandez-lui une seule page, avec la valeur du mois précédent à côté de chaque indicateur. Fixez ensuite pour chacun un seuil d'alerte, et décidez à l'avance de l'action à lancer dès qu'il est franchi. Si vous ne savez pas par où commencer, demandez un diagnostic cyber gratuit à l'ANSSI, via son service MonAideCyber. Un aidant formé par l'agence mène cette session d'une heure trente dans vos locaux ou en visioconférence, puis vous remet six recommandations adaptées à votre entreprise.
Dans le baromètre de maturité cyber des TPE-PME d'octobre 2025, la direction de 58 % des entreprises interrogées estimait son niveau de protection bon ou très bon, alors que 58 % des répondants admettaient ne pas savoir évaluer les conséquences d'une cyberattaque sur leur activité.
