Votre entreprise a un antivirus, un pare-feu et des sauvegardes. Sur le papier, l’essentiel est couvert. Sauf que cet équipement a été pensé pour une organisation où tout le monde travaillait au même endroit, sur le même réseau. Ce n’est plus le cas depuis longtemps. Voyons ce que les chiffres officiels disent réellement du niveau de protection des TPE-PME françaises, où se situe l’angle mort, et par quoi commencer pour le combler.
Un équipement pensé pour les locaux, pas pour le domicile
Le baromètre national de la maturité cyber des TPE-PME, réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises de moins de 250 salariés, dresse un constat sans ambiguïté. Le trio de tête de l’équipement reste stable : 84 % des entreprises disposent d’un antivirus, 78 % de sauvegardes, 69 % d’un pare-feu. Jusque-là, tout va bien.
Le problème apparaît dès que l’on regarde les dispositifs qui protègent les accès plutôt que les machines. Seules 26 % des TPE-PME ont mis en place la double authentification. Et dans 65 % des cas, aucune procédure de réaction n’est formalisée en cas d’incident. Autrement dit : le poste de travail est défendu, l’identité de celui qui s’y connecte beaucoup moins.
| 84 % antivirus, 78 % sauvegardes, 69 % pare-feu… mais seulement 26 % de double authentification. Source : baromètre Cybermalveillance.gouv.fr / OpinionWay 2025, 588 TPE-PME. |
Le vrai point d’entrée : le compte, pas la machine
Cet écart n’a rien d’anecdotique, parce qu’il correspond précisément à la direction qu’ont prise les attaques. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr place le piratage de comptes en ligne en tête des menaces touchant les professionnels, en hausse de 45 %. Les demandes d’assistance émanant d’entreprises, essentiellement des TPE et PME, ont progressé de 73 % sur l’année.
Le vecteur, lui, ne surprendra personne : parmi les entreprises victimes d’un incident, 43 % l’attribuent à l’hameçonnage, contre 24 % un an plus tôt. Un courriel, un clic, des identifiants récupérés — et l’antivirus n’a rien vu passer, pour une raison simple : il n’y avait aucun virus. L’attaquant s’est connecté avec les identifiants d’un collaborateur, exactement comme l’aurait fait le collaborateur lui-même.
Ce que le travail à distance change concrètement
Tant que tout le monde travaillait dans les locaux, le réseau de l’entreprise constituait une frontière lisible. Le pare-feu marquait l’entrée, et ce qui circulait à l’intérieur restait à l’intérieur. Avec le travail hybride, cette frontière a disparu. Vos équipes se connectent à la messagerie depuis un domicile, aux fichiers partagés depuis un espace de coworking, à l’outil de gestion depuis le wifi d’un hôtel entre deux rendez-vous clients.
C’est précisément ce trajet-là, entre le poste du collaborateur et les ressources de l’entreprise, que l’antivirus ne couvre pas et qu’un vpn entreprise est fait pour protéger. Le principe est simple : la connexion est chiffrée, et l’accès aux outils internes passe par un point contrôlé plutôt que par le réseau, souvent inconnu, sur lequel se trouve le salarié. Ce n’est pas un dispositif réservé aux grands groupes : c’est ce qui redonne à une PME distribuée la frontière que ses locaux lui offraient autrefois.
Lire aussi : Intranet Marie Blachère : comment il facilite le quotidien des employés
Par où commencer, sans budget démesuré
L’argument budgétaire revient systématiquement, et il n’est pas illégitime : selon le même baromètre, 77 % des TPE-PME consacrent moins de 2 000 € par an à la sécurité informatique. La bonne nouvelle, c’est que les mesures les plus efficaces ne sont pas les plus coûteuses. Trois chantiers, dans cet ordre :
- Activez la double authentification. C’est la mesure qui rapporte le plus par euro investi, puisqu’un mot de passe volé ne suffit alors plus à entrer. Trois entreprises sur quatre s’en passent encore.
- Sécurisez les accès distants. Chiffrez la connexion entre vos collaborateurs et vos outils, quel que soit le réseau qu’ils utilisent. C’est la brique qui manque le plus souvent à l’appel.
- Formalisez une procédure de réaction. Qui appelle-t-on, dans quel ordre, avec quelle sauvegarde ? Deux tiers des TPE-PME n’ont pas répondu à cette question, et l’improvisation coûte toujours plus cher que la préparation.
| À retenir : l’antivirus protège la machine, la double authentification protège le compte, et la connexion chiffrée protège le trajet entre les deux. Les trois ne sont pas interchangeables. |
Le constat encourageant du baromètre 2025, c’est que la prise de conscience progresse : 44 % des dirigeants estiment désormais leur entreprise fortement exposée, contre 38 % un an plus tôt. Reste à traduire cette lucidité en décisions. Aujourd’hui, huit entreprises sur dix reconnaissent manquer de préparation face à une cyberattaque. Non par négligence, mais parce qu’elles protègent encore un périmètre qui, dans les faits, n’existe plus.
