À retenir sur les cyberattaques
- Se protéger suppose deux chantiers distincts : réduire la probabilité d’être compromis, et réduire ce que l’incident coûte s’il aboutit.
- Les points d’entrée sont concentrés : équipements exposés sur Internet et identifiants compromis représentent l’essentiel des cas recensés.
- Le socle est gratuit avant d’être payant : les 42 mesures d’hygiène de l’ANSSI ne supposent pas d’investissement lourd.
Ces deux logiques relèvent de deux métiers différents : la première de la cybersécurité, la seconde du PRA informatique. Cet article les traite dans l’ordre où elles produisent le plus d’effet à budget donné.
Par où les attaques entrent réellement ?
Les points d’entrée ne sont pas diffus, ils sont concentrés. Dans son Panorama de la cybermenace 2025, l’ANSSI relève que les équipements de bordure — pare-feu, accès distants, services publiés sur Internet — restent une cible privilégiée en raison du nombre de vulnérabilités qui les affectent, et insiste sur l’enjeu de la gestion des vulnérabilités. Le constat rejoint celui de l’éditeur Sophos dans son State of Ransomware 2025 : l’exploitation d’une vulnérabilité est la première cause d’incident par rançongiciel, dans 32 % des cas, devant les identifiants compromis à 23 %.
La taille de l’entreprise ne protège pas. L’ANSSI a enregistré 1 366 incidents en 2025, et 48 % des victimes de rançongiciel identifiées cette année-là étaient des TPE, PME et ETI, contre 37 % un an plus tôt. Le mode opératoire évolue aussi : l’agence a été informée de 196 incidents d’exfiltration de données, contre 130 l’année précédente. Une attaque peut donc coûter cher sans qu’un seul fichier soit chiffré.
Conséquence pratique : avant tout achat d’outil, savoir ce qui est exposé. Un inventaire des services accessibles depuis Internet et un cycle de correctifs appliqué en priorité à ces équipements traitent l’essentiel du volume constaté.
Le socle avant les outils
Le Guide d’hygiène informatique de l’ANSSI rassemble 42 mesures présentées comme le socle minimum à respecter pour protéger les informations d’une organisation. Aucune ne suppose un investissement lourd. Elles portent sur la connaissance du système d’information, la gestion des comptes et des droits, l’authentification, la mise à jour des composants, la sécurisation des accès distants et la sensibilisation des utilisateurs.
Le guide distingue deux niveaux d’exigence, standard et renforcé. Appliquer le niveau standard sur l’ensemble du périmètre produit plus de réduction de risque qu’un renforcement partiel sur quelques systèmes : une mesure contournable ailleurs ne protège pas vraiment le périmètre qu’elle couvre. Le niveau renforcé se réserve ensuite aux comptes à privilèges et aux systèmes qui portent les données sensibles.
Des sauvegardes hors d’atteinte
Les sauvegardes sont devenues une cible en soi, parce que leur destruction supprime l’alternative au paiement. L’analyse de Sophos The Impact of Compromised Backups on Ransomware Outcomes relève que 94 % des organisations touchées ont constaté une tentative de compromission de leurs sauvegardes, et que 57 % de ces tentatives ont abouti. Autrement dit, dans plus d’un cas sur deux, l’attaquant a effectivement dégradé la capacité de restauration de sa victime.
Les recommandations de l’ANSSI dans Sauvegarde des systèmes d’information – Les fondamentaux répondent directement à ce mode opératoire.
Une infrastructure de sauvegarde indépendante
Les serveurs qui hébergent l’infrastructure de sauvegarde ne doivent pas être intégrés aux annuaires de production, de manière à ce que la compromission d’un Active Directory n’ouvre pas l’accès aux copies. Les comptes d’administration de la sauvegarde doivent être dédiés et nominatifs, et une procédure d’isolation d’urgence doit être prévue en cas de suspicion de compromission.
Au moins une copie hors ligne
L’ANSSI recommande de disposer d’une sauvegarde hors ligne, même à une fréquence moindre que les sauvegardes locales. La CNIL retient de son côté la règle 3-2-1 — trois copies, sur deux supports différents, dont une hors ligne — comme état de l’art en matière de sauvegarde.
Une capacité de reprise, pas seulement des copies
Disposer de copies saines ne dit rien du délai de retour en production. Entre une sauvegarde exploitable et un système d’information redémarré, il y a un environnement d’accueil, un ordre de redémarrage qui respecte les dépendances applicatives, et des procédures que quelqu’un a déjà exécutées au moins une fois.
Les deux paramètres du plan de reprise se définissent avec les métiers, pas avec la DSI seule : la durée d’interruption acceptable et le volume de données que l’entreprise accepte de perdre. Ce sont les indicateurs RTO et RPO, et ils conditionnent l’ensemble des choix techniques en aval.
Une réplication continue vers un site secondaire améliore le délai de reprise, mais elle recopie fidèlement ce qui se passe en production, chiffrement compris. Elle complète des sauvegardes protégées, elle ne les remplace pas. Et une restauration jamais testée reste une hypothèse : le test est la seule manière de vérifier que les délais annoncés correspondent à la réalité.
Un ordre de priorité tenable
Le budget étant fini, la séquence compte plus que l’exhaustivité :
- Inventorier ce qui est exposé sur Internet et cartographier le système d’information.
- Corriger en priorité les équipements de bordure et les services publiés.
- Reprendre en main les comptes, les droits et l’authentification.
- Isoler et protéger les sauvegardes, dont une copie hors ligne.
- Tester la restauration, puis construire la capacité de reprise.
Les trois premières étapes réduisent la probabilité d’être touché, les deux dernières limitent ce que l’incident coûte. Aucune ne dispense des autres.
Questions fréquentes sur la cybersécurité
Par quoi commencer pour protéger son entreprise d’une cyberattaque ?
Pour protéger son entreprise, il faut commencer par un inventaire de ce qui est accessible depuis Internet, puis par l’application des correctifs sur ces équipements. C’est le vecteur le plus fréquemment exploité selon l’ANSSI et Sophos, et cette étape ne nécessite aucun achat.
Une sauvegarde dans le cloud suffit-elle contre un rançongiciel ?
Si une sauvegarde reste accessible depuis le système d’information compromis alors elle ne suffit pas. Ce qui compte n’est pas l’emplacement mais l’isolement : une copie que les identifiants de production ne permettent pas d’atteindre, dont au moins une hors ligne.
Faut-il un plan de reprise quand on a déjà des sauvegardes ?
Les sauvegardes garantissent l’existence des données, pas le délai pour les remettre en service. Le plan de reprise définit ce délai, l’environnement qui accueille le redémarrage et l’ordre dans lequel les applications remontent.
Les PME sont-elles réellement visées par les cyberattaques ?
En 2025, 48 % des victimes de rançongiciel recensées par l’ANSSI étaient des TPE, PME et ETI, contre 37 % l’année précédente.
Sources
- ANSSI, Panorama de la cybermenace 2025, CERT-FR, mars 2026 — cyber.gouv.fr
- ANSSI, Guide d’hygiène informatique : renforcer la sécurité de son système d’information en 42 mesures — cyber.gouv.fr (URL à confirmer avant publication)
- ANSSI, Sauvegarde des systèmes d’information – Les fondamentaux, ANSSI-BP-100, version 1.1, 27 novembre 2025 — messervices.cyber.gouv.fr
- CNIL, fiche Sécurité : Sauvegarder — cnil.fr
- Sophos, The State of Ransomware 2025 — sophos.com
- Sophos, The Impact of Compromised Backups on Ransomware Outcomes — sophos.com
