Analyse de risques cybersécurité : la méthode pour une PME

Comment réaliser une analyse de risques cybersécurité en PME ?

Cinq étapes suffisent. Vous dressez la liste de ce qui compte, vous cherchez ce qui peut l'atteindre, vous estimez la gravité et la probabilité, vous décidez, puis vous suivez. Le livrable n'est pas un classeur de quatre-vingts pages. C'est une liste courte de risques classés, chacun avec un responsable et une date.

Cet article détaille la méthode. Pour le cadre général de pilotage (politique, reporting, rôle du RSSI), reportez-vous à notre page gouvernance cybersécurité.

1. Lister ce qui compte. Fichiers clients, ERP, messagerie, serveur, accès distant, comptes administrateur. Posez la question aux métiers : si cet outil s'arrête demain matin, que devient l'activité ?
2. Repérer les menaces et les failles. Hameçonnage, compte sans double authentification, sauvegarde jamais restaurée, poste non mis à jour, accès d'un ancien salarié encore actif, prestataire avec un accès permanent.
3. Estimer l'impact et la probabilité. Trois niveaux (faible, moyen, fort) suffisent. Je déconseille les grilles à dix niveaux : elles donnent une fausse précision et personne ne les relit.
4. Décider du traitement. Réduire le risque par une mesure, l'accepter en connaissance de cause, le transférer (assurance, contrat) ou supprimer l'activité qui le crée.
5. Planifier et suivre. Un risque sans propriétaire n'est pas traité. Chaque ligne du plan reçoit un nom, une échéance et un statut.

Quelle différence avec un audit ou un test d'intrusion ?

L'analyse de risques donne la vue d'ensemble et hiérarchise. L'audit vérifie l'état réel de vos systèmes : configurations, droits, correctifs. Le test d'intrusion tente concrètement d'exploiter les failles.

L'ordre compte. Commencez par l'analyse, elle désigne les actifs critiques. Faites ensuite vérifier ceux-là en priorité. Lancer un pentest sans cette étape revient à payer pour chercher partout, alors que trois ou quatre systèmes portent l'essentiel du risque. Notre méthodologie d'audit de sécurité et notre article sur le test d'intrusion détaillent ces deux étapes.

Faut-il se limiter à l'informatique ?

Non, et c'est l'erreur la plus fréquente. Un risque cyber naît souvent hors des serveurs. La procédure d'arrivée et de départ des salariés, le local technique accessible à tous, la seule personne qui connaît les mots de passe d'administration : tout cela relève de l'organisation, des ressources humaines et de la sécurité physique. Une analyse sérieuse les inclut.

Quel outil pour tenir cette analyse ?

Un tableur, au départ. Une ligne par risque, des colonnes pour l'actif, la menace, l'impact, la probabilité, le traitement, le responsable et l'échéance. Les actions elles-mêmes se suivent dans un gestionnaire de tickets, là où votre équipe travaille déjà.

Une plateforme dédiée à la gestion des risques ne se justifie que lorsque plusieurs périmètres ou plusieurs sites alimentent la même vue. Avant cela, elle ajoute de la saisie sans ajouter de clarté. Nous en parlons dans équiper un RSSI de PME sans excès.

À quelle fréquence la refaire ?

Au minimum une fois par an. Refaites-la aussi à chaque changement qui déplace le risque : migration vers le cloud, nouvel outil métier, ouverture d'un site, changement de prestataire, incident sérieux. Une analyse figée dans un tiroir devient fausse en quelques mois, sans que personne ne s'en aperçoive.

Que doit contenir le rapport pour la direction ?

Quatre choses, pas davantage. Les risques majeurs, écrits en langage d'activité (« facturation à l'arrêt », « données clients exposées ») et non en jargon technique. Ce que chaque risque coûterait en perte d'exploitation. Les décisions que la direction doit prendre. Le calendrier des actions.

Le dirigeant n'a pas à valider la liste des vulnérabilités. Il arbitre entre budget, délai et risque accepté. Le rapport doit lui permettre de le faire.

Que fait GiGaRuN sur ce sujet ?

Nous commençons par un pré-diagnostic gratuit de 20 minutes, sans engagement, pour cadrer votre exposition et voir si le RGPD ou NIS2 vous concernent. Vient ensuite l'audit de sécurité, prestation sur devis : pour une PME de 10 à 50 postes, comptez 1 à 3 jours d'analyse. Le rapport vous est remis sous une semaine, avec un plan d'action hiérarchisé selon la criticité des risques.

La suite est pilotée par un RSSI externalisé, qui suit le plan et rend compte à la direction. Il est inclus au niveau Platine, dès 40 € HT par poste et par mois. Nous accompagnons votre démarche et documentons vos mesures, mais nous ne délivrons aucune attestation de conformité : cette responsabilité reste celle de votre organisation.