La cybersécurité, c’est quoi ?

Vous fermez votre bureau à clé le soir, vous assurez vos locaux et vous ne laissez pas le chéquier sur le comptoir. Pourtant, l’essentiel de la valeur de votre entreprise ne se trouve plus dans un tiroir : il circule dans des messageries, des logiciels de gestion, des espaces de stockage en ligne et des téléphones. La cybersécurité, c’est l’art de protéger cette valeur-là.

Ce premier chapitre pose les fondations de toute la série. Pas de jargon inutile : quelques notions solides, des exemples concrets et des chiffres officiels.

Une définition simple

La cybersécuritéCybersécuritéEnsemble des mesures techniques, organisationnelles et humaines qui protègent les systèmes informatiques, les données et les personnes contre les attaques, les erreurs et les pannes. regroupe l’ensemble des mesures techniques, organisationnelles et humaines qui protègent les informations et les systèmes contre l’accès, l’usage, la divulgation, la perturbation, la modification ou la destruction non autorisés. C’est, à peu de chose près, la définition retenue par le NIST, l’institut américain de normalisation, et elle a le mérite d’être complète.

Trois idées à retenir dès maintenant :

• On protège d’abord des informations et des services, pas des machines. Un ordinateur se remplace en une journée ; un fichier clients divulgué, jamais.
• La technique ne suffit pas. Une bonne partie des attaques passe par une personne pressée, un processus mal conçu ou un prestataire mal protégé.
• Le risque zéro n’existe pas. L’objectif est de rendre l’attaque difficile, de la repérer vite et de s’en relever.

Ce que l’on protège : les actifs

Avant de protéger quoi que ce soit, il faut savoir ce qui compte. La méthode d’analyse de risques de l’ANSSI, EBIOS Risk Manager, distingue deux familles d’actifs :

• les valeurs métier : ce qui fait vivre l’entreprise, par exemple la capacité à produire, à facturer, à livrer, le savoir-faire, les données des clients et des salariés ;
• les biens supports : ce sur quoi reposent ces valeurs, comme les postes de travail, les serveurs, les comptes de messagerie, les applications en ligne, les locaux et les personnes.

Un exercice simple, à faire en comité de direction : listez les cinq informations ou services dont la perte vous mettrait en difficulté en moins d’une semaine. Vous venez de dessiner votre première carte des priorités.

La triade CIA : confidentialité, intégrité, disponibilité

Les spécialistes résument les objectifs de sécurité en trois lettres, CIA en anglais (confidentiality, integrity, availability), DIC en français. C’est la triade CIATriade DIC (disponibilité, intégrité, confidentialité)Les trois objectifs fondamentaux de la sécurité de l’information : la confidentialité (seules les personnes autorisées accèdent aux données), l’intégrité (les données ne sont pas modifiées à tort) et la disponibilité (elles restent accessibles quand on en a besoin)., la grille de lecture la plus utile du métier.

Beaucoup de référentiels français ajoutent un quatrième critère, la traçabilité (ou preuve) : pouvoir établir qui a fait quoi, et quand. C’est elle qui permet de comprendre une attaque après coup.

Une même attaque touche souvent plusieurs critères à la fois. Les groupes de rançongiciel actuels volent d’abord les données (confidentialité), puis les chiffrent (disponibilité), et menacent de les publier si la rançon n’est pas payée.

Menace, vulnérabilité, risque : le trio à ne pas confondre

Ces trois mots sont souvent employés l’un pour l’autre. Ils désignent pourtant des choses très différentes.

• Une menaceMenaceToute cause potentielle d’incident, qu’il s’agisse d’un attaquant, d’un logiciel malveillant, d’une erreur humaine ou d’une catastrophe naturelle, susceptible de nuire à vos systèmes ou à vos données. est ce qui pourrait causer un dommage : un groupe criminel, un salarié malveillant, une simple erreur de manipulation, voire une inondation.
• Une vulnérabilitéVulnérabilitéFaiblesse d’un logiciel, d’un matériel, d’une configuration ou d’une procédure qu’un attaquant peut exploiter pour obtenir un accès ou un effet non autorisé. est une faiblesse qui permet à la menace d’agir : un logiciel non mis à jour, un mot de passe réutilisé, un salarié jamais sensibilisé, une sauvegarde jamais testée.
• Le risqueRisquePossibilité qu’une menace exploite une vulnérabilité et cause un dommage, estimée en combinant la vraisemblance de l’événement et la gravité de son impact. est la possibilité d’un dommage réel. Il combine la vraisemblance qu’une menace exploite une vulnérabilité et la gravité des conséquences pour vos actifs.

Une analogie aide à fixer les idées. Les cambrioleurs du quartier sont la menace. La fenêtre du rez-de-chaussée laissée entrouverte est la vulnérabilité. Le risque dépend de ce qu’il y a derrière la fenêtre : un placard vide ou le coffre de l’entreprise.

On résume parfois ce raisonnement par une formule de pédagogue : risque = menace × vulnérabilité × impact. Ce n’est pas une équation mathématique, mais elle montre l’essentiel : si l’un des facteurs tend vers zéro, le risque baisse. Les méthodes formelles, comme le guide NIST SP 800-30 ou EBIOS Risk Manager, retiennent la même logique en croisant vraisemblance et impact.

Où pouvez-vous agir ?

Vous ne choisissez pas vos attaquants. En revanche, vous avez la main sur deux leviers :

1. Réduire les vulnérabilités : appliquer les correctifs, activer la double authentificationAuthentification multifacteur (MFA)Connexion qui exige au moins deux preuves d’identité de natures différentes (ce que vous savez, ce que vous possédez, ce que vous êtes), pour qu’un mot de passe volé ne suffise plus., retirer les accès inutiles, former les équipes.
2. Réduire l’impact : sauvegarder correctement, cloisonner le réseau, préparer un plan de crise, s’assurer.

La somme de tous les points par lesquels un attaquant peut tenter d’entrer s’appelle la surface d’attaqueSurface d’attaqueEnsemble des points par lesquels un attaquant peut tenter d’entrer dans votre système d’information ou d’en extraire des données : services exposés sur Internet, applications, comptes, équipements, prestataires et personnes. : sites web, messageries, accès à distance, comptes cloud, mais aussi prestataires et salariés. Chaque service exposé inutilement est une porte de plus à surveiller. Savoir ce qu’un attaquant voit de vous depuis Internet est un excellent point de départ ; c’est d’ailleurs le principe de l’audit de surface que propose KrakenShield.

La défense en profondeur

Imaginez un château fort. Il n’a pas qu’un mur : il a des douves, un pont-levis, des remparts, des tours de guet, un donjon et des réserves pour tenir un siège. Si l’assaillant franchit une ligne, la suivante le ralentit, et les guetteurs le repèrent.

La défense en profondeurDéfense en profondeurStratégie qui superpose plusieurs couches de protection indépendantes, de sorte que la défaillance de l’une soit compensée par les autres. applique la même idée au numérique. Dans sa fiche méthodologique de juillet 2026, l’ANSSI part d’un principe simple : tout composant ou toute mesure de sécurité peut être faillible. Il faut donc combiner des mesures techniques, organisationnelles et physiques qui augmentent le coût de l’attaque, facilitent sa détection et limitent son impact. Ces mesures doivent être multiples, robustes et surtout indépendantes, pour qu’une seule technique d’attaque ne les contourne pas toutes.

L’agence organise cette démarche en quatre piliers :

Un conseil de l’ANSSI surprend souvent : renforcer d’abord la gouvernance et la résilience, avant d’améliorer protection et détection. Autrement dit, maîtriser son système et savoir fonctionner en mode dégradé passe avant l’achat d’un nouvel outil. Une fois ces bases solides, une organisation mature peut aller vers une approche Zero TrustZero Trust (confiance zéro)Modèle de sécurité qui n’accorde aucune confiance par défaut à un utilisateur ou à un appareil, même à l’intérieur du réseau, et vérifie chaque accès selon l’identité, l’état de l’appareil et le contexte., où aucun accès n’est accordé sur la seule foi de l’emplacement réseau.

Le cadre américain NIST Cybersecurity Framework 2.0, publié en 2024, dit la même chose avec six fonctions : gouverner, identifier, protéger, détecter, répondre, rétablir. Deux référentiels, une même logique.

Pourquoi toutes les entreprises sont concernées

Les chiffres officiels de 2025 sont sans appel.

Derrière ce total, on trouve 27 934 entreprises et associations et 5 078 collectivités et administrations. Les demandes des entreprises et associations ont bondi de 73 % en un an. Leurs quatre premiers motifs :

1. le piratage de compte (21 % des demandes) ;
2. l’hameçonnage (phishing)Hameçonnage (phishing)Escroquerie qui imite un expéditeur de confiance (banque, fournisseur, collègue) par e-mail, SMS, appel ou QR code pour pousser la victime à cliquer, à livrer ses identifiants ou à payer. (16 %) ;
3. la fraude au virement, faux ordres et faux RIB compris (13,5 %, en hausse de 93 %) ;
4. le rançongicielRançongiciel (ransomware)Logiciel malveillant qui chiffre les données d’une organisation et exige une rançon pour les restituer, souvent en menaçant aussi de publier les données volées. (8,1 %), qui reste selon la plateforme la menace la plus redoutable pour une organisation.

Du côté de l’ANSSI, 1 366 incidents ont été portés à la connaissance de l’agence en 2025, dont 128 compromissions par rançongiciel. Et le Panorama de la cybermenace est clair : les PME, TPE et ETI restent la catégorie d’entités la plus touchée par les rançongiciels.

Les fuites de données suivent la même pente : la CNIL a reçu 6 167 notifications de violations de données en 2025, un record, et une sur deux relevait d’un piratage.

Enfin, l’édition 2026 du rapport Verizon sur les violations de données montre que 31 % d’entre elles commencent désormais par l’exploitation d’une faille logicielle. Les outils qui cherchent ces failles balaient Internet en permanence, sans regarder la taille de l’entreprise derrière l’adresse.

Les mythes qui coûtent cher

« Nous sommes trop petits pour être visés »

C’est le mythe le plus répandu, et le plus dangereux. La plupart des attaques sont opportunistes : des robots testent des millions de mots de passe et d’adresses, et les criminels exploitent ce qui cède. Vous n’êtes pas choisi, vous êtes trouvé. Une petite structure est même une cible commode : moins de défenses, des décisions rapides, et parfois un accès vers des clients plus importants.

« Nous n’avons rien qui intéresse un pirate »

Vous avez au minimum un compte bancaire, une messagerie qui inspire confiance à vos clients et une activité qui s’arrête si vos fichiers deviennent illisibles. Cela suffit pour une fraude au virement, un hameçonnage envoyé en votre nom ou une rançon.

« Nous avons un antivirus et un pare-feu, ça suffit »

Le baromètre 2025 des TPE-PME montre que 84 % d’entre elles ont un antivirus et 69 % un pare-feu. Pourtant, 80 % se déclarent non préparées à une attaque ou ne savent pas si elles le sont. Un antivirus n’arrête pas un mot de passe volé utilisé depuis l’étranger, ni un faux RIB glissé dans un échange de courriels.

« C’est l’affaire du prestataire informatique »

Le prestataire met en œuvre, mais c’est la direction qui décide du niveau de risque acceptable et qui en répond. Le RGPD impose déjà au responsable du traitement des mesures de sécurité adaptées au risque, et la directive européenne NIS2, en cours de transposition en France, renforcera la responsabilité des dirigeants des entités concernées.

Par où commencer ?

La bonne nouvelle, c’est que quelques mesures simples écartent une grande partie des attaques courantes. Le guide d’hygiène informatique de l’ANSSI et les recommandations de Cybermalveillance.gouv.fr convergent sur un socle :

La cybersécurité n’est pas un projet qu’on termine : c’est une hygiène, comme la comptabilité ou la sécurité au travail. Dans le chapitre suivant, nous verrons qui sont les attaquants et ce qu’ils cherchent vraiment, car on se défend toujours mieux quand on connaît son adversaire.