Article

Les 10 erreurs de cybersécurité en entreprise

Mis à jour le 5 octobre 2026

Accès, mises à jour, sauvegardes et suivi du parc : les dix points ci-dessous permettent de repérer les protections manquantes et d’ordonner les corrections. L’authentification forte et une restauration testée figurent parmi les premières priorités.

Pourquoi les PME sont exposées

Les attaques opportunistes repèrent automatiquement les services vulnérables. Le manque de suivi, les équipements vieillissants et l’absence de stratégie de sécurité facilitent ensuite leur propagation. Un contrôle régulier du parc permet d’identifier les corrections utiles.

La bonne nouvelle est symétrique : ce qui arrête ces attaques est standard, documenté, et à la portée d’une PME.

Les dix erreurs

Classées par ce qu’elles coûtent réellement, pas par ordre alphabétique.

01Des mots de passe faibles, partagés, ou sans second facteurComptes communs à plusieurs personnes, mot de passe réutilisé d’un service à l’autre, aucune authentification multifacteur. Un seul identifiant compromis ouvre la messagerie, les fichiers et les applications métier. C’est l’erreur numéro un, et sa correction est la moins coûteuse.

02Des systèmes non mis à jourServeurs, postes, passerelles d’accès distant, boîtiers de stockage. Ce qui est exposé à Internet et non corrigé est trouvé par balayage automatique en quelques jours, sans qu’aucun attaquant ne vous ait cherché.

03Une sauvegarde jamais restauréeElle tourne, les rapports sont verts, et personne n’a vérifié qu’un fichier en sort. C’est l’erreur la plus grave, parce qu’elle annule tous les autres efforts le jour où ils échouent. Ce que vérifie une sauvegarde testée

04Des collaborateurs non sensibilisésLe vecteur principal reste un courriel ouvert par un humain. Quelques heures de formation par an et des campagnes de test changent significativement le taux de clic — c’est le poste le moins cher du dispositif.

05Un réseau non segmentéPostes, serveurs, imprimantes, caméras et WiFi invité au même endroit, avec la même clé. Ce qui compromet le maillon le plus faible atteint alors tout le reste. La segmentation en pratique

06Trop de droits accordésDes utilisateurs administrateurs de leur poste, des accès accordés « en attendant » il y a trois ans, des comptes d’anciens salariés encore actifs. Un compte compromis fait exactement ce que ses droits permettent.

07Aucune surveillanceSans supervision, une intrusion peut rester silencieuse des semaines. Ce n’est pas l’attaque qu’on ne voit pas venir qui coûte le plus cher, c’est celle qu’on ne voit pas rester.

08Du matériel obsolètePlus de correctifs de sécurité, plus de pièces, plus de garantie. Le risque n’est plus la panne mais le délai de remise en route après la panne. Lisser le renouvellement

09Une infrastructure non documentéeLe jour de l’incident, on redécouvre l’installation au lieu de la réparer. La documentation n’est pas un confort administratif : c’est ce qui divise le temps de reprise.

10Aucun audit périodiqueUne configuration sûre se dégrade : une exception posée un soir devient la règle six mois plus tard. Sans regard extérieur régulier, personne ne voit la dérive. Ce que contient un audit

Par où commencer si le budget est limité

Toutes ces erreurs ne se corrigent pas en même temps, et il serait malhonnête de le prétendre. Voici l’ordre que nous recommandons, établi sur le rapport entre le risque évité et l’effort demandé.

Ordre	Action	Effort
1	Authentification multifacteur sur la messagerie et les accès distants	faible
2	Tester une restauration de sauvegarde, pour de vrai	faible
3	Fermer les comptes des anciens salariés, réduire les droits d’administration	faible
4	Appliquer les correctifs en attente, remplacer ce qui n’en reçoit plus	moyen
5	Séparer le réseau invité du réseau interne	moyen
6	Mettre en place supervision, sensibilisation et audit périodique	continu

À retenir

Les trois premières lignes du tableau se traitent en quelques jours et couvrent l’essentiel de ce que nous voyons passer. Le reste peut s’échelonner sur un exercice budgétaire.

Sources

Les constats et l’ordre de priorité de cet article proviennent des audits et des reprises de parc conduits par 8TECH (1er semestre 2026, ensemble des clients). Les recommandations sont alignées sur les référentiels publics de sécurité des systèmes d’information (sources datées en fin d’article). 8TECH est labellisée ExpertCyber — où le vérifier.

Et chez vous ?

Combien de ces dix erreurs sont présentes dans votre entreprise ?

Le diagnostic gratuit répond à la question, sans engagement, et vous remet un compte-rendu écrit qui vous appartient.

Demander un diagnosticgratuit · sans engagement

Pour vérifier

Sources et références

Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.

01Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesuresANSSI · 2017-01-23 — mesures 2 (sensibiliser), 8 et 9 (comptes nominatifs, bons droits), 10 (mots de passe), 19 (segmenter), 34 et 35 (mises à jour, fin de maintenance), 36 (journaux), 37 (sauvegarde), 38 (audits) — PDF version 2.0, septembre 2017

02La cybersécurité pour les TPE/PME en treize questionsANSSI / DGE · 2021-02-18 — inventaire du parc et des accès, dont le retrait des accès d'anciens employés (question 1), sauvegardes hors ligne (2), mises à jour (3), mots de passe et MFA (5), sensibilisation (10) — PDF version 2.5, novembre 2024

03Recommandations relatives à l'authentification multifacteur et aux mots de passeANSSI · 2021-10-08 — privilégier l'authentification multifacteur et adapter la politique de mots de passe au contexte

Après cette lecture

Relier le sujet à votre entreprise.

Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.

Faire auditer ma sécurité

À consulter aussi01Cybersécurité des PME — auditer, protéger, réagir↗02Audit de cybersécurité pour PME — état des lieux et plan d'action↗03Que faire après une cyberattaque — les premières heures, dans l'ordre↗