Les 10 erreurs de cybersécurité les plus coûteuses des PME québécoises

Les PME sont-elles vraiment ciblées ?

Réponse courte : oui, et c'est même devenu le segment privilégié. Environ 60 % des cyberattaques visent des entreprises de moins de 100 employés, et le Centre canadien pour la cybersécurité observe une hausse marquée des incidents déclarés par les PME québécoises. Le coût moyen d'une attaque pour une PME se situe entre 120 000 $ et 450 000 $, un montant qui menace directement la continuité de l'entreprise.

L'idée qu'une PME serait « trop petite pour intéresser quelqu'un » est le premier facteur de risque. Les campagnes actuelles sont automatisées : elles balaient des plages d'adresses IP, testent des identifiants volés et exploitent des vulnérabilités connues sans jamais regarder le nom de l'entreprise. Vous n'êtes pas choisi, vous êtes trouvé.

Voici les dix erreurs qui reviennent le plus souvent dans les dossiers que nous traitons, classées par fréquence d'apparition en forensique.

1. Des sauvegardes qui n'ont jamais été restaurées

Presque toutes les PME sauvegardent. Très peu testent la restauration. Le jour de l'incident, on découvre que la sauvegarde s'est arrêtée il y a sept mois, qu'elle ne couvre pas le serveur applicatif, ou qu'elle est chiffrée avec le reste parce qu'elle était montée en permanence sur le réseau.

Le correctif : règle 3-2-1-1 (trois copies, deux supports, une hors site, une immuable) et un exercice de restauration chronométré chaque trimestre. Ce que vous mesurez, c'est le temps réel de remise en service, pas l'existence du fichier de sauvegarde.

2. Un MFA déployé « presque » partout

Le MFA est activé sur la messagerie, mais pas sur le VPN. Ou pas sur le compte administrateur historique. Ou pas sur l'accès du fournisseur informatique. Une seule porte sans second facteur annule l'effort sur toutes les autres.

Le correctif : inventaire de tous les points d'entrée externes, MFA sans exception, et bascule vers des facteurs résistants au hameçonnage pour les comptes à privilèges.

3. Des comptes administrateurs utilisés au quotidien

Le dirigeant, le responsable TI et parfois plusieurs employés naviguent et lisent leurs courriels avec un compte disposant de droits d'administration sur le domaine. Un seul clic malheureux donne alors à l'attaquant les clés complètes.

Le correctif : comptes séparés pour l'administration, élévation temporaire, et suppression des droits d'administration locale sur les postes.

4. Aucun inventaire des accès fournisseurs

Le fournisseur infogérance, le comptable externe, l'intégrateur du logiciel de gestion, l'ancien consultant : chacun dispose d'un accès permanent, souvent partagé et rarement révoqué. C'est le vecteur qui progresse le plus vite au Canada.

Le correctif : registre des accès tiers, comptes nominatifs, accès juste-à-temps et revue trimestrielle. Exigez le MFA de vos fournisseurs par contrat.

5. Des correctifs appliqués « quand on a le temps »

Les vulnérabilités exploitées en masse le sont dans les jours qui suivent leur publication, sur des équipements exposés : pare-feu, passerelles VPN, serveurs de fichiers, hyperviseurs.

Le correctif : fenêtre de correctifs mensuelle documentée, et procédure d'urgence de 72 heures pour les vulnérabilités critiques sur les actifs exposés à Internet.

6. Confondre antivirus et détection

Un antivirus bloque ce qu'il connaît. Il ne détecte ni un attaquant qui utilise des identifiants valides, ni l'usage détourné d'outils d'administration légitimes.

Le correctif : détection et réponse sur les postes (EDR), journaux centralisés, et surveillance des connexions inhabituelles sur les identités.

7. Aucun plan de réponse écrit

Le jour J, personne ne sait qui décide de débrancher, qui appelle l'assureur, ni où trouver le numéro du fournisseur infonuagique. Les premières heures se perdent en improvisation, et c'est exactement là que le coût explose.

Le correctif : un plan de deux pages suffit pour commencer (rôles, arbre d'appel, coordonnées de l'assureur et de l'équipe de réponse, critères d'isolement). Testez-le une fois par an en exercice Table Top.

8. Ignorer les obligations de la Loi 25

Beaucoup de PME québécoises ne savent pas qu'elles doivent tenir un registre des incidents de confidentialité, notifier la Commission d'accès à l'information en cas de risque sérieux de préjudice et désigner un responsable de la protection des renseignements personnels.

Le correctif : désigner le responsable, publier la politique de gouvernance, ouvrir le registre des incidents. C'est peu coûteux et cela pèse lourd en cas de contrôle ou de sinistre.

9. Une police d'assurance cyber jamais relue

La police a été signée il y a trois ans, le questionnaire a été rempli de bonne foi par une personne partie depuis. En cas de sinistre, l'écart entre les contrôles déclarés et les contrôles réels est le premier motif de refus partiel d'indemnisation.

Le correctif : revoir annuellement le questionnaire avec la personne responsable des TI, et documenter les preuves de chaque contrôle déclaré.

10. Une formation annuelle qui ne change rien

Une séance d'une heure par an ne modifie aucun comportement, surtout face à des courriels générés par IA, sans faute de français et contextualisés.

Le correctif : simulations de hameçonnage mensuelles, retours immédiats et culture du signalement sans blâme. Mesurez le taux de signalement, pas seulement le taux de clic.

Par où commencer avec un budget limité

Conclusion

Aucune de ces dix corrections n'exige un budget de grande entreprise. Elles exigent une décision et une personne responsable. C'est ce qui distingue, dans nos dossiers, les organisations qui repartent en 48 heures de celles qui perdent trois semaines d'activité. ITCS Group réalise des évaluations de posture adaptées aux PME québécoises, avec un plan d'action priorisé par rapport coût-impact. Contactez-nous pour une évaluation initiale.

Sources