Cybersécurité · Guide DSI

Checklist DSI : tester la résilience cyber de votre PME

Publié le 12 février 2026 · Lecture : 8 minutes

Pour une PME, la résilience cyber ne se résume pas à installer un antivirus ou à souscrire une assurance. Elle désigne la capacité de l’entreprise à résister à une attaque, à maintenir ses activités essentielles, puis à restaurer ses systèmes avec un impact maîtrisé. Cette capacité doit être vérifiée régulièrement, car une procédure jamais testée reste une hypothèse.

La bonne approche consiste à transformer les risques en scénarios concrets : compromission d’un compte dirigeant, rançongiciel, panne d’un prestataire cloud ou fuite de données sensibles. La checklist suivante aide les DSI, responsables informatiques et dirigeants à organiser un test pragmatique, adapté aux moyens d’une PME.

1. Cartographier les activités réellement critiques

Avant de tester les défenses techniques, il faut savoir ce que l’entreprise doit absolument continuer à faire. Une cartographie simple relie chaque activité à ses applications, données, équipements, fournisseurs et personnes responsables.

Deux indicateurs structurent ensuite le test : le RTO, qui correspond au délai cible de reprise, et le RPO, qui indique la quantité de données que l’entreprise accepte de perdre. Ces objectifs doivent être réalistes et validés avec les métiers, plutôt que décidés uniquement par la DSI.

2. Vérifier les sauvegardes et la restauration

Une sauvegarde réussie n’est pas nécessairement une sauvegarde exploitable. Les fichiers peuvent être incomplets, chiffrés par l’attaquant ou impossibles à restaurer dans le délai prévu. Il faut donc effectuer une restauration contrôlée sur un environnement séparé, au moins pour les systèmes prioritaires.

• Contrôler la fréquence et la réussite effective des sauvegardes.
• Vérifier la présence d’une copie isolée ou déconnectée du système principal.
• Tester la restauration d’un fichier, d’une base de données et d’un serveur complet.
• Mesurer le temps nécessaire et le comparer au RTO défini.
• Documenter les comptes, clés, licences et procédures indispensables à la reprise.

Le test doit inclure les sauvegardes des postes utilisateurs lorsque ceux-ci contiennent des données métiers. Il convient également de contrôler les droits d’accès à la plateforme de sauvegarde : un compte administrateur compromis ne doit pas permettre d’effacer toutes les copies disponibles.

3. Simuler une compromission des accès

Dans de nombreuses attaques, le point de départ n’est pas une faille spectaculaire, mais un identifiant volé. Le scénario peut prendre la forme d’un compte Microsoft 365 compromis, d’un accès VPN détourné ou d’un mot de passe réutilisé chez un fournisseur.

Le scénario à jouer

Choisissez un compte fictif ou un environnement de test. Simulez une connexion inhabituelle, l’envoi d’un courriel frauduleux et la demande d’une réinitialisation urgente. L’objectif n’est pas de piéger les collaborateurs, mais d’observer la réaction collective : détection, signalement, suspension du compte et conservation des preuves.

Vérifiez notamment l’authentification multifacteur, la séparation des comptes administrateurs, la rotation des mots de passe privilégiés et la capacité à révoquer rapidement les sessions actives. Une PME doit aussi savoir qui peut désactiver un compte lorsque le responsable informatique habituel est absent.

4. Évaluer la détection et la gestion de crise

Une résilience solide dépend autant de la coordination que des outils. Un exercice sur table de 60 à 90 minutes permet de réunir la direction, la DSI, les ressources humaines, la communication, le juridique et les responsables opérationnels.

Préparez une fiche de crise courte, disponible hors ligne, comprenant les contacts d’urgence, les rôles, les moyens de communication de secours et les premières actions à mener. Le document doit préciser comment isoler une machine, préserver les journaux, ouvrir un dossier d’incident et éviter la propagation de fausses informations.

Les dirigeants et les équipes métiers peuvent aussi comparer leurs pratiques avec des analyses consacrées à la structuration d’entreprise, à l’investissement et aux risques technologiques. Dans ce contexte, cette ressource peut nourrir la réflexion sur la gouvernance et la continuité, au-delà du seul périmètre informatique.

5. Tester les fournisseurs et le travail hybride

Le télétravail et les services cloud ont élargi la surface d’attaque. Un test de résilience doit donc dépasser le réseau interne et examiner les accès depuis les domiciles, les appareils personnels, les outils collaboratifs et les comptes de sous-traitants.

• Demander aux fournisseurs leurs engagements de disponibilité et leurs procédures d’incident.
• Vérifier la réversibilité des données et la possibilité d’exporter les informations.
• Tester un accès depuis un poste non administré, sans contourner les règles de sécurité.
• Contrôler les comptes des anciens salariés et des prestataires sortants.
• Prévoir un canal de communication indépendant de la messagerie compromise.

Cette étape révèle souvent des dépendances invisibles : un seul collaborateur détenant l’accès à un outil critique, une authentification liée à un téléphone perdu ou un fournisseur sans interlocuteur d’astreinte. Chaque découverte doit donner lieu à une action, un responsable et une échéance.

6. Transformer l’exercice en plan d’amélioration

À l’issue du test, rédigez un compte rendu factuel : scénario, chronologie, décisions prises, délais observés, blocages et écarts par rapport aux objectifs. Évitez de rechercher un responsable individuel. Le but est d’améliorer le système, les procédures et les réflexes collectifs.

Classez les actions selon leur criticité. La priorité revient généralement à l’authentification multifacteur, aux sauvegardes isolées, à la gestion des privilèges, aux mises à jour et au plan de crise. Suivez ensuite quelques indicateurs simples : taux de restauration réussie, délai de détection, délai de révocation d’un accès et pourcentage de collaborateurs formés.

Enfin, programmez un nouveau test. Un exercice annuel complet, complété par des vérifications trimestrielles ciblées, crée une véritable routine de résilience. Pour approfondir les échanges entre DSI, dirigeants et analystes, découvrez également les débats et retours d’expérience disponibles sur notre page d'accueil.

Conclusion : la résilience se prouve par l’exercice

Une PME n’a pas besoin de reproduire les dispositifs d’un grand groupe pour progresser. Elle doit surtout connaître ses priorités, tester ses sauvegardes, clarifier les responsabilités et entraîner ses équipes à décider sous pression. La checklist DSI devient réellement utile lorsqu’elle débouche sur des scénarios répétés, des mesures concrètes et un dialogue régulier entre informatique et direction.