Comment construire une feuille de route cybersécurité réaliste pour une PME ou ETI industrielle ?

Les cyberattaques visant les PME et ETI industrielles ne sont plus des événements exceptionnels. Ransomwares, compromission de comptes Microsoft 365, vols de données ou interruption des systèmes de production : les menaces évoluent rapidement, tandis que les entreprises doivent composer avec des ressources limitées, des contraintes de production fortes et des exigences réglementaires croissantes.

Dans ce contexte, multiplier les investissements dans des solutions de sécurité ne suffit plus. La véritable question n'est pas “quels outils acheter ?” mais quelles actions permettront de réduire durablement le risque pour l'entreprise ?

C'est précisément le rôle d'une feuille de route cybersécurité : transformer un état des lieux en un plan d'actions priorisé, réaliste et pilotable.

Une feuille de route cybersécurité n'est pas une liste de projets IT

Dans de nombreuses entreprises, la cybersécurité progresse au fil des urgences : un nouveau firewall après une attaque, le déploiement du MFA parce qu'un client l'exige, un audit avant une certification, un pentest à la demande d'un assureur.

Ces initiatives sont utiles, mais elles restent souvent déconnectées les unes des autres.

Une feuille de route cybersécurité répond à une logique différente. Elle ne consiste pas à empiler des projets techniques, mais à organiser les investissements en fonction des risques réels de l'entreprise.

Autrement dit, avant de décider "quoi faire", il faut comprendre "ce qu'il faut protéger".

Pour une PME industrielle, tous les actifs n'ont pas la même valeur. L'ERP, l'Active Directory, les sauvegardes, les environnements Microsoft 365, les accès distants des sous-traitants ou encore les systèmes de supervision industrielle n'ont pas le même impact sur l'activité en cas de compromission.

Une bonne feuille de route cybersécurité commence donc toujours par une vision métier des risques.

Prioriser les risques, pas seulement les vulnérabilités

L'une des erreurs les plus fréquentes consiste à confondre vulnérabilité et risque.

Une vulnérabilité est une faiblesse technique. Le risque correspond, lui, à la probabilité qu'elle soit exploitée et aux conséquences qu'une telle exploitation aurait sur l'entreprise.

Par exemple, une vulnérabilité critique détectée sur un serveur isolé, inaccessible depuis Internet et protégé par plusieurs niveaux de sécurité, mérite évidemment d'être corrigée. En revanche, une authentification Microsoft 365 sans MFA ou des sauvegardes qui n'ont jamais été testées représentent souvent un risque beaucoup plus important, même si aucun outil ne leur attribue un score de criticité spectaculaire.

C'est pourquoi une feuille de route cybersécurité ne doit jamais être construite à partir d'une simple liste de vulnérabilités.

Elle doit s'appuyer sur une analyse plus globale intégrant :

• La criticité de l'actif concerné
• Son niveau d'exposition
• La probabilité d'exploitation
• Les conséquences sur la production, les données ou la continuité d'activité

Cette approche permet de concentrer les ressources sur les actions qui réduisent réellement le niveau de risque.

Commencer par cartographier les actifs critiques

Avant même de lancer un audit technique, il est indispensable d'identifier les actifs dont dépend l'activité de l'entreprise.

Cette cartographie dépasse largement le périmètre informatique traditionnel. Elle inclut notamment les infrastructures de virtualisation, les sauvegardes, les équipements réseau, les environnements cloud, mais aussi les systèmes OT, les automates, les logiciels de supervision ou les accès de maintenance utilisés par les prestataires.

Cette vision est essentielle, car tous les scénarios d'attaque ne produisent pas les mêmes effets.

Une compromission de l'ERP peut bloquer la prise de commandes. Une attaque sur l'Active Directory peut empêcher les utilisateurs d'accéder aux ressources de l'entreprise. Une sauvegarde inutilisable peut considérablement allonger le redémarrage après un ransomware.

La feuille de route cybersécurité doit donc être pensée à partir des conséquences métier, et non uniquement des constats techniques.

Construire une feuille de route cybersécurité progressive

Vouloir tout sécuriser immédiatement est irréaliste, surtout pour une PME ou une ETI. Une démarche efficace consiste à distinguer les actions qui produisent un gain rapide de celles qui nécessitent une transformation plus profonde.

Les premiers mois sont généralement consacrés aux mesures offrant le meilleur retour sur investissement en matière de réduction du risque : généralisation de l'authentification multifacteur, suppression des comptes obsolètes, sécurisation des comptes à privilèges, correction des vulnérabilités réellement exposées ou encore test de restauration des sauvegardes. Ce dernier point est souvent négligé, alors qu'une sauvegarde n'a de valeur que si l'entreprise est capable de restaurer ses données dans des délais compatibles avec son activité.

Les projets plus structurants viennent ensuite : segmentation des réseaux IT et OT, formalisation des procédures de gestion de crise, amélioration de la gestion des identités, supervision des événements de sécurité ou mise en place d'une gouvernance cyber.

Cette progressivité permet d'obtenir des résultats concrets sans désorganiser les équipes.

Une feuille de route cybersécurité se pilote dans le temps

Une erreur fréquente consiste à considérer la feuille de route comme un document produit lors d'un audit, puis oublié quelques mois plus tard.

Quelques indicateurs suffisent généralement à mesurer l'évolution du niveau de sécurité :

• Taux de couverture du MFA
• Délai moyen de traitement des vulnérabilités critiques
• Nombre de comptes à privilèges
• Taux de réussite des tests de restauration
• Niveau d'exposition des services accessibles depuis Internet
• Avancement du plan de remédiation

Ces indicateurs permettent d'arbitrer les investissements, de mesurer les progrès réalisés et de démontrer l'efficacité des actions engagées auprès de la direction.

NIS2 : une opportunité pour structurer sa démarche

L'arrivée de la directive NIS2 ➚ pousse de nombreuses entreprises industrielles à formaliser leur gouvernance cyber.

Contrairement à une idée reçue, cette réglementation n'impose pas une liste d'outils à déployer. Elle demande avant tout de démontrer que l'entreprise connaît ses risques, met en œuvre des mesures adaptées et pilote leur amélioration dans le temps.

Autrement dit, les principes de NIS2 rejoignent ceux d'une feuille de route cybersécurité bien construite.

Même lorsqu'une PME n'est pas directement concernée par la directive, elle sera de plus en plus sollicitée par ses clients, ses assureurs ou ses partenaires pour démontrer son niveau de maturité cyber.