En 2026, la sécurité des données d’entreprise n’est plus une question à remettre à plus tard, « quand on aura le temps ». En Italie, le premier semestre 2025 a enregistré 2 755 incidents cybernétiques, le chiffre le plus élevé jamais relevé, soit une augmentation de 36 % par rapport à la fin de l’année 2024; de plus, environ un cinquième de toutes les attaques recensées depuis 2020 s’est concentré uniquement au cours des six premiers mois de 2025, selon la mise à jour du Clusit citée en 2025 (source). Pour de nombreuses PME, cela change la donne : il ne s'agit plus seulement de disposer d'un antivirus et d'une sauvegarde, mais de savoir détecter les signaux faibles, les anomalies et les accès hors profil avant que le préjudice ne devienne opérationnel.
La bonne nouvelle, c’est que les bases existent déjà dans de nombreuses entreprises. En 2022, 74,4 % des entreprises italiennes comptant au moins 10 salariés utilisaient au moins trois mesures de sécurité informatique, un niveau conforme à la moyenne de l’UE (74,0 %) (ISTAT). Le problème est qu’une base largement répandue n’équivaut pas à une protection complète. Si les contrôles restent cloisonnés, les données passent entre les mailles du filet entre les fichiers locaux, le cloud, les e-mails, les appareils personnels et les autorisations oubliées. C’est là qu’intervient une approche plus pratique, axée sur le cycle de vie des données et la surveillance continue, et non uniquement sur la prévention.
Le chiffre le plus important à retenir est le suivant : 2 755 incidents cyber en Italie au premier semestre 2025, soit le niveau le plus élevé jamais enregistré, avec une hausse de 36 % par rapport à la fin de l'année 2024. Pour une PME, le message n'est pas de céder à la panique. Il s'agit plutôt de considérer le risque cyber comme une composante permanente de l'activité, au même titre que la continuité des systèmes de gestion ou la disponibilité de la messagerie électronique.
De nombreuses entreprises italiennes disposent déjà de mesures de sécurité de base, mais celles-ci sont souvent mises en œuvre de manière désorganisée. Un pare-feu ne protège pas un fichier mal partagé, une sauvegarde ne protège pas un compte doté de droits d'accès excessifs, et un antivirus ne corrige pas une erreur de configuration dans le cloud. Il en résulte une défense qui semble complète sur le papier, mais qui laisse des failles très concrètes.
La sécurité fait souvent défaut, non pas par manque d'outils, mais par manque de coordination entre les outils, les personnes et les processus.
Les PME sont particulièrement vulnérables lorsque le travail est réparti entre le bureau, le domicile, les consultants externes et les appareils personnels. Dans ces contextes, une attaque n'a pas besoin d'être sophistiquée pour aboutir. Il suffit d'un identifiant mal géré, d'une session laissée ouverte ou d'un fichier oublié dans un dossier sur le cloud.
L'idée de se contenter de protéger la périphérie du réseau n'est plus tout à fait valable. Les données circulent, sont dupliquées et réutilisées dans plusieurs systèmes. C'est pourquoi la sécurité des données d'entreprise doit être envisagée comme la capacité à réduire la surface d'attaque et à détecter immédiatement tout écart par rapport au schéma habituel.
L'analyse intitulée « NIS 2 : opportunité ou obstacle? » constitue une référence utile, notamment pour ceux qui réfléchissent à des choix en matière d'architecture et de conformité. La leçon à en tirer est que la conformité ne suffit pas à elle seule, car les données doivent être protégées en permanence, et pas seulement de manière documentée.
Une grande partie des incidents résulte d'une erreur élémentaire, et non d'une attaque sophistiquée. Les données ne se trouvent pas toutes au même endroit et ne sont pas protégées de la même manière. Un fichier stocké sur un serveur, une facture envoyée par e-mail et un rapport ouvert dans un logiciel de gestion nécessitent des contrôles différents, car la surface d'exposition, les modalités d'accès et les possibilités de copie varient. La distinction entre les données archivées, les données en transit et les données en cours d'utilisation reste le point de départ le plus utile pour éviter les contrôles génériques qui semblent solides mais couvrent peu de choses.
Les données archivées sont celles qui sont stockées sur des serveurs locaux, dans des référentiels cloud ou dans des sauvegardes. Dans ce contexte, le chiffrement, les contrôles d'accès et, le cas échéant, des techniques telles que la dépersonnalisation et la tokenisation (Agenda numérique) sont essentiels. La bonne question n'est pas seulement « avons-nous sauvegardé les fichiers ? », mais « qui peut les ouvrir, les copier ou les déplacer à notre insu ? ».
Pour une PME, cela se traduit par des mesures très concrètes, et souvent, le véritable compromis se situe entre simplicité opérationnelle et contrôle rigoureux :
Si une archive contient également d'anciennes versions, des exportations ou des pièces jointes oubliées, le risque augmente sans que personne ne s'en rende compte. Dans ce cas, la gestion des « dark data » est tout aussi importante que la protection du fichier actuel.
Les données en transit sont celles qui circulent entre les utilisateurs, les applications et les sites. Dans ce cas, il faut recourir à des protocoles sécurisés tels que SFTP, HTTPS, SSH et TLS (Agenda numérique). Lorsqu’une entreprise envoie des listes de prix, des fiches clients ou des documents RH, la protection ne peut pas s’arrêter au serveur de destination. Elle doit également couvrir le trajet, car c’est précisément là que se concentrent les interceptions, les erreurs de configuration et les transferts inappropriés.
Les données utilisées sont celles qui sont ouvertes dans des applications, des navigateurs et des logiciels de gestion. Dans ce contexte, le principe du « moindre privilège » est déterminant, car il limite l’accès aux seuls utilisateurs autorisés et réduit l’impact d’un compte piraté (Agenda numérique). Si un commercial a accès à plus de données que nécessaire, le risque n’est pas théorique, mais bien concret, car chaque donnée supplémentaire visible peut faire l’objet d’une copie, d’une exportation ou d’un partage.
Règle pratique : si vous ne savez pas dans quel état se trouve une donnée, vous ne savez pas vraiment comment la protéger.
Un bon contrôle initial consiste à recenser trois éléments : où se trouvent les données, qui y accède et quels systèmes les transfèrent. Cela permet de mettre immédiatement en évidence les lacunes, qui concernent souvent davantage les autorisations et les flux que les logiciels. Pour une PME, la conclusion à retenir est simple : moins d'exposition pour les données qui restent statiques, moins d'étapes inutiles pour celles qui circulent, et moins de privilèges pour celles qui sont utilisées quotidiennement.
Les « dark data » sont les données oubliées, dupliquées ou inutilisées qui s'accumulent sans valeur opérationnelle claire. De nombreux guides abordent les sauvegardes et le chiffrement, mais négligent cet aspect, car la surface d'exposition au risque s'étend souvent avant même que la protection ne soit mise en place. Les anciennes exportations, pièces jointes, copies locales et archives de projet finissent par être dispersées à divers endroits, et personne ne sait plus précisément où elles se trouvent ni qui les utilise. TechRadar Italia rappelle que ces données peuvent également inclure de la propriété intellectuelle et des informations confidentielles sensibles, et que leur gestion nécessite de comprendre leur origine, leur traitement et leur utilisation.
L'erreur la plus courante consiste à tout accumuler « par mesure de sécurité ». En pratique, plus vous conservez de données, plus le nombre d'accès possibles, les sources d'erreur et les coûts liés à la gouvernance augmentent. La sécurité des données d'entreprise s'améliore souvent lorsqu'on supprime ce qui n'est plus nécessaire, plutôt que de se contenter d'ajouter de nouveaux contrôles.
Pour une PME, il ne s’agit pas seulement de mettre de l’ordre. Il s’agit de déterminer quelles données méritent réellement de rester en ligne, lesquelles doivent être transférées vers les archives et lesquelles doivent disparaître des systèmes actifs avant qu’elles ne posent un problème d’exposition ou de conformité.
Le guide de l'EDPB destiné aux petites entreprises met l'accent sur la minimisation des données, la pseudonymisation ou l'anonymisation, la révision périodique des autorisations et le chiffrement (EDPB). Ce que les entreprises négligent souvent, c'est de traduire ces principes en un processus de gestion du cycle de vie des données pour les données peu utilisées ou oubliées, avec des règles claires en matière de conservation, d'archivage et de suppression.
Un critère simple est plus efficace qu'une règle abstraite. Si une donnée n'est pas nécessaire à un processus en cours, à une obligation légale ou à une récupération opérationnelle définie, elle doit être supprimée ou archivée de manière contrôlée. En revanche, si elle est réellement utile à l'activité, elle doit être conservée avec une responsabilité clairement définie et faire l'objet d'un contrôle périodique.
Dans les projets que je supervise, cette approche pratique évite les discussions interminables sur les fichiers « qui pourraient servir ». Lorsqu'un dossier reste ouvert par simple habitude, le risque n'est pas théorique. Chaque copie supplémentaire augmente le nombre de personnes susceptibles de la consulter, de l'exporter ou de la transmettre, et chaque archive non contrôlée rend plus difficile de savoir où se trouve une donnée sensible.
Tu peux utiliser cette séquence :
L'avantage est double. Vous réduisez le risque d'exposition et vous simplifiez la protection de ce qui compte vraiment. Les PME qui franchissent ce pas se rendent souvent compte qu'une partie du problème ne résidait pas dans l'absence de protection, mais dans la quantité de données laissées en circulation sans raison particulière.
Une défense efficace ne repose pas sur des outils disparates, mais sur des contrôles qui s'articulent entre eux. Dans les PME que j'accompagne, les mesures les plus utiles restent celles qui misent sur la déconnexion automatique, un pare-feu et un antivirus à jour, des sauvegardes sécurisées, des identifiants uniques, la révocation des autorisations obsolètes et la vérification périodique des accès. Le principe est simple. Chaque mesure prise isolément apporte son lot d’avantages, mais le véritable bond en avant se produit lorsqu’elle comble les lacunes de l’autre.
La logique de « défense en profondeur » fonctionne lorsque chaque niveau compense les limites du précédent. Le chiffrement protège le contenu même si un fichier sort du périmètre prévu, la sauvegarde permet de redémarrer sans interrompre l’activité, la DLP réduit les fuites non autorisées, l’authentification multifactorielle (MFA) rend plus difficile l’utilisation abusive des identifiants, la gestion des accès limite les privilèges etle renforcement de la sécurité réduit les surfaces d’exposition. Si l’une de ces couches fait défaut, la défense reste plus fragile qu’il n’y paraît.
L'aspect pratique réside dans l'intégration, et non dans la liste. La documentation mentionnée dans la source insiste sur le fait que la protection des données sensibles doit être étendue de l’environnement Microsoft 365 aux services SaaS, au cloud et aux référentiels locaux grâce à la classification et à la prévention des pertes de données (DNCSRL). Pour une PME, c’est un enjeu concret, car aujourd’hui, les données utiles au travail ne se trouvent pas dans un seul système et circulent souvent entre des applications qui ne sont pas conçues pour communiquer entre elles en toute sécurité.
C'est précisément là que la protection d'entreprise « Zero Trust » intervient. Chaque accès doit être vérifié dans son contexte, en tenant compte de l'identité, de l'appareil, de la localisation et du niveau de risque, afin que l'autorisation ne reste pas valable simplement parce qu'une personne se trouve déjà sur le réseau.
Dans le cadre du travail hybride, le problème ne réside pas seulement dans l'accès à distance, mais aussi dans le nombre d'appareils concernés. Le guide de l'EDPB destiné aux PME propose des recommandations concernant le télétravail, la protection des appareils personnels, les VPN, la déconnexion automatique et la suppression des accès obsolètes. Pour de nombreuses entreprises, le problème est d'ordre culturel bien avant d'être technique. On applique à un environnement décentralisé des règles conçues pour les ordinateurs de bureau, puis on s'étonne que les contrôles ne fonctionnent pas.
Un ordinateur portable personnel ne doit pas être considéré comme une extension implicite du réseau de l'entreprise. Il doit être géré comme un point d'entrée, avec des critères clairs en matière de chiffrement, de mises à jour, d'accès et de séparation des profils.
Pour ceux qui doivent décider par où commencer, la priorité n’est pas d’accumuler des outils. Une sauvegarde bien faite reste utile, mais elle ne compense pas des autorisations chaotiques ou des identifiants laissés actifs trop longtemps. La sécurité des données d’entreprise est réellement efficace lorsque les contrôles communiquent entre eux et lorsque le périmètre inclut également les données oubliées, celles qui échappent souvent à la surveillance et créent le risque le plus difficile à détecter.
L'intelligence artificielle change votre façon d'appréhender les données, car elle déplace l'attention des règles fixes vers les comportements. Dans une PME, cela s'avère précieux, car les schémas anormaux passent souvent inaperçus au milieu de l'activité normale des utilisateurs, des fournisseurs et des consultants. ELECTE, une plateforme d'analyse de données basée sur l'IA destinée aux PME, se consacre précisément à l'analyse automatisée et à la détection des anomalies, une approche qui s'intègre parfaitement dans un contexte de surveillance continue.
La sécurité traditionnelle repose souvent sur des seuils, des signatures et des règles déjà connues. Cela convient dans de nombreuses situations, mais s'avère moins efficace lorsque le comportement évolue de manière subtile. Un système d'IA peut en revanche détecter des accès inhabituels, des horaires anormaux, un volume d'activité hors norme ou des combinaisons d'événements qui, pris isolément, semblent inoffensifs.
L'intérêt pratique n'est pas de remplacer l'équipe informatique, mais de l'aider à anticiper. Lorsque les données proviennent de différentes sources, telles que les systèmes CRM, ERP, le cloud et les journaux d'accès, la surveillance manuelle devient facilement réactive. L'IA facilite le passage à une analyse continue des signaux.
Pour une PME, les utilisations utiles sont très concrètes :
Une analyse de ce type s'inscrit également dans le cadre de la gestion des pics et des baisses dans les données, car la même logique qui permet d'interpréter une anomalie métier peut aider à détecter une anomalie de sécurité. L'essentiel est de disposer d'une plateforme qui ne se contente pas de stocker les données, mais qui les surveille activement.
Lorsque la surveillance est continue, la sécurité des données d'entreprise ne consiste plus à courir après les incidents. Elle permet désormais de détecter les moindres anomalies avant qu'elles ne se transforment en problèmes d'accès ou en perte d'informations.
Un plan efficace pour les PME doit être progressif, et non pas parfait. Les entreprises qui parviennent à s'améliorer réellement commencent par quelques mesures à fort rendement, puis consolident le reste. La priorité est de mettre de l'ordre avant même d'ajouter de nouveaux outils, car la sécurité fonctionne mieux lorsque les rôles, les données et les accès sont déjà clairs.
En l'espace d'une semaine, concentre-toi sur ce qui élimine l'exposition immédiate.
Le mois suivant, il travaille sur la structure et le contrôle.
D'ici trois mois, l'objectif est de rendre la sécurité reproductible.
Le contrôle le plus utile n'est pas celui qui est parfait, mais celui que l'on peut réellement maintenir chaque semaine.
Si vous recherchez un indicateur simple, mesurez le nombre d'accès non justifiés supprimés, le taux de réussite des restaurations et la rapidité avec laquelle une anomalie est signalée à la personne chargée d'intervenir. Ce sont des indicateurs bien plus utiles qu'une liste de contrôle remplie une seule fois.
La sécurité des données d'entreprise est efficace lorsqu'elle n'entrave pas le travail, mais l'accompagne. Dans un service commercial, par exemple, l'équipe peut partager des devis et des grilles tarifaires dans des environnements classifiés, dont les droits d'accès sont révoqués dès la fin d'une collaboration. Au sein du service administratif, les documents sensibles ne restent accessibles qu'aux personnes qui doivent réellement les traiter, tandis que dans les opérations, les données de production ou de logistique sont surveillées sans nécessiter de contrôles manuels permanents.
C'est la culture d'entreprise qui fait la différence. Si les collaborateurs perçoivent la sécurité comme un obstacle, ils contourneront les règles. En revanche, s'ils la considèrent comme un moyen d'éviter les blocages, les erreurs et les pertes de temps, ils l'adopteront plus facilement. Il faut ici un langage simple, des exemples concrets et des responsabilités partagées, et pas seulement des procédures rangées dans des tiroirs.
L'objectif n'est pas de tout rendre visible pour le service informatique, mais de tout rendre gérable. Les entreprises qui obtiennent les meilleurs résultats considèrent les données comme un atout opérationnel, avec des contrôles qui assurent la protection sans ralentir le cycle de vente, la facturation ou le service client.
ELECTE aide les PME à transformer les données brutes en informations exploitables, grâce à des analyses automatisées et à la détection d'anomalies, qui sont également utiles pour la surveillance continue de la sécurité. Si vous souhaitez mieux contrôler vos flux d'informations et découvrir comment une approche basée sur l'IA peut faciliter la gouvernance et la détection des anomalies, rendez-vous sur le site d'ELECTE et voyez comment l'intégrer à vos processus.
.svg)
.svg)
.svg)
