Les PME / PMI et la sécurité des systèmes d'information

Sécurité des systèmes d'information en PME PMI, collectivités

Les PME PMI (ou les petits organismes publics) sont aussi dépendantes de leur système d’information que les grandes entreprises ou organismes. Leur ouverture aux réseaux externes en 2003 est importante (environ 50% des PME/PMI françaises utilisent Internet pour leurs échanges).

Pire, un incident de sécurité majeur peut conduire une PME PMI à déposer son bilan alors qu’il ne sera que « très douloureux » pour une grande entreprise.

Un ratio souvent cité, mais dont nous n’avons pas pu vérifier la véracité, est que 70% des PME & PMI, touchées par un incident de sécurité majeur de leur système d'information, déposent leur bilan dans les 3 ans, soit le même ratio que pour le cas d’un incendie important.

La difficulté dans les PME PMI réside dans les ressources qu’elles sont capables d’allouer à la sécurité de l’information. Plusieurs pistes sont envisageables pour optimiser la compétence et les budgets pour atteindre un niveau de sécurité suffisant.

Quelques solutions

Parmi ces solutions, il faut envisager :

• L’externalisation de certaines fonctions, par exemple la fonction de RSSI, Responsable de la Sécurité des Systèmes d'Information
• L’utilisation de méthodes d’analyse de risques prêt à l’emploi afin d’optimiser les budgets.
• L’externalisation de certaines activités : l’analyse anti-intrusion, la gestion complète des pare-feux, la sécurisation de l'ensemble du trafic de la messagerie électronique, ….

Dans les cabinets de conseil en sécurité, on entend souvent que les dirigeants de PME/PMI françaises attendent un accident pour engager des moyens. Plutôt que de les accuser, il serait bienvenu de leur offrir une démarche adaptée à leur taille, avec des budgets précis et un engagement sur des résultats tangibles.

Certaines CCI ou DRIRE ont démarré ces démarches (Pays de la Loire, Alsace, Rhône), et des méthodes d’analyses de risque orientées PME/PMI apparaissent (majoritairement en anglais) ou certaines sont adaptées en terme de démarche aux contraintes des PME/PMI (Mehari).