Pourquoi 80 % des PME détectent une intrusion après 200 jours : comment réduire ce délai

Le délai moyen de détection d'une intrusion dans une PME est de 207 jours. À ce stade, les dégâts sont déjà faits.

Pourquoi la détection prend autant de temps

La plupart des PME n'ont pas de surveillance sécurité dédiée. Les logs existent mais personne ne les lit. Les alertes se déclenchent mais personne n'agit. L'attaquant avance lentement, se fond dans le trafic normal et exfiltre des données sur plusieurs semaines.

Les trois causes profondes sont toujours les mêmes :

1. Pas de référentiel : on ne peut pas détecter des anomalies si on ne sait pas à quoi ressemble la normale
2. Fatigue des alertes : trop d'alertes de mauvaise qualité signifie que les vraies passent inaperçues
3. Pas de plan de réponse aux incidents : quand quelque chose se déclenche enfin, les équipes sont paralysées

Les trois contrôles qui font vraiment la différence

Vous n'avez pas besoin d'un SOC pour réduire votre fenêtre de détection. Vous avez besoin de trois choses :

1. Centralisation des logs : chaque système écrit au même endroit. On ne peut pas corréler ce qu'on ne voit pas.
2. Configurations durcies : la plupart des intrusions exploitent des paramètres par défaut. Les guides CIS Benchmarks et ANSSI couvrent 80 % de la surface.
3. Un plan de réponse testé : une checklist d'une page vaut mieux qu'une politique de 50 pages que personne ne lit.

Quoi journaliser en priorité

Centraliser tous les logs dès le premier jour est irréaliste pour une PME. Commencez par les sources qui révèlent le plus d'intrusions pour le moins d'effort :

1. Authentification : connexions réussies et échouées sur la messagerie, le VPN, les outils SaaS et les comptes administrateurs. Une connexion depuis un pays inhabituel ou à 3h du matin est souvent le premier signal.
2. Messagerie : création de règles de transfert automatique, accès depuis de nouveaux appareils. Le détournement de boîte courriel reste une porte d'entrée classique.
3. Comptes à privilèges : création de comptes, ajout à un groupe administrateur, changement de mot de passe d'un compte de service.
4. Postes et serveurs : alertes de l'antivirus ou de l'EDR, installation de logiciels, désactivation d'un outil de sécurité.
5. Périmètre : pare-feu, accès distant, et trafic sortant vers des destinations inconnues, qui trahit souvent une exfiltration.

Conservez ces journaux assez longtemps pour remonter le fil d'une intrusion ancienne. Si vos logs s'effacent au bout de quelques jours, une attaque découverte des mois plus tard ne laissera aucune trace exploitable.

Le plan de réponse d'une page

Le plan de réponse n'a pas besoin d'être long. Il doit répondre à six questions, et tout le monde doit savoir où le trouver :

1. Qui décide ? Une personne responsable et un suppléant, joignables en dehors des heures de bureau.
2. Comment contenir ? Isoler le poste du réseau, désactiver le compte compromis, forcer la réinitialisation des mots de passe.
3. Quoi préserver ? Ne pas éteindre ni réinstaller à la hâte : les journaux et l'état des machines servent à comprendre ce qui s'est passé.
4. Qui prévenir ? Assureur cyber, prestataire informatique, et au besoin un spécialiste en réponse aux incidents.
5. Quelles obligations légales ? Selon les données touchées, une notification à l'autorité et aux personnes concernées peut être obligatoire.
6. Comment redémarrer ? Restauration depuis des sauvegardes vérifiées, puis surveillance renforcée pendant plusieurs semaines.

Testez-le une fois par an avec un exercice sur table : un scénario fictif, une heure autour d'une table, et la liste de ce qui a coincé.

Quand l'incident touche des données personnelles

Au Québec, la Loi 25 impose depuis septembre 2022 de tenir un registre des incidents de confidentialité et, lorsqu'un incident présente un risque de préjudice sérieux, d'aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées. Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial.

En Europe, le RGPD laisse 72 heures pour notifier l'autorité de contrôle après avoir pris connaissance d'une violation à risque. Au Maroc, la loi 09-08 impose au responsable du traitement de protéger les données qu'il détient, sous le contrôle de la CNDP. Dans les trois cas, une détection tardive aggrave la situation : plus l'attaquant reste longtemps, plus le volume de données touchées grandit.

Ce que le secure-by-design change

Le meilleur résultat n'est pas une détection plus rapide, c'est moins d'attaques réussies. Les systèmes conçus avec une modélisation des menaces dès le départ ont une surface d'attaque plus petite, moins de mauvaises configurations, et moins à surveiller.

C'est la différence entre réagir et concevoir pour la résilience.

Un plan réaliste sur 90 jours

1. Mois 1 : activer l'authentification multifacteur partout, centraliser les journaux d'authentification et de messagerie, rédiger le plan de réponse d'une page.
2. Mois 2 : durcir les configurations des postes et serveurs selon les CIS Benchmarks, réduire les comptes administrateurs au strict nécessaire, vérifier que les sauvegardes se restaurent réellement.
3. Mois 3 : définir une dizaine d'alertes à forte valeur, désigner qui les traite, et mener un premier exercice sur table.

En résumé

1. Le délai moyen de détection de 207 jours vient surtout de l'absence de référentiel, de la fatigue des alertes et de l'absence de plan de réponse.
2. Pas besoin d'un SOC : centraliser les logs, durcir les configurations et tester un plan de réponse réduit déjà fortement la fenêtre d'exposition.
3. Priorisez les journaux d'authentification, de messagerie et des comptes à privilèges : ils révèlent le plus d'intrusions pour le moins d'effort.
4. Si des données personnelles sont touchées, la Loi 25, le RGPD ou la loi 09-08 imposent des obligations précises : préparez-les avant l'incident.
5. Le meilleur levier reste la conception : un système durci dès le départ offre moins de prise aux attaquants.

Un audit gratuit de vos systèmes ?

30 minutes. On identifie vos vrais risques. Sans jargon, sans engagement.