1. Réduire la cybersécurité à l'achat d'outils
Antivirus, pare-feu, EDR, sauvegarde externalisée : les outils sont nécessaires, mais un empilement d'outils sans pilotage produit surtout un faux sentiment de sécurité. Qui vérifie que l'EDR couvre bien tous les postes ? Qui lit les alertes ? Qui décide de ce qu'on protège en priorité ? Sans réponse à ces questions, l'outil le plus cher du marché ne protège que le budget de son vendeur. La bonne séquence : comprendre ses risques d'abord, outiller ensuite — et seulement ce qui traite un risque identifié.
2. Documenter pour documenter
Une politique de sécurité téléchargée sur internet, adaptée en une heure et rangée dans un dossier partagé ne protège rien — et se retourne contre l'entreprise le jour où un client ou un auditeur compare le document à la réalité. Une documentation utile est courte, spécifique, et décrit ce que l'entreprise fait vraiment. Mieux vaut cinq pages exactes que cinquante pages théoriques.
3. Ne nommer personne — ou nommer tout le monde
« La sécurité, c'est l'affaire de tous » est une excellente affiche et une très mauvaise organisation. Quand la responsabilité est partagée entre le CTO, le DevOps et « celui qui s'y connaît », chaque sujet attend que quelqu'un d'autre s'en empare. Il faut un responsable nommé — même à temps très partiel, même externe — avec un mandat clair : tenir le registre des risques, animer le suivi, escalader les arbitrages à la direction.
4. Oublier les fournisseurs et le cloud
Votre sécurité réelle inclut celle de votre hébergeur, de votre outil de paie, de vos sous-traitants de développement et de vos intégrations SaaS. Or la plupart des PME n'ont ni liste de leurs fournisseurs critiques, ni idée de leurs engagements de sécurité, ni clause contractuelle en cas d'incident. Un simple inventaire des fournisseurs critiques, avec trois questions par fournisseur, change déjà considérablement la maîtrise du sujet — et c'est l'une des premières choses que regardent les grands comptes dans leurs questionnaires.
5. Viser la certification avant la maturité
Se lancer dans ISO 27001 sans registre des risques, sans responsabilités établies et sans pratiques stabilisées revient à passer l'examen avant d'avoir suivi le cours. Le projet coûte alors deux fois plus cher : une fois pour fabriquer un SMSI de façade, une fois pour le refaire correctement quand il craque à l'usage. La certification est un excellent objectif de deuxième étape ; elle est un très mauvais point de départ.
Le point commun
Ces cinq erreurs ont la même racine : traiter la cybersécurité comme un sujet technique ou documentaire, alors que c'est d'abord un sujet de gouvernance — des responsabilités, des priorités et des décisions suivies dans le temps. La bonne nouvelle : à l'échelle d'une startup ou d'une PME, poser cette gouvernance est une affaire de semaines, pas d'années, à condition de procéder avec méthode et proportion.