Check-list sécurité informatique PME 2026

Pourquoi utiliser une check-list sécurité informatique en 2026 ?

Une PME utilise aujourd’hui de nombreux outils : Microsoft 365, messagerie, fichiers partagés, logiciels métier, accès VPN, postes nomades, Wi-Fi, sauvegardes, applications cloud et prestataires externes. Chaque élément peut devenir un point faible s’il n’est pas vérifié régulièrement.

Une check-list permet de structurer les contrôles essentiels, sans attendre un incident. Elle aide à repérer les comptes oubliés, les accès trop larges, les sauvegardes non testées, les règles firewall anciennes, les partages externes ou les postes non maintenus.

Pour aller plus loin, cette démarche peut être complétée par un audit sécurité informatique PME.

Les grands domaines à vérifier

La sécurité informatique d’une PME repose sur plusieurs piliers. La check-list doit couvrir à la fois la technique, les accès, les données, les sauvegardes et l’organisation.

1. Vérifier les comptes utilisateurs

La première étape consiste à vérifier qui dispose encore d’un accès au système d’information. Les comptes utilisateurs doivent être maîtrisés, documentés et supprimés ou désactivés lorsqu’ils ne sont plus nécessaires.

• Liste des utilisateurs actifs à jour.
• Comptes d’anciens salariés désactivés.
• Comptes prestataires identifiés.
• Comptes partagés limités ou supprimés.
• Procédure de création et suppression des comptes.
• Revue régulière des accès sensibles.

2. Activer le MFA sur les comptes sensibles

Le MFA réduit le risque lorsqu’un mot de passe est compromis. En 2026, il doit être considéré comme une mesure de base pour les comptes importants.

• MFA activé sur les administrateurs.
• MFA activé sur la direction.
• MFA activé sur les comptes RH, finance et comptabilité.
• MFA appliqué aux accès externes.
• Exceptions MFA documentées et justifiées.
• Méthodes d’authentification fiables.

Ce point fait partie des contrôles prioritaires d’un audit sécurité Microsoft 365.

3. Contrôler les comptes administrateurs

Les comptes administrateurs doivent être limités et protégés. Trop d’administrateurs augmente le risque d’erreur, de compromission ou de mauvaise manipulation.

• Nombre d’administrateurs limité.
• Administrateurs globaux Microsoft 365 vérifiés.
• Administrateurs Active Directory contrôlés.
• Comptes d’administration séparés des comptes quotidiens.
• Accès prestataires administrateurs revus.
• MFA obligatoire sur les comptes à privilèges.

4. Auditer Microsoft 365

Microsoft 365 contient souvent une grande partie des données de la PME. Il faut vérifier les comptes, les partages, les règles Exchange, Teams, SharePoint et OneDrive.

• MFA et sécurité des comptes.
• Comptes administrateurs Microsoft 365.
• Règles Exchange et transferts automatiques.
• Boîtes partagées et délégations.
• Partages externes OneDrive et SharePoint.
• Invités Teams.
• Journaux de connexion et alertes.

Consultez aussi : Audit Microsoft 365 : les 15 points à vérifier.

5. Revoir Active Directory

Si la PME utilise Active Directory, l’annuaire doit être vérifié régulièrement : comptes, groupes, GPO, droits administrateurs et procédures de départ.

• Comptes inactifs désactivés.
• Groupes sensibles revus.
• Administrateurs du domaine limités.
• GPO anciennes identifiées.
• Comptes de service documentés.
• Politique de mots de passe vérifiée.

Ces contrôles sont détaillés dans l’audit Active Directory.

6. Contrôler le firewall et l’exposition Internet

Le firewall protège l’entreprise, mais ses règles évoluent avec le temps. Une règle temporaire peut rester active plusieurs années si elle n’est pas revue.

• Règles firewall documentées.
• Règles anciennes supprimées ou justifiées.
• Ports exposés sur Internet identifiés.
• Accès d’administration non exposés publiquement.
• Redirections NAT revues.
• Journalisation et alertes disponibles.

7. Vérifier les VPN et accès distants

Les accès VPN sont pratiques pour le télétravail et les prestataires, mais ils doivent être strictement maîtrisés.

• Liste des utilisateurs VPN à jour.
• Accès anciens ou prestataires supprimés.
• MFA activé sur les accès distants si possible.
• Droits VPN limités au besoin réel.
• Connexions VPN journalisées.
• Accès d’urgence documentés.

8. Séparer le Wi-Fi invité du réseau interne

Un Wi-Fi invité ne doit pas permettre d’accéder aux serveurs, postes, imprimantes, sauvegardes ou interfaces d’administration.

• Wi-Fi invité séparé du réseau interne.
• VLAN dédié si possible.
• Accès aux ressources internes bloqué.
• Mots de passe Wi-Fi maîtrisés.
• Bornes Wi-Fi maintenues à jour.
• SSID anciens supprimés.

Ces points peuvent être vérifiés avec un audit réseau informatique.

9. Mettre à jour les postes et serveurs

Les postes et serveurs doivent être maintenus à jour. Les systèmes obsolètes ou non corrigés augmentent le risque d’exploitation.

• Systèmes Windows ou serveurs à jour.
• Applications critiques maintenues.
• Navigateurs et outils bureautiques à jour.
• Équipements hors support identifiés.
• Postes nomades contrôlés.
• Inventaire des équipements disponible.

10. Vérifier la protection antivirus ou EDR

Les postes et serveurs doivent disposer d’une protection active. L’objectif est de détecter les comportements suspects, malwares, scripts dangereux ou compromissions potentielles.

• Protection active sur tous les postes.
• Protection active sur les serveurs si applicable.
• Alertes consultées régulièrement.
• Postes sans agent identifiés.
• Exclusions antivirus revues.
• Procédure de réaction en cas d’alerte.

11. Tester les sauvegardes

Une sauvegarde en succès ne garantit pas une restauration réussie. En 2026, une PME doit tester régulièrement sa capacité à restaurer ses données.

• Périmètre de sauvegarde vérifié.
• Fréquence adaptée aux besoins métier.
• Rétention suffisante.
• Copie protégée contre les ransomwares.
• Test de restauration réalisé.
• Temps de reprise mesuré.
• Priorités de restauration documentées.

Pour approfondir, consultez Comment savoir si mes sauvegardes sont vraiment fiables ?.

12. Préparer le PRA et la continuité d’activité

Le PRA permet de savoir comment reprendre après un incident majeur : ransomware, panne serveur, perte de données, indisponibilité Internet ou erreur humaine.

• Services critiques identifiés.
• Ordre de restauration défini.
• Contacts internes et prestataires listés.
• Accès d’urgence documentés.
• RTO et RPO définis.
• Scénario ransomware prévu.

Ce sujet est au cœur de l’audit sauvegarde PRA PCA.

13. Vérifier les données personnelles et le RGPD

Les données personnelles doivent être protégées techniquement. Le RGPD ne concerne pas uniquement les documents juridiques : il implique aussi les accès, sauvegardes, postes, réseau et outils cloud.

• Données personnelles identifiées.
• Accès aux données sensibles limités.
• Comptes inactifs supprimés.
• Partages externes maîtrisés.
• Sauvegardes et restauration vérifiées.
• Traçabilité disponible en cas d’incident.

Consultez aussi : RGPD : quelles mesures techniques une PME doit-elle vérifier ?.

14. Contrôler les prestataires et accès externes

Les prestataires IT, éditeurs, hébergeurs ou mainteneurs peuvent disposer d’accès sensibles. Ces accès doivent être suivis, limités et supprimés lorsqu’ils ne sont plus nécessaires.

• Liste des prestataires ayant accès au SI.
• Comptes externes identifiés.
• Accès VPN prestataires revus.
• Accès administrateurs limités.
• Fin de mission formalisée.
• Contrats et responsabilités clarifiés.

15. Sensibiliser les utilisateurs

La majorité des incidents commence souvent par une erreur humaine : phishing, pièce jointe, faux lien, faux ordre de virement ou demande frauduleuse.

• Sensibilisation au phishing.
• Rappel sur les mots de passe.
• Procédure de signalement simple.
• Vérification des demandes sensibles.
• Bonnes pratiques de partage de fichiers.
• Règles d’usage du matériel professionnel.

16. Prévoir une procédure en cas d’incident

Une PME doit savoir quoi faire en cas de compte compromis, ransomware, fuite de données, perte d’équipement ou suppression accidentelle.

• Contacts d’urgence définis.
• Procédure de blocage d’un compte compromise.
• Procédure de restauration des données.
• Conservation des preuves techniques.
• Communication interne et externe prévue.
• Responsabilités claires pendant l’incident.

En cas de compte compromis, consultez : Que faire si un compte Microsoft 365 a été piraté ?.

17. Mettre à jour la documentation informatique

Une documentation simple permet de gagner du temps pendant un audit, une panne ou un incident. Elle doit être suffisamment claire pour comprendre l’environnement.

• Schéma réseau.
• Plan IP et VLAN.
• Liste des serveurs.
• Liste des applications critiques.
• Liste des prestataires.
• Procédures de sauvegarde et restauration.
• Procédures d’arrivée et de départ.

18. Planifier un audit sécurité annuel

La sécurité informatique n’est pas figée. Les utilisateurs, outils, partages, règles firewall, comptes et sauvegardes évoluent. Un audit annuel permet de garder une vision claire.

• Audit sécurité global une fois par an.
• Contrôle Microsoft 365 après changement important.
• Test de restauration régulier.
• Revue des règles firewall.
• Revue des comptes administrateurs.
• Suivi du plan d’action sécurité.

L’article À quelle fréquence faut-il réaliser un audit sécurité informatique ? détaille cette approche.

Checklist synthétique sécurité informatique PME 2026

Voici la version courte de la check-list à utiliser en interne.

• Comptes utilisateurs revus.
• MFA activé sur les comptes sensibles.
• Administrateurs limités.
• Microsoft 365 audité.
• Active Directory nettoyé.
• Firewall et ports exposés vérifiés.
• VPN et accès distants maîtrisés.
• Wi-Fi invité isolé.
• Postes et serveurs à jour.
• Antivirus ou EDR actif.
• Sauvegardes testées.
• PRA documenté.
• RGPD et données personnelles vérifiés.
• Prestataires contrôlés.
• Utilisateurs sensibilisés.
• Procédure incident prête.
• Documentation informatique à jour.
• Audit annuel planifié.

Conclusion : une PME doit vérifier ses fondamentaux régulièrement

Une check-list sécurité informatique PME 2026 doit rester pragmatique. L’objectif n’est pas de tout complexifier, mais de vérifier régulièrement les points qui réduisent le plus le risque : comptes, MFA, Microsoft 365, réseau, sauvegardes, postes, prestataires et procédures d’incident.

Cette check-list peut servir de base pour un premier diagnostic, une revue interne ou la préparation d’un audit sécurité informatique plus complet.