# PK InfoSec · Rendre votre risque cyber lisible, arbitrable, prouvable. > Activité de conseil en ingénierie cyber et gouvernance des risques portée par Patient Kotto, pour PME et ETI. Patient Kotto, consultant cybersécurité et GRC. PK InfoSec transforme vos obligations, vos expositions et vos contraintes opérationnelles en décisions documentées, puis accompagne leur exécution. **Le registre de preuve.** Une décision cyber n’est solide que si son contexte, son responsable et sa preuve sont traçables. ## Doctrine d’intervention 01. **Observer avant de prescrire.** Actifs critiques, dépendances, surface exposée, pratiques et documents existants sont examinés avant toute recommandation. 02. **Hiérarchiser avant de produire.** Chaque écart est relié à un scénario, une obligation ou une décision. Le rapport n’est pas une liste de contrôle décorative. 03. **Conserver la preuve.** Décisions, livrables, responsables et échéances forment un registre exploitable par la direction, l’IT et les auditeurs. ## Référentiels - **ISO 27001 / 27002 / 27005** : mise en œuvre · risque · audit - **NIS2 / NIS** : applicabilité · écarts · feuille de route - **RGPD** : articulation sécurité · gouvernance - **EBIOS RM** : 5 ateliers ANSSI · scénarios - **SOC 2 Type II** : accompagnement · préparation - **DORA** : résilience · tiers · gouvernance - **NIST CSF** : cartographie · maturité - **MITRE ATT&CK / OWASP** : menaces · exposition applicative Le périmètre exact et les référentiels applicables sont confirmés au cadrage. ## Interventions ### Diagnostic décision cyber — pilote (mission pilote sur devis) Obtenir un arbitrage direction exploitable, sans lancer un audit lourd. Revue assistée et bornée de votre contexte, des preuves disponibles et des décisions urgentes. Jusqu’à 5 entretiens maximum et 10 documents maximum, sans collecte de secrets. Livrables : note exécutive et statuts de preuve, registre de décisions prioritaires, plan à 30 / 90 jours, restitution direction de 60 minutes. Tarif : 500 € — prix pilote indicatif. Exemple fictif de livrable : https://pk-infosec.com/exemple-diagnostic-direction ### Conformité & préparation audit (mission cadrée) Transformer un référentiel en chantier pilotable. Analyse d’écarts NIS2, ISO 27001, DORA ou exigences clients, puis construction d’une trajectoire cohérente avec vos moyens. Livrables : analyse d’applicabilité, matrice d’écarts et preuves, feuille de route gouvernée. Tarif : prix défini sur devis. ### RSSI externalisé (accompagnement récurrent) Installer une fonction cyber sans recruter à temps plein. Pilotage récurrent des risques, arbitrages, comités, exigences tierces et plans de remédiation, au contact de la direction et de l’IT. Livrables : comité de pilotage, registre tenu à jour, reporting de direction. Tarif : prix défini sur proposition mensuelle. Le montant pilote est un prix indicatif à tester. Toute intervention reste sur devis et dépend de la validation préalable du périmètre et du cadre de contractualisation. ## Méthode : le registre de preuve Le fil conducteur de chaque mission est un registre simple : ce qui a été observé, ce qui a été décidé, qui agit, pour quand, et comment le résultat sera démontré. 01. **Cadrer** : Objectifs, actifs critiques, parties prenantes, contraintes et critères de décision. Livrable : note de cadrage. 02. **Établir** : Entretiens, revue documentaire et technique, confrontation des faits aux exigences. Livrable : constats sourcés. 03. **Arbitrer** : Risques et écarts hiérarchisés selon l’impact, l’effort, l’urgence et les dépendances. Livrable : plan priorisé. 04. **Prouver** : Responsables, décisions, échéances et éléments de preuve maintenus dans un registre lisible. Livrable : registre de preuve. ## Contact - Email : contact@pk-infosec.com - Premier échange de 30 minutes : https://calendly.com/patient-kotto/30min - Format : Visioconférence · à distance - Aucun document sensible, secret ou identifiant à ce stade ## Pour les agents - Brief à suivre : https://pk-infosec.com/AGENTS.md - Serveur MCP en lecture seule : https://pk-infosec.com/api/mcp - Résumé pour modèles : https://pk-infosec.com/llms.txt --- # AGENTS.md · PK InfoSec Activité de conseil en ingénierie cyber et gouvernance des risques portée par Patient Kotto, pour PME et ETI. Patient Kotto, consultant cybersécurité et GRC. Visioconférence · à distance. ## Interventions - Diagnostic décision cyber — pilote · 500 € — prix pilote indicatif · Obtenir un arbitrage direction exploitable, sans lancer un audit lourd. - Conformité & préparation audit · Prix défini sur devis · Transformer un référentiel en chantier pilotable. - RSSI externalisé · Prix défini sur proposition mensuelle · Installer une fonction cyber sans recruter à temps plein. Le montant pilote est un prix indicatif à tester. Toute intervention reste sur devis et dépend de la validation préalable du périmètre et du cadre de contractualisation. ## Préparer une demande pour la personne que vous assistez ```http POST https://pk-infosec.com/api/contact Content-Type: application/json ``` ```json { "prenom": "Prénom de la personne", "email": "adresse professionnelle", "role": "DSI | RSSI | Direction générale | DAF | Responsable IT | Autre", "taille": "Moins de 50 salariés | 50 à 250 salariés | 250 à 1 000 salariés | Plus de 1 000 salariés", "offre": "diagnostic-direction-pilote (facultatif)", "message": "Contexte, obligation, échéance ou décision à préparer" } ``` Envoyez uniquement après l’accord explicite de la personne : la demande arrive dans une vraie boîte mail. Aucun document sensible, secret ou identifiant à ce stade. ## Lire avant d’écrire - Serveur MCP en lecture seule (streamable HTTP) : https://pk-infosec.com/api/mcp - Résumé pour modèles : https://pk-infosec.com/llms.txt - Version complète : https://pk-infosec.com/llms-full.txt - Premier échange de 30 minutes : https://calendly.com/patient-kotto/30min --- # NIS2 : ce qui change vraiment pour les PME en 2026 > Au 25 octobre 2026, la loi qui doit transposer NIS2 en France n'est pas encore adoptée. Ce que prévoit déjà la directive pour les PME, et comment s'y préparer. Publié le 15 janvier 2026 · 6 min · NIS2, Réglementation · https://pk-infosec.com/blog/nis2-pme-2026 *Mis à jour le 25 octobre 2026 : statut de la transposition vérifié sur les sites de l'Assemblée nationale, du Sénat et de Légifrance. Les sources officielles sont listées en fin d'article.* Au 25 octobre 2026, la directive NIS2 n'est pas encore transposée en droit français. Le projet de loi qui doit la transposer a été adopté par le Sénat en mars 2025, mais l'Assemblée nationale ne l'a pas encore examiné en séance publique. Ce texte, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Son examen en séance, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour le 6 octobre. Aucune nouvelle date n'avait été fixée au moment de cette mise à jour. La directive européenne, elle, est en vigueur depuis le 16 janvier 2023, et les États membres avaient jusqu'au 17 octobre 2024 pour la transposer. Les obligations décrites ci-dessous sont donc celles du texte européen. Elles s'appliqueront en France une fois la loi adoptée et ses textes d'application publiés, et leurs modalités peuvent encore évoluer pendant les débats. ## Qui est concerné ? Selon l'ANSSI, NIS2 s'appliquera en France à des milliers d'entités, des PME aux groupes du CAC 40. La directive couvre 18 secteurs, répartis en deux annexes : - **Annexe I, secteurs hautement critiques** : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC entre entreprises, administration publique, espace. - **Annexe II, autres secteurs critiques** : services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche. Le classement en entité essentielle ou importante dépend à la fois du secteur et de la taille (article 3). En simplifiant : une grande entreprise d'un secteur de l'annexe I est une entité essentielle ; une entreprise moyenne de l'annexe I, ou une entreprise moyenne ou grande de l'annexe II, est une entité importante. Les entités essentielles peuvent faire l'objet d'inspections et d'audits de sécurité réguliers. Les entités importantes sont contrôlées a posteriori, quand des éléments laissent penser qu'elles ne respectent pas la directive (articles 32 et 33). Le critère de taille reprend la définition européenne des PME (recommandation 2003/361/CE) : la directive vise les entreprises moyennes et les grandes. Une entreprise reste « petite », donc en principe hors du champ, si elle emploie moins de 50 personnes et que son chiffre d'affaires annuel ou son total de bilan ne dépasse pas 10 M€. Selon l'ANSSI, ce calcul porte sur l'ensemble des activités de l'entité, pas seulement sur celles listées dans les annexes. Certaines entités sont concernées quelle que soit leur taille, notamment les fournisseurs de réseaux ou de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. L'État peut aussi désigner une entité plus petite si son activité est critique (article 2, paragraphe 2). Si vous êtes sous ces seuils mais fournisseur d'une entité concernée, la directive ne s'applique pas directement à vous. Votre client devra en revanche traiter la sécurité de sa chaîne d'approvisionnement, y compris ses relations avec ses fournisseurs directs (article 21, paragraphe 2, point d). Il est donc probable qu'il vous demande des garanties, par questionnaire ou dans le contrat. ## Les 10 mesures de l'article 21 La directive demande des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » aux risques. Elle fixe un socle d'au moins dix mesures : 1. **Politiques d'analyse des risques et de sécurité des systèmes d'information** 2. **Gestion des incidents** 3. **Continuité des activités** : gestion des sauvegardes, reprise des activités, gestion de crise 4. **Sécurité de la chaîne d'approvisionnement**, y compris les relations avec les fournisseurs et prestataires directs 5. **Sécurité de l'acquisition, du développement et de la maintenance des systèmes**, y compris le traitement et la divulgation des vulnérabilités 6. **Évaluation de l'efficacité des mesures**, par des politiques et des procédures dédiées 7. **Cyberhygiène de base et formation à la cybersécurité** 8. **Cryptographie** et, le cas échéant, chiffrement 9. **Sécurité des ressources humaines, contrôle d'accès et gestion des actifs** 10. **Authentification multifacteur (MFA)** ou continue, communications sécurisées et systèmes de communication d'urgence sécurisés, selon les besoins Pour la France, l'ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures qu'elle recommande pour atteindre ces objectifs. Il est diffusé comme document de travail et n'est pas obligatoire par défaut, mais une entité qui l'applique pourra s'en prévaloir en cas de contrôle de l'ANSSI. ## Déclarer un incident important : 24 heures, 72 heures, un mois L'article 23 prévoit trois temps, auprès du CSIRT ou de l'autorité compétente : une alerte précoce dans les 24 heures après avoir eu connaissance de l'incident, une notification d'incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification. ## Les sanctions La directive impose aux États membres de prévoir des amendes administratives dont le plafond atteint au moins (article 34) : - Entités essentielles : **10 M€ ou 2 % du chiffre d'affaires annuel mondial** de l'exercice précédent, le montant le plus élevé étant retenu - Entités importantes : **7 M€ ou 1,4 % du chiffre d'affaires annuel mondial**, selon la même règle Les montants applicables en France seront ceux de la loi de transposition. La directive engage aussi les dirigeants : les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent être tenus pour responsables en cas de manquement. Leurs membres doivent également suivre une formation (article 20). ## Par où commencer : 3 étapes **1. Vérifier si vous êtes concerné.** Le simulateur NIS2 de l'ANSSI donne une première réponse, à valeur indicative. Si votre activité est mixte ou si vous faites partie d'un groupe, je recommande de compléter ce test par une lecture des annexes de la directive. **2. Mesurer l'écart avec les dix mesures de l'article 21.** Le ReCyF et l'outil de comparaison de l'ANSSI aident à rapprocher ces exigences de ce que vous appliquez déjà, par exemple une norme ou un autre référentiel. Le temps nécessaire dépend surtout de ce qui est déjà documenté chez vous. **3. Avancer sur les mesures qui n'attendent pas les décrets.** Authentification multifacteur sur les accès sensibles, sauvegardes testées et isolées, procédure de gestion des incidents compatible avec les délais de 24 et 72 heures : ces trois chantiers répondent directement aux articles 21 et 23, et je recommande de les engager sans attendre. > L'ANSSI invite les futures entités essentielles et importantes à s'engager dès à présent dans une démarche de sécurisation cohérente avec NIS2. Je recommande, dans la mesure du possible, de vérifier votre éligibilité sans attendre l'adoption de la loi : le calendrier et les délais de mise en conformité dépendront de la loi et de ses décrets, mais le cadre de la directive est déjà connu. ## Sources - [Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), JOUE L 333 du 27 décembre 2022](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32022L2555) : articles 2, 3, 20, 21, 23, 32 à 34, 41 et 45, annexes I et II - [Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32003H0361) - [Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité](https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731) - [Assemblée nationale, relevé de conclusions de la conférence des présidents du 6 octobre 2026](https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026) - [Sénat, dossier législatif du projet de loi](https://www.senat.fr/dossier-legislatif/pjl24-033.html) - [ANSSI, la directive NIS 2 et le Référentiel Cyber France (ReCyF)](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/) - [ANSSI, FAQ NIS 2 : qui sera concerné ?](https://aide.monespacenis2.cyber.gouv.fr/fr/article/concretement-qui-sera-concerne-par-le-nouveau-perimetre-dapplication-de-nis-2-95l9mu/) - [ANSSI, FAQ NIS 2 : seuils financiers et d'effectifs](https://aide.monespacenis2.cyber.gouv.fr/fr/article/quels-sont-les-seuils-financiers-et-deffectifs-a-prendre-en-compte-pour-determiner-si-mon-entite-est-regulee-vzez74/) - [ANSSI, simulateur NIS2 « Mon entité est-elle concernée ? »](https://messervices.cyber.gouv.fr/simulateur-nis2) --- # ISO 27001 : faut-il se certifier ou simplement s'aligner ? > Se certifier ISO 27001 représente 12 à 24 mois de travail et 30 000€+. S'aligner aux 93 contrôles sans audit externe coûte 5 à 10 fois moins. Comment choisir ? Publié le 3 février 2026 · 6 min · ISO 27001, Conformité · https://pk-infosec.com/blog/iso-27001-certification-ou-alignement ISO 27001 est devenu le standard de référence mondial pour la sécurité de l'information. Mais la question que posent la plupart des DSI et RSSI n'est pas "faut-il le faire ?" — c'est "jusqu'où aller ?". ## La différence fondamentale **S'aligner** signifie adopter le cadre des 93 contrôles de l'Annexe A, mettre en place un SMSI (Système de Management de la Sécurité de l'Information) et documenter vos pratiques — sans faire appel à un organisme de certification accrédité. **Se certifier** signifie faire auditer votre SMSI par un organisme tiers (Bureau Veritas, SGS, BSI…) qui délivre un certificat valide 3 ans, avec des audits de surveillance annuels. ## Les avantages de chaque approche ### L'alignement sans certification - Coût : 15 000 à 50 000 € (accompagnement + temps interne) vs 80 000 à 200 000€ pour la certification - Délai : 6 à 12 mois vs 12 à 24 mois - Flexibilité : vous adaptez le SMSI à votre contexte sans contrainte d'auditeur externe - Suffisant pour la plupart des obligations NIS2 et RGPD ### La certification - Preuve tierce indépendante — indispensable pour certains appels d'offres publics ou clients grands comptes - Différenciation commerciale réelle (notamment export, secteur financier, défense) - Signal fort pour les assureurs cyber (impact positif sur les primes) - Obligation contractuelle pour certains secteurs (NIS2 Annex I, certains clients bancaires) ## Quand choisir la certification La certification s'impose clairement dans ces situations : - Vous répondez à des appels d'offres qui l'exigent explicitement - Vous traitez des données de santé, données financières ou données classifiées - Vous êtes fournisseur d'un grand compte qui la requiert contractuellement - Vous préparez une levée de fonds internationale ou un exit vers un acheteur anglo-saxon ## Quand l'alignement suffit Pour la majorité des PME et ETI françaises, l'alignement ISO 27001 sans certification couvre : - Les obligations NIS2 (Article 21 ne mentionne pas la certification, seulement l'adoption de mesures appropriées) - Les exigences RGPD (sécurité des données personnelles) - Les questionnaires fournisseurs de clients grands comptes (80% des questionnaires acceptent un alignement documenté) - Le dialogue avec votre assureur cyber ## L'approche pragmatique La stratégie que je recommande le plus souvent : **s'aligner d'abord, certifier ensuite si le besoin commercial se confirme**. Un SMSI bien construit est directement certifiable — l'alignement n'est pas du travail perdu, c'est la fondation. Comptez 6 à 12 mois pour un alignement solide, puis 6 à 12 mois supplémentaires pour la certification si l'opportunité se présente. > Avant de vous lancer, une question simple : un de vos 3 plus gros clients ou prospects vous demande-t-il ISO 27001 certifié ? Si non, commencez par l'alignement. --- # Les 5 critères pour choisir son RSSI externalisé > Le marché du RSSI aaS explose depuis NIS2. Mais tous les prestataires ne se valent pas. Voici les 5 critères qui séparent un vrai expert d'un commercial avec des slides. Publié le 20 février 2026 · 5 min · RSSI aaS, Conseil · https://pk-infosec.com/blog/choisir-rssi-externalise Depuis NIS2, les offres de Responsable de la Sécurité Informatique (RSSI) externalisé se multiplient. ESN, cabinets de conseil, indépendants — tout le monde propose maintenant du RSSI à temps partagé. Comment distinguer une expertise réelle d'une offre commerciale habillée en compétence cyber ? ## Critère 1 : L'expertise terrain prouvée — pas juste les certifications Les certifications (CISSP, CISM, ISO 27001 Lead Implementer) sont nécessaires mais insuffisantes. Ce qui compte, c'est : - Des missions similaires à la vôtre (secteur, taille, contraintes techniques) - Des recommandations concrètes lors d'un premier échange — pas uniquement des questions - Une infrastructure personnelle qui reflète ses propres préconisations (serveurs, sauvegardes, authentification) Testez : posez une question technique spécifique à votre contexte lors du premier appel. Un expert répond avec précision et nuance. Un commercial répond avec un slide. ## Critère 2 : La transparence tarifaire Dans le conseil cyber, l'opacité tarifaire est un red flag. Un prestataire qui refuse d'afficher ses prix — même une fourchette — protège sa marge, pas vos intérêts. Exigez : une fourchette de prix claire dès le premier échange, une proposition structurée avec les livrables associés, et une clause de sortie raisonnable (préavis 1 mois, pas 6 mois). ## Critère 3 : L'outillage et la plateforme Un RSSI externalisé sérieux travaille avec des outils — pas juste des tableurs Excel partagés. Questions à poser : - Comment suivez-vous les risques et les plans d'action entre les comités ? - Comment partagez-vous les livrables (politiques, rapports, preuves de conformité) ? - Avez-vous une plateforme de suivi ou tout passe par email ? Un prestataire sans plateforme structurée créera de la dépendance à sa personne. Si il part, vous repartez de zéro. ## Critère 4 : La disponibilité et la réactivité Le RSSI externalisé intervient en moyenne 2 à 4 jours par mois. Mais la cyber ne s'arrête pas à la fin du forfait mensuel. Clarifiez : - Quel est le délai de réponse pour une question urgente hors forfait ? - Comment est gérée une crise de sécurité (ransomware, fuite de données) ? - Y a-t-il une astreinte ou un escalade possible ? ## Critère 5 : La capacité à parler aux non-techniques Un RSSI externalisé efficace n'est pas uniquement un technicien. Il doit pouvoir : - Présenter les risques à la direction en langage dirigeant (impact business, pas technique) - Rédiger des politiques compréhensibles par vos équipes, pas juste par lui - Justifier les investissements sécurité en termes de retour sur risque, pas de conformité abstraite ## Les red flags à éviter - Premier rendez-vous de 2h avec 50 slides et aucune question sur votre contexte - Tarif "à partir de" avec aucune fourchette haute - Promesse de certification ISO 27001 en 3 mois - Absence de références vérifiables dans votre secteur - Contrat avec clause d'exclusivité ou d'engagement long sans jalons de sortie > Le bon RSSI externalisé est celui qui vous rend autonome progressivement — pas celui qui crée une dépendance perpétuelle à ses services. --- # 10 mesures cyber prioritaires pour une PME en 2026 > 80% des incidents cyber sur les PME auraient pu être évités avec ces 10 mesures. Niveau de difficulté et coût indicatif pour chacune — par ordre de priorité. Publié le 10 mars 2026 · 7 min · Bonnes pratiques, PME · https://pk-infosec.com/blog/10-mesures-cyber-pme-2026 Les PME représentent 60% des victimes de ransomware en France. La bonne nouvelle : 80% de ces incidents auraient pu être évités avec un socle de mesures basiques bien implémentées. Voici la liste par ordre de priorité. ## 1. Authentification multifacteur (MFA) sur tous les accès distants **Difficulté :** Faible · **Coût :** Gratuit à 3€/utilisateur/mois VPN, webmail, Microsoft 365, Google Workspace, outils SaaS métier — activer le MFA sur tous ces accès est la mesure avec le meilleur retour sur investissement de toute la sécurité informatique. Elle bloque 99% des attaques par credential stuffing. ## 2. Sauvegardes chiffrées et testées — règle 3-2-1 **Difficulté :** Moyenne · **Coût :** 50 à 200€/mois selon volume 3 copies des données, sur 2 supports différents, dont 1 hors site (cloud chiffré ou coffre physique). La règle des sauvegardes n'est utile que si elles sont testées — planifiez un test de restauration trimestriel. ## 3. Gestion des mises à jour — patch management **Difficulté :** Faible · **Coût :** Inclus dans la plupart des EDR 70% des attaques exploitent des vulnérabilités connues avec un patch disponible depuis plus de 30 jours. Automatisez les mises à jour Windows/macOS/Linux et vérifiez les applicatifs métier mensuellement. ## 4. Segmentation réseau — WiFi invité et VLANs **Difficulté :** Moyenne · **Coût :** 0 à 2 000€ (matériel) Isolez les postes de travail des serveurs, les IoT des systèmes critiques, et le WiFi invité de tout le reste. Un réseau plat (tout le monde voit tout le monde) est un risque majeur de propagation latérale. ## 5. EDR — Endpoint Detection & Response **Difficulté :** Faible · **Coût :** 5 à 15€/poste/mois L'antivirus classique ne suffit plus contre les menaces modernes. Un EDR (SentinelOne, CrowdStrike Falcon Go, Microsoft Defender for Business) détecte les comportements anormaux, pas seulement les signatures. ## 6. Politique de mots de passe + gestionnaire d'équipe **Difficulté :** Faible · **Coût :** 3 à 8€/utilisateur/mois Bitwarden Teams, 1Password Business, Dashlane for Business — un gestionnaire de mots de passe d'entreprise élimine les post-it, les "Azerty123" et les mots de passe réutilisés. Déploiement : 1 demi-journée. ## 7. Contrôle des accès — principe du moindre privilège **Difficulté :** Moyenne · **Coût :** Temps interne uniquement Chaque utilisateur doit avoir uniquement les droits nécessaires à son travail. Auditez les comptes administrateurs (combien ont besoin de droits admin en permanence ?), supprimez les comptes des anciens collaborateurs le jour J. ## 8. Sensibilisation aux phishing — 30 min/an minimum **Difficulté :** Faible · **Coût :** 0 à 5€/utilisateur/an 90% des incidents commencent par un email. Une formation de 30 minutes par an et un test de phishing simulé annuel réduisent significativement le taux de clics sur les liens malveillants. ## 9. Plan de réponse aux incidents — même simple **Difficulté :** Faible · **Coût :** Temps interne uniquement Qui appeler si vous subissez un ransomware à 23h un vendredi ? Qui a les droits d'isoler les serveurs ? Où est la liste des contacts ANSSI/CERT-FR ? Un document d'une page avec ces réponses peut faire la différence entre 2 heures et 2 semaines de crise. ## 10. Inventaire des actifs et cartographie **Difficulté :** Moyenne · **Coût :** Temps interne uniquement Vous ne pouvez pas protéger ce que vous ne connaissez pas. Un inventaire des postes, serveurs, applications SaaS et accès tiers est le prérequis de toute démarche de sécurité sérieuse. > Ces 10 mesures forment le socle minimum. Si vous n'en avez implémenté que 3, commencez par MFA, sauvegardes et EDR — dans cet ordre. C'est 80% de la protection pour 20% de l'effort.