Le programme permettait d’examiner le sujet sous des angles très différents : évolution des menaces, souveraineté, droit, politiques publiques, intelligence artificielle, outils de sécurité, recherche ou encore cryptographie.

Dans ce panorama très large, nous avons choisi de nous concentrer sur un enjeu parfois moins visible : la cybersécurité des TPE et PME et, surtout, leur intégration dans des chaînes économiques composées d’acteurs de tailles très différentes.

Notre conviction est simple : les grandes entreprises ont autant intérêt que les petites à ce que la cybersécurité des TPE et PME progresse.

La cybersécurité des PME est un problème collectif

Les petites et moyennes entreprises représentent l’immense majorité du tissu économique français.

Elles interviennent également à tous les niveaux des chaînes de valeur : fournisseurs, prestataires, sous-traitants, éditeurs de logiciels, cabinets de conseil, sociétés de maintenance ou partenaires métiers.

Autrement dit, une TPE ou une PME n’est presque jamais isolée.

Elle échange des informations avec d’autres organisations, accède parfois à leurs systèmes, traite leurs données ou intervient directement dans leurs processus de production.

Sa cybersécurité ne concerne donc pas seulement sa propre activité.

Elle peut également conditionner le niveau de sécurité de ses clients et partenaires.

Une grande entreprise peut ainsi disposer d’un dispositif de cybersécurité extrêmement mature tout en restant exposée par l’intermédiaire de partenaires beaucoup plus petits dont elle dépend.

Le sujet devient alors systémique : la solidité de la chaîne dépend aussi de ses acteurs les moins bien armés.

Pourtant, les exigences de cybersécurité n’ont jamais été aussi fortes

La situation peut sembler paradoxale.

Jamais les dirigeants n’ont probablement été autant sensibilisés au risque cyber.

Dans le même temps, les exigences de sécurité se multiplient dans les relations commerciales.

Questionnaires de sécurité, audits fournisseurs, clauses contractuelles, exigences d’authentification, tests d’intrusion, politiques de sécurité, plans de continuité, certification ou preuves de conformité font désormais partie de nombreuses relations entre donneurs d’ordre et fournisseurs.

En apparence, cette évolution devrait mécaniquement améliorer la cybersécurité de l’ensemble de l’écosystème.

Dans la pratique, ce n’est pas toujours le cas.

Le problème : des exigences souvent conçues pour des organisations beaucoup plus grandes

La difficulté apparaît lorsque des exigences pensées pour …

The post Cybersécurité des TPE/PME : quand les exigences des grands groupes rencontrent la réalité des petites structures appeared first on Quark Security.

Pour répondre à ces questions, on peut partir d’une représentation volontairement simple : une matrice croisant deux dimensions, la priorité accordée au business et la priorité accordée à la sécurité.

Quatre configurations apparaissent alors. Elles ne prétendent pas décrire toute la diversité des entreprises, mais permettent d’identifier quatre grands modèles d’organisation et, surtout, quatre manières très différentes d’envisager la cybersécurité.

Dans chacune de ces configurations, le rôle du Responsable de la Sécurité des Systèmes d’Information évolue. Car un bon RSSI ne se contente pas de maîtriser les sujets techniques : il doit comprendre l’environnement dans lequel il intervient et adapter son action aux priorités de l’entreprise.

Dernière configuration : business et sécurité disposent tous deux d’une place forte et parviennent à fonctionner ensemble.

La sécurité n’est pas un frein : elle permet d’éviter d’avoir à freiner brutalement

Dans une organisation mature, business et sécurité ne sont pas deux forces opposées entre lesquelles il faudrait rechercher en permanence un compromis.

La sécurité fait partie du fonctionnement normal de l’entreprise.

Elle est intégrée suffisamment tôt dans les projets pour ne pas devenir un obstacle tardif. Les risques sont identifiés, compris et hiérarchisés. Les mesures appliquées correspondent à la criticité réelle des activités.

Surtout, personne ne cherche à atteindre un niveau abstrait de « sécurité maximale ».

L’objectif consiste à protéger ce qui crée réellement de la valeur pour l’entreprise et à concentrer les efforts là où une défaillance aurait des conséquences significatives.

Une sécurité calibrée plutôt qu’une sécurité maximale

Une organisation mature ne déploie pas un contrôle simplement « parce que c’est la norme ».

Elle cherche d’abord à comprendre le risque auquel ce contrôle répond.

Certaines mesures seront indispensables.

D’autres pourront être différées.

Certaines applications justifieront des exigences particulièrement fortes, tandis que d’autres pourront fonctionner avec un niveau de contrôle plus léger.

Cette capacité de différenciation est essentielle.

Une sécurité uniforme est rarement une sécurité efficace, parce qu’elle consomme les ressources sans tenir compte de la valeur respective des actifs à protéger.

Le principe pourrait se résumer ainsi : plus un élément est essentiel au fonctionnement ou à la valeur de l’entreprise, plus son niveau de protection doit être maîtrisé.

Le risque devient un outil de pilotage

Dans cette configuration, la sécurité ne sert plus seulement à empêcher …

The post 4. Cybersécurité et business : quand les deux avancent ensemble appeared first on Quark Security.

Quatre configurations apparaissent alors. Elles ne prétendent pas décrire toute la diversité des entreprises, mais permettent d’identifier quatre grands modèles d’organisation et, surtout, quatre manières très différentes d’envisager la cybersécurité.

Dans chacune de ces configurations, le rôle du Responsable de la Sécurité des Systèmes d’Information évolue. Car un bon RSSI ne se contente pas de maîtriser les sujets techniques : il doit comprendre l’environnement dans lequel il intervient et adapter son action aux priorités de l’entreprise.

Troisième cas : le business constitue la priorité absolue et la sécurité est systématiquement reportée à plus tard.

« Quand on remet la sécurité à demain, elle finit souvent par arriver trop tard »

Dans de nombreuses organisations, la logique paraît parfaitement rationnelle.

Il faut lancer rapidement un produit, répondre à un client, conquérir un marché ou profiter d’une opportunité avant les concurrents.

Chaque jour compte.

Dans ce contexte, la sécurité semble facilement reportable. Le projet fonctionne aujourd’hui ; pourquoi retarder son lancement pour traiter un risque qui, lui, reste hypothétique ?

On optimise alors le time-to-market, mais pas nécessairement la résilience.

La cybersécurité est considérée comme importante, certainement, mais jamais suffisamment urgente pour passer devant le prochain objectif commercial.

Elle sera traitée « plus tard », lorsque l’entreprise disposera de davantage de temps ou de moyens.

Le problème est que ce moment arrive rarement spontanément.

Le risque invisible perd presque toujours face au besoin immédiat

La difficulté fondamentale de la cybersécurité tient à sa temporalité.

Le bénéfice d’un nouveau produit est immédiatement visible.

Le chiffre d’affaires généré par un nouveau client est mesurable.

Le bénéfice d’une vulnérabilité corrigée est différent : il correspond à un événement qui ne se produit pas.

Cette asymétrie rend l’arbitrage naturellement difficile.

Tant que l’entreprise ne connaît aucun incident sérieux, les investissements consacrés à la sécurité peuvent donner l’impression de produire peu de valeur.

Mais lorsqu’un incident survient, le raisonnement change brutalement.

Une activité peut être interrompue. Des équipes entières sont mobilisées. Des clients doivent être rassurés. Certains projets sont stoppés. Les décisions se prennent dans l’urgence.

La sécurité jusque-là différée devient soudain la …

The post 3. Cybersécurité et business : quand la sécurité peut toujours attendre appeared first on Quark Security.

Pour répondre à ces questions, on peut partir d’une représentation volontairement simple : une matrice croisant deux dimensions, la priorité accordée au business et la priorité accordée à la sécurité.

Quatre configurations apparaissent alors. Elles ne prétendent pas décrire toute la diversité des entreprises, mais permettent d’identifier quatre grands modèles d’organisation et, surtout, quatre manières très différentes d’envisager la cybersécurité.

Dans chacune de ces configurations, le rôle du Responsable de la Sécurité des Systèmes d’Information évolue. Car un bon RSSI ne se contente pas de maîtriser les sujets techniques : il doit comprendre l’environnement dans lequel il intervient et adapter son action aux priorités de l’entreprise.

Deuxième cas : la sécurité dispose d’une place prépondérante, au point parfois de perdre de vue les besoins du business.

« Quand la sécurité devient une fin en soi, elle cesse d’être utile »

Il existe un excès inverse à celui qui consiste à ignorer la cybersécurité : celui qui revient à considérer que toute réduction du risque constitue nécessairement une bonne décision.

Dans certaines organisations, chaque modification nécessite plusieurs validations. Chaque nouvel outil doit répondre à une longue série d’exigences avant même de pouvoir être testé. Chaque initiative nouvelle déclenche une succession de contrôles.

L’intention est compréhensible : protéger l’entreprise.

Mais lorsque le dispositif n’est plus proportionné aux risques, les effets peuvent devenir contre-productifs.

Les projets ralentissent. Les équipes cherchent des contournements pour respecter leurs délais. Les règles sont progressivement perçues comme des contraintes administratives plutôt que comme des mécanismes de protection.

Peu à peu, on ne protège plus l’activité : on protège le dispositif de protection lui-même.

Toutes les mesures de sécurité ne se valent pas

Une règle de sécurité n’a pas de valeur dans l’absolu.

Sa pertinence dépend du risque qu’elle permet de réduire, du contexte dans lequel elle s’applique et du coût qu’elle impose à l’organisation.

Demander une authentification renforcée pour accéder à une application contenant des données particulièrement sensibles peut être parfaitement justifié.

Imposer le même niveau de contrôle à chaque outil, indépendamment des données qu’il contient et des usages qui en sont faits, l’est beaucoup moins.

Une politique de sécurité efficace doit donc savoir distinguer.

Tous les actifs n’ont pas la même criticité. Tous les projets ne présentent pas la même exposition. Toutes les vulnérabilités …

The post 2. Cybersécurité et business : quand la sécurité devient une fin en soi appeared first on Quark Security.

Quatre configurations apparaissent alors. Elles ne prétendent pas décrire toute la diversité des entreprises, mais permettent d’identifier quatre grands modèles d’organisation et, surtout, quatre manières très différentes d’envisager la cybersécurité.

Dans chacune de ces configurations, le rôle du Responsable de la Sécurité des Systèmes d’Information évolue. Car un bon RSSI ne se contente pas de maîtriser les sujets techniques : il doit comprendre l’environnement dans lequel il intervient et adapter son action aux priorités de l’entreprise.

Premier cas : ni le business ni la sécurité ne disposent réellement d’un cadre de priorisation.

« Quand tout passe en mode urgence, rien n’est prioritaire »

Cette situation est probablement l’une des plus fréquentes dans les PME en croissance.

L’activité existe, les projets avancent, les clients sont servis et les équipes travaillent beaucoup. Pourtant, lorsque l’on observe la manière dont les décisions sont prises, une caractéristique apparaît rapidement : tout est urgent.

Une demande client doit immédiatement être intégrée à la production. Un besoin interne devient soudain prioritaire. Un prestataire finit par décider à la place de l’entreprise parce que personne n’a le temps d’arbitrer. Une nouvelle opportunité commerciale oblige à modifier la feuille de route établie quelques jours auparavant.

L’entreprise avance, mais essentiellement par réaction.

La conséquence est assez prévisible : la roadmap change constamment, la dette technique s’accumule, les risques sont traités lorsqu’ils deviennent visibles et tout incident sérieux prend immédiatement les proportions d’une crise.

Cela ne signifie pas qu’il n’existe aucune stratégie commerciale. Cela ne signifie pas davantage que personne ne se préoccupe de cybersécurité.

Le problème se situe ailleurs : il manque un cadre permettant de transformer des objectifs en priorités.

Le problème n’est pas l’absence d’initiatives, mais l’absence d’arbitrage

Dans ce type d’organisation, on trouve souvent de nombreux éléments intéressants.

Un antivirus ou un EDR a été déployé. Des sauvegardes existent. Un prestataire informatique intervient régulièrement. Certains collaborateurs sont sensibilisés. Des projets commerciaux structurants sont lancés.

Pris séparément, chacun de ces éléments peut être pertinent.

Mais ils ne constituent pas nécessairement un dispositif cohérent.

La difficulté apparaît lorsqu’il faut arbitrer entre deux demandes : faut-il …

The post 1. Cybersécurité et business : quand rien n’est vraiment prioritaire appeared first on Quark Security.

Cette dimension technique est évidemment essentielle. Mais elle ne suffit pas à faire un bon test d’intrusion.

Avec l’expérience, nous avons acquis chez Quark Security une conviction : la véritable valeur d’un test d’intrusion ne réside pas seulement dans les failles découvertes, mais dans la capacité de l’entreprise à les corriger et à améliorer durablement son niveau de sécurité.

Un pentest ne se résume pas à trouver des failles

À première vue, la qualité d’un pentest peut sembler dépendre essentiellement de la maîtrise technique du pentester : sa capacité à comprendre rapidement une architecture, identifier un comportement anormal, exploiter une vulnérabilité ou combiner plusieurs faiblesses pour construire un scénario d’attaque.

C’est indispensable. Mais ce n’est qu’une partie du travail.

Un bon pentest suppose également trois qualités fondamentales.

Une connaissance très large des technologies

Le pentester doit comprendre les technologies utilisées par l’entreprise, leur fonctionnement, leurs interactions et leurs vulnérabilités potentielles. Cette culture technique permet non seulement d’identifier les failles connues, mais aussi de détecter les mauvaises configurations ou les usages inattendus susceptibles de créer une vulnérabilité.

Un état d’esprit mêlant créativité, méthode et éthique

Un attaquant ne suit pas nécessairement le chemin prévu par les concepteurs d’un système. Le pentester doit donc savoir explorer des pistes inhabituelles, tout en conduisant son investigation de manière rigoureuse, reproductible et maîtrisée.

La capacité à transformer les résultats en décisions concrètes

Identifier cinquante vulnérabilités n’a que peu de valeur si l’entreprise ne sait pas lesquelles corriger en priorité, comment les traiter ou quels moyens mobiliser.

Le rôle du pentester est donc aussi de traduire les constats techniques en un plan d’action compréhensible, priorisé et réaliste.

Le véritable objectif : permettre au client d’agir

Le client n’attend pas une avalanche de données techniques.

Il veut savoir :

• quelles vulnérabilités représentent réellement un risque ;
• lesquelles doivent être corrigées en priorité ;
• quelles mesures mettre en œuvre ;
• et comment vérifier que ces corrections sont efficaces.

Cette distinction est particulièrement importante pour les PME et ETI.

Leurs équipes informatiques disposent rarement de ressources illimitées. Chaque recommandation de sécurité entre en concurrence avec des projets métiers, des opérations de maintenance, des évolutions applicatives ou des incidents de production.

Un rapport de pentest doit …

The post Comment reconnaître un bon test d’intrusion ? appeared first on Quark Security.

Dans cette logique, la grille de lecture ci-dessous sert de boussole pour éclairer les actions à mettre en œuvre. Elle aide à prioriser, à décider vite et à relier chaque action de sécurité à un bénéfice concret pour l’entreprise. Conservez-la en tête en parcourant les cas pratiques décrits ci-après : ces points de repères conduisent à adopter des gestes simples qui, bien intégrés, ont souvent plus d’impact que des projets complexes.

Les quatre idées reçues les plus répandues en cybersécurité

Idée reçue #1 : l’existence d’une solution unique

« Dans mon entreprise, la cybersécurité c’est géré : on a installé un EDR ! »

S’imaginer la possibilité d’une solution ultime constitue un premier biais très tentant en cybersécurité : il est rassurant de se dire qu’à un sujet complexe correspond une solution unique.

Or, il n’existe pas de solution unique !

La cybersécurité est un assemblage, pas un tout-en-un prêt à l’emploi. Elle se construit en assemblant des pièces complémentaires — gouvernance, processus, personnes, outils et supervision — adaptées à votre contexte, vos risques et vos contraintes. Ce qui fonctionne pour l’entreprise voisine peut être inutile, voire contre-productif chez vous.

Démystifier l’illusion de la solution unique

Le déploiement d’un EDR est une excellente décision, mais son efficacité dépend fortement de sa configuration et de son paramétrage. Il faut s’assurer que les fonctionnalités pertinentes sont activées, que les modes de détection correspondent réellement aux risques ciblés, que les fréquences d’analyse sont adaptées, et que les exclusions de scan ne créent pas d’angles morts. Un outil mal configuré donne une illusion de sécurité, alors qu’un EDR bien ajusté devient un véritable capteur de signaux faibles.

Au-delà de la technique, l’enjeu est organisationnel : que fait-on lorsqu’une alerte remonte ? Qui analyse ? Qui décide ? Selon quels critères ? La valeur d’un EDR réside dans la capacité à intégrer ses alertes dans des processus clairs, structurés et partagés, alignés avec le fonctionnement réel de l’entreprise. Chaque outil ayant un périmètre propre, une cybersécurité efficace repose sur la combinaison d’outils complémentaires, une gouvernance claire et une exploitation opérationnelle maîtrisée — autrement dit, une sécurité pensée comme …

The post Les principales idées reçues en cybersécurité à combattre pour renforcer votre système d’information appeared first on Quark Security.

L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) estime ainsi que seules un tiers des TPE et des PME est considéré comme correctement paré à l’éventualité d’une attaque. A l’heure où une PME sur deux subit au moins une attaque en l’espace d’une année, il devient urgent de partir du principe que tout projet comporte une dimension sécurité.

Deux exemples de la vie des PME pour illustrer la nécessité d’inscrire la cybersécurité au budget 2026

Premier exemple : votre entreprise décide de renouveler son CRM

Dans notre exemple, imaginons que le nouveau fournisseur de CRM est identifié. Les fonctionnalités sont séduisantes, le budget est validé. Il n’y plus qu’à procéder à la migration de service et à la formation des équipes marketing pour la prise en main du nouvel outil. Examinons le sujet sous un angle business et risque cyber.

L’importance du sujet :

Pour une entreprise, une base CRM est cruciale car elle centralise et actualise les données clients, permettant de mieux comprendre leurs besoins, personnaliser les interactions, optimiser les ventes et guider les décisions stratégiques.

L’enjeu de cybersécurité :

La valeur stratégique d’une base CRM ne se mesure pas seulement à la richesse des informations qu’elle contient. C’est aussi un actif hautement exposé, situé au cœur d’un écosystème connecté à des applications tierces (marketing automation, support, facturation…). Une cyberattaque sur le CRM, l’éventuel vol ou détournement de ses données, peuvent simultanément interrompre la prospection, ouvrir la voie à des sanctions RGPD, offrir votre capital relationnel aux concurrents et durablement miner la confiance de vos clients et partenaires.

Les questions de cybersécurité à traiter :

• Quelqu’un dans l’entreprise a-t-il évalué le niveau de sécurité du prestataire identifié ?
• Lors de la migration de l’ancienne application vers la nouvelle, quelqu’un a-t-il pris soin de qualifier la sensibilité des données transférées ?
• Une fois le projet terminé, le registre de traitement a-t-il été mis à jour ?
• Les droits d’accès ont-ils été revus selon le principe du moindre privilège (rôles, MFA, comptes dormants)

The post PME, la cybersécurité fait-elle partie de votre budget en 2026 ? appeared first on Quark Security.

Pourquoi cinq profils ? Tout simplement parce que chaque spécialité demande un niveau d’expertise particulier. On parle ici de la gouvernance, de la gestion des risques, de la sensibilisation, de la sécurité opérationnelle, des tests techniques et bien d’autres sujets encore. Même en mutualisant certaines compétences proches (comme le test d’intrusion et l’analyse de vulnérabilité), il est impossible de confier toutes ces casquettes à une seule personne sans risquer l’épuisement ou une efficacité moindre.

Quelles sont les options à disposition des PME pour la gestion de leur cybersécurité ?

Aujourd’hui, une PME a généralement trois grandes options pour gérer sa cybersécurité : embaucher directement des experts, faire appel à des consultants extérieurs via une ESN (Entreprises de Services Numériques) ou recourir à des freelances. Voici ce que chacune implique concrètement :

Option embauche : la sécurité intégrée… mais à quel prix ?

Embaucher directement ses experts en cybersécurité, c’est tentant : l’équipe devient intégrée à la culture d’entreprise, elle connaît parfaitement les enjeux internes et peut travailler de manière proactive. En constituant son équipe, la PME est assurée d’ancrer dans ses murs des compétences en cybersécurité.

Mais est-ce vraiment son intérêt ? Après tout, la PME n’a a priori pas besoin de ces profils à temps plein, compte tenu de sa taille. Or il est particulièrement difficile, voire impossible, de recruter ces profils à temps partiel. Autrement dit, cela signifie que constituer une équipe dédiée à la cybersécurité entraîne pour la PME des coûts inutiles. Cette première difficulté est accentuée par le fait qu’attirer des profils seniors et hautement qualifiés nécessite des ressources temps, budget, RH difficiles à mobiliser ce type d’entreprise.

Option ESN : l’expertise à portée de main… mais avec obligation de moyen uniquement

Les ESN offrent une solution rassurante à première vue : elles mettent à disposition des consultants qualifiés capables de répondre précisément …

The post Organisation et coût de la cybersécurité dans les PME : quel modèle choisir ? appeared first on Quark Security.

Ce projet, ils l’ont mené avec enthousiasme. Et même après avoir suivi chacun de leur côté leurs parcours professionnels respectifs, ils n’ont jamais cessé d’échanger autour des problématiques cybersécurité qu’ils avaient affrontées à l’époque. Ce qui les a frappés, année après année ? Rien n’avait vraiment changé.

Les PME faisaient toujours face aux mêmes difficultés en matière d’accompagnement de leur cybersécurité

1. Des offres pensées pour d’autres

Quand une PME cherche à se faire accompagner en cybersécurité, elle se retrouve bien souvent face à des offres standardisées, surdimensionnées, peu lisibles. Des packages “tout compris”, conçus comme des checklists d’état de l’art, à appliquer sans nuance. Résultat : une offre conçue pour rassurer des grands groupes… mais peu adaptée aux besoins et aux réalités des petites structures.

2. Une répartition inégale des expertises

Ces offres complexes et coûteuses ne sont abordables que pour une minorité d’acteurs. Résultat : les grandes entreprises captent la majorité des ressources expertes du marché. On assiste à une forme de loi des 20/80 : 20 % des entreprises mobilisent 80 % de l’expertise de qualité disponible.

3. Des risques en constante augmentation

Et pendant ce temps-là, les risques cyber ne cessent de croître. Phishing, ransomware, fuites de données, compromission de comptes : les menaces s’intensifient et touchent tout le monde – grandes entreprises comme PME. La taille n’est pas une protection. Au contraire : les petites structures sont souvent les plus vulnérables.

Une autre approche de l’accompagnement en cybersécurité des PME était possible

Face à ce constat, nos deux experts ont décidé d’agir. Ils ont fondé Quark Security, une agence indépendante, pensée exclusivement pour accompagner les PME dans leurs problématiques cybersécurité.

Le principe est simple : proposer un modèle d’agence que les PME connaissent bien. Comme pour la création de contenu, une newsletter ou un site web, l’agence s’adapte au besoin exprimé, avec souplesse, transparence et orientation business.

Chez Quark Security, on ne vous vend pas du temps-homme. On vous vend un service, à prix fixe, …

The post Pourquoi Quark Security est née : l’histoire de deux pros et d’un constat qui dure appeared first on Quark Security.