Cybervigilance globale : comment passer d’une sécurité passive à une surveillance continue et proactive
Un pare-feu, un antivirus, des sauvegardes : vous avez posé les bases. Mais ces protections ne vous disent qu’une chose, elles bloquent ce qu’elles connaissent. Elles ne vous diront jamais si quelqu’un est déjà à l’intérieur. Voici comment passer de « j’espère que tout va bien » à « je sais ce qui se passe sur mon système, et quelqu’un réagit à toute heure ».
Transparence : CyberDiagnostic est partenaire de Ziwit, prestataire de cybersécurité cité dans cet article, et peut percevoir une commission sur les projets qui en découlent. Les critères de choix présentés ici valent pour n’importe quel prestataire : nous vous recommandons de les appliquer, y compris à Ziwit.
Le vrai coût de la sécurité passive : le temps
Quand on parle du coût d’une cyberattaque, on pense à la rançon ou aux données volées. Les études sur les violations de données racontent autre chose : le premier facteur de coût est le temps pendant lequel l’intrus reste invisible. Selon IBM, il faut en moyenne 213 jours aux entreprises françaises pour identifier une faille et 71 jours supplémentaires pour la contenir, soit plus de neuf mois. Au niveau mondial, le rapport 2026 constate que ce cycle s’est même allongé, à 247 jours, après cinq années d’amélioration.
Ce délai a un prix mesurable : les organisations qui parviennent à détecter et contenir une violation en moins de 200 jours paient environ 37% moins cher que les autres. Et celles qui s’appuient largement sur l’automatisation et l’IA dans leurs opérations de sécurité économisent en moyenne près de 2 millions de dollars par incident et gagnent 65 jours.
Ce que ça signifie pour une PME : la question n’est plus seulement « suis-je protégé ? » mais « en combien de temps saurais-je que je ne le suis plus ? ». Une sécurité passive ne répond pas à la seconde question, parce que personne ne regarde.
Le contexte n’aide pas : en 2023 déjà, 28 902 vulnérabilités (CVE) ont été recensées, en hausse de 15% sur un an, et le rapport IBM 2026 relève une progression de 56% des attaques pilotées par l’IA, dans lesquelles l’hameçonnage reste le principal point d’entrée. Autrement dit, les failles se multiplient et les attaques s’accélèrent, alors que votre capacité à les voir, elle, n’augmente pas toute seule.
Ce que montrent les chiffres 2025-2026 : quatre menaces qui visent les PME
Les rapports publiés depuis un an convergent : le volume d’attaques ne s’effondre pas, il change de forme. Voici les quatre dynamiques que tout dirigeant devrait connaître, et pourquoi chacune plaide pour une surveillance plutôt que pour une protection statique.
Le rançongiciel, doublé d’une extorsion par la fuite
Les rançongiciels reculent légèrement dans les chiffres de l’ANSSI, mais le vol de données reste systématique, et certains groupes exfiltrent sans même chiffrer vos fichiers. La part de revendications bidon ci-dessus montre l’autre face du problème : sans journaux ni supervision, impossible de savoir en quelques heures si des données ont réellement quitté votre réseau. Vous subissez la pression de l’attaquant au lieu de la mesurer. Les sauvegardes restent indispensables, mais elles ne répondent pas à la question de l’exfiltration.
Les identifiants volés : la porte d’entrée silencieuse
Un infostealer est un logiciel espion qui vide discrètement les mots de passe, cookies de session et accès enregistrés d’un poste. Les journaux volés sont revendus par des « courtiers d’accès initial » à des groupes de rançongiciel, parfois longtemps après le vol. Selon Kaspersky (juillet 2026), 53 % des appareils infectés par ces logiciels appartiennent à des entreprises ; Flare estime que jusqu’à une infection sur cinq peut donner accès à des identifiants professionnels ; Verizon situe l’abus d’identifiants dans 39 % des chaînes de compromission en 2026. L’attaquant se connecte avec de vrais identifiants : aucun antivirus ne se déclenche. Seule une veille sur les fuites et les comptes compromis le révèle avant l’incident.
Les failles des services exposés, y compris ceux qu’on a oubliés
Un site secondaire, un sous-domaine de test, un VPN non mis à jour, une API ouverte : chaque service exposé est une porte. Le rapport Verizon 2026 indique que l’exploitation de vulnérabilités redevient la première méthode d’accès initial, alors que le nombre de failles publiées augmente chaque année. Le plus dangereux n’est pas la faille connue, mais l’actif dont personne ne se souvient : il échappe aux audits parce qu’il ne figure dans aucun inventaire. Il faut donc cartographier avant de tester.
La chaîne de sous-traitance
Le Panorama 2025 de l’ANSSI consacre une partie entière au ciblage des sous-traitants comme vecteur de compromission : une PME peut n’être que le point de passage vers un client plus gros. Pour le dirigeant, cela se traduit par des questionnaires de sécurité, des clauses contractuelles et, avec NIS2, une exigence de maîtrise de la chaîne d’approvisionnement. Pouvoir produire des preuves (audits, rapports de surveillance, référentiel suivi) devient un argument commercial autant qu’une protection.
Chaque menace laisse un signal : encore faut-il que quelqu’un le regarde
Le tableau ci-dessous relie ces menaces, et deux nuisances web très courantes, à ce qui permet de les rendre visibles et à la brique correspondante dans l’offre de Ziwit.
| Menace | Ce qui permet de la voir | Brique correspondante chez Ziwit |
|---|---|---|
| Rançongiciel, exfiltration de données | Supervision continue des journaux, analyse forensique, équipe de réponse | SOC managé, forensique et réponse à incidents |
| Identifiants volés, infostealers, phishing | Veille sur le web, le deepweb et le darknet à l’échelle de vos domaines | Cyber Vigilance (HTTPCS) |
| Failles et actifs oubliés | Cartographie de la surface exposée, scan continu, test d’intrusion | EASM et Security (HTTPCS), pentest et Red Team |
| Sous-traitance et exigences contractuelles | Audit, gouvernance, référentiel suivi dans le temps | GRC (ISO 27001, NIS2, RGPD), RSSI externalisé |
| Robots, scraping, fraude, faux comptes, déni de service | Analyse comportementale du trafic en temps réel | CloudFilt (WAF, anti-bot, CDN) |
| Site défiguré, redirection frauduleuse, indisponibilité | Contrôle d’intégrité et mesure de disponibilité | Integrity et Monitoring (HTTPCS) |
À retenir
Une menace invisible est une menace qui dure. L’enjeu n’est pas d’empiler des outils, mais de savoir qui regarde quoi, et en combien de temps il réagit.
Sources : ANSSI, Panorama de la cybermenace 2025 (mars 2026) ; Kaspersky (juillet 2026) ; Flare, State of Enterprise Infostealer Exposure 2026 ; Verizon, Data Breach Investigations Report 2026 ; IBM, Cost of a Data Breach.
Sécurité passive vs cybervigilance : ce qui change concrètement
La plupart des PME sont dans le premier cas. L’objectif n’est pas de basculer entièrement dans le second du jour au lendemain, mais de savoir de quel côté vous êtes aujourd’hui.
🛡️ Sécurité passive (la situation de la plupart des PME)
- Des outils installés, mais personne ne lit les alertes : l’antivirus signale, mais l’information reste dans une console.
- Un audit ponctuel, réalisé une fois, dont les conclusions vieillissent dès le premier changement du système.
- Aucune visibilité hors des heures ouvrées : les attaques se déclenchent volontiers la nuit, le week-end ou pendant les congés.
- Pas de procédure d’incident : en cas de problème, on cherche qui appeler pendant que les dégâts s’étendent.
🔭 Cybervigilance globale (le cap à viser)
- Une surveillance continue des événements de sécurité, avec des analystes qui trient le signal du bruit.
- Des tests réguliers (scans, pentests) qui suivent l’évolution réelle de votre système d’information.
- Une capacité de réaction immédiate : une équipe identifiée, mobilisable pour isoler la menace avant la fuite de données.
- Une gouvernance claire : une feuille de route, des responsables, des indicateurs que le dirigeant peut suivre.
Où en êtes-vous réellement ?
Mesurez votre niveau de vigilance avant d’investir
Un diagnostic de 10 minutes pour savoir par quoi commencer.
Conforme ANSSI · Résultat immédiat
Les 6 briques de la cybervigilance globale
Une cybervigilance complète s’appuie sur plusieurs briques complémentaires. Vous n’avez pas besoin de toutes dès le premier jour : l’important est de comprendre à quoi sert chacune pour prioriser selon votre exposition.
1. Veille active et filtrage des flux
Voir et bloquer avant que la brèche ne soit trouvée
2. Évaluation continue des vulnérabilités
Chercher les failles en permanence, pas une fois par an
3. SOC : une supervision 24h/24, 7j/7
Security Operations Center
4. Réponse à incident
Une cellule d’urgence mobilisable immédiatement
5. Tests d’intrusion et Red Team
Se faire attaquer par des hackers éthiques, avant les vrais
6. RSSI externalisé et gouvernance
Le pilote de la démarche, à temps partiel
À retenir
Le scan donne la fréquence, le pentest donne la profondeur, le SOC donne la vigilance, la réponse à incident donne la réaction. Aucun ne remplace les autres.
Le facteur humain : le deuxième pilier de la vigilance
La technique ne fait que la moitié du chemin. Le hameçonnage reste l’une des portes d’entrée privilégiées des pirates, et le rapport IBM 2026 le confirme : il reste le principal vecteur d’attaque initial, désormais renforcé par l’IA. Les entreprises qui combinent formation régulière et campagnes de phishing simulées font de leurs collaborateurs une véritable première ligne de défense.
Une campagne de phishing simulé a un double intérêt : elle mesure honnêtement votre exposition (quel pourcentage de vos équipes clique ?) et elle transforme chaque clic en occasion d’apprentissage immédiate. Pour construire un programme complet, par profil et par fréquence, consultez notre plan pour former et sensibiliser vos équipes.
Bon à savoir : les formations dispensées par un organisme certifié Qualiopi sont en grande majorité finançables par votre OPCO. C’est le levier le plus accessible pour démarrer sans peser sur votre trésorerie.
Ce que la détection change pour vous, dirigeant
La surveillance continue n’est pas qu’un sujet technique. Elle conditionne trois obligations qui reposent directement sur la direction.
Notifier la CNIL sous 72 heures (RGPD)
En cas de violation de données personnelles, le délai de notification court à partir du moment où vous en avez connaissance. Une violation que vous n’avez pas détectée est une violation que vous ne pouvez pas notifier à temps.
Alerter sous 24 heures si vous relevez de NIS2
La directive NIS2 prévoit une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et un rapport final sous un mois. Elle suppose une capacité de détection réelle, et fait de la gouvernance cyber une responsabilité de la direction.
Prouver votre vigilance à votre assureur
Les cyber-assureurs demandent de plus en plus des preuves de sécurisation (supervision, tests, historique d’audits) avant de couvrir un sinistre. Des rapports de surveillance et de tests réguliers deviennent des pièces de dossier.
Où en est NIS2 en France ? La directive est en vigueur depuis le 17 octobre 2024, mais sa transposition française (projet de loi « Résilience ») n’est pas achevée : l’examen prévu à l’Assemblée nationale les 7 et 9 octobre 2026 a été retiré de l’ordre du jour, sans nouvelle date à ce moment-là, et la Commission européenne a saisi la Cour de justice de l’UE en juillet 2026. Environ 15 000 entités seraient concernées en France. L’ANSSI a publié en mars 2026 son Référentiel Cyber France (ReCyF) et recommande de ne pas attendre la loi pour s’y préparer. Vérifiez l’état d’avancement du texte avant d’arrêter votre calendrier.
Comment choisir son prestataire : 6 critères non négociables
Confier la surveillance de votre système d’information à un tiers suppose une confiance forte : il verra vos journaux, vos accès, parfois vos données. Voici les critères à vérifier, quel que soit le prestataire.
✅ Votre grille de sélection
- Qualification PASSI (ANSSI) : gage officiel de compétence pour les audits. La liste des prestataires qualifiés est publiée sur le site de l’ANSSI.
- Label ExpertCyber : attribué via cybermalveillance.gouv.fr, il atteste de la capacité à accompagner les petites structures dans l’installation, la maintenance et l’assistance.
- Label France Cybersecurity et autres reconnaissances européennes, qui signalent une offre et un traitement des données maîtrisés.
- Certifications individuelles des experts (comme l’OSCP pour les pentesteurs) : la qualité d’un audit dépend des personnes qui le réalisent.
- Qualiopi pour la formation : condition pour que vos actions de sensibilisation soient finançables par votre OPCO.
- Livrables clairs et engagements de délai : rapport priorisé et exploitable par un non-expert, et temps de prise en charge garanti en cas d’incident.
Le réflexe de vérification : ne vous fiez pas à un logo sur un site. Contrôlez la qualification PASSI sur la liste publiée par l’ANSSI et le label ExpertCyber sur cybermalveillance.gouv.fr. Cela prend cinq minutes et écarte les mauvaises surprises.
Pourquoi Ziwit, partenaire de CyberDiagnostic
Ziwit, société créée en 2011, dont le siège est en France, se positionne comme un acteur de la cybersécurité offensive et revendique plus de 10 000 clients, dont plus de 800 États, ministères et entités publiques, ainsi que plus de 1 200 projets cyber menés en 2024. Pour les dirigeants de PME qui découvrent leurs failles via notre diagnostic, c’est le partenaire vers lequel nous les orientons pour passer à l’action, sur la base des critères ci-dessus.
Une offre qui couvre toute la chaîne de vigilance
Un interlocuteur unique plutôt que cinq prestataires à coordonner
L’intérêt d’un partenaire unique est pratique : un même interlocuteur connaît votre périmètre, vos audits précédents et vos priorités, ce qui évite de réexpliquer votre contexte à chaque nouveau prestataire et de perdre du temps le jour où il faut agir vite.
Trois marques, un groupe : ce que couvre chacune
Ziwit Consultancy Services
Conseil, audit et réponse à incidents
HTTPCS : 5 solutions SaaS pour la surface exposée
Complémentaires mais indépendantes, pilotées depuis une console unique
CloudFilt : WAF, anti-bot et CDN
Pare-feu applicatif de nouvelle génération, conçu et opéré en France
Le groupe compte aussi TrustSign, une autorité de certification SSL française destinée aux revendeurs.
Regarder son entreprise comme un attaquant
Un audit de pratiques (politiques, procédures, sauvegardes) dit comment vous travaillez. Une analyse d’exposition dit ce qu’un inconnu voit réellement depuis internet. Les deux sont complémentaires : l’un identifie les pratiques, l’autre révèle l’exposition réelle du système d’information. Une analyse d’exposition externe couvre en général trois volets.
🔭 Les trois volets d’une analyse d’exposition externe
- Surface d’attaque exposée : domaines, sous-domaines, adresses IP publiques, ports ouverts, technologies utilisées et vulnérabilités (CVE) associées.
- Fuites et identifiants compromis : adresses email, mots de passe, comptes administrateur, identifiants VPN, recherchés dans les sources ouvertes et fermées.
- Fuites de documents et phishing : traces d’infostealers, documents divulgués, sites d’hameçonnage qui imitent votre organisation.
Par où commencer selon votre situation
- Vous vendez en ligne ou gérez un espace client : filtrage du trafic et scan des vulnérabilités du site en premier.
- Vos équipes travaillent surtout dans le cloud et la messagerie : recherche d’identifiants compromis, double authentification et formation au phishing.
- Vous êtes sous-traitant d’un grand compte ou concerné par NIS2 : audit de conformité et gouvernance, puis tests d’intrusion.
- Rien n’est encore structuré : diagnostic de maturité, puis formation (finançable par votre OPCO) avant d’investir dans des outils.
Passez à la surveillance continue
Échangez avec un expert Ziwit sur votre périmètre
Prestataire qualifié PASSI et labellisé ExpertCyber. Premier échange sans engagement.
Partenaire de CyberDiagnostic
Votre feuille de route sur 90 jours
Pour passer du passif au proactif sans tout bouleverser, voici un enchaînement réaliste pour une PME, à ajuster selon votre taille et votre exposition.
Parcours type — de la sécurité passive à la vigilance continue
Trois mois pour installer les réflexes et les outils
Diagnostic et cartographie de l’exposition
Diagnostic de maturité, inventaire de ce qui est exposé sur internet, premiers correctifs évidents, choix du prestataire sur la grille de critères.
Tests et correction
Premier test d’intrusion ou scan approfondi sur le périmètre le plus exposé, rapport priorisé, correction des failles critiques en premier.
Surveillance et réflexes humains
Mise en place de la surveillance continue et du contact d’urgence en cas d’incident, première campagne de phishing simulé et session de sensibilisation.
Amélioration continue
Pentest annuel et après tout changement majeur, revue trimestrielle des indicateurs avec le prestataire, mise à jour du plan de réponse à incident.
Checklist : où en est votre cybervigilance ?
🔍 Vérifiez dès aujourd’hui
- Quelqu’un lit-il vos alertes de sécurité, y compris la nuit et le week-end, ou restent-elles dans une console ?
- Savez-vous ce que vous exposez sur internet (sites, API, accès distants) et quand cela a été testé pour la dernière fois ?
- Avez-vous un contact d’urgence identifié en cas d’incident, avant que l’incident n’arrive ?
- Un test d’intrusion a-t-il été réalisé au cours des 12 derniers mois, avec un plan de correction suivi ?
- Vos équipes ont-elles été testées par une simulation de phishing, avec un suivi des résultats dans le temps ?
- Vos prestataires sont-ils vérifiés (PASSI, ExpertCyber, Qualiopi) sur les listes officielles, pas seulement sur leur site ?
Questions fréquentes
Une PME a-t-elle vraiment besoin d’un SOC ?
Pas forcément un SOC dédié, mais une forme de surveillance continue, oui. Un SOC externalisé mutualise des analystes et des outils que vous ne pourriez pas financer seul : il devient pertinent dès que vous avez des données sensibles, une activité en ligne critique, des obligations réglementaires (NIS2, RGPD) ou un assureur qui exige des preuves de détection. Si votre exposition est faible, une supervision ciblée des postes et de la messagerie peut constituer un premier niveau adapté.
Quelle différence entre un scan de vulnérabilités et un pentest ?
Le scan de vulnérabilités est automatisé : il détecte des failles connues, rapidement et régulièrement. Le test d’intrusion (pentest) est mené par un expert humain qui cherche à exploiter ces failles, à les enchaîner et à vérifier jusqu’où un attaquant pourrait aller. Les deux sont complémentaires : le scan donne la fréquence, le pentest donne la profondeur.
À quelle fréquence faire un test d’intrusion ?
Au minimum une fois par an, et systématiquement après un changement majeur : nouvelle application, refonte du site, migration cloud, fusion ou rachat. Entre deux pentests, une évaluation continue des vulnérabilités (Pentest as a Service ou scanner automatisé) permet de ne pas laisser une faille ouverte pendant des mois.
Qui appeler en cas d’incident de sécurité ?
Contactez sans attendre cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, et un prestataire de réponse à incident qualifié. Pensez aussi à vos obligations de notification : sous 72 heures à la CNIL en cas de violation de données personnelles (RGPD), et selon votre secteur, sous 24 heures pour l’alerte précoce dans le cadre de NIS2.
Comment vérifier les qualifications d’un prestataire en cybersécurité ?
La qualification PASSI (audit) est délivrée par l’ANSSI, qui publie la liste des prestataires qualifiés sur son site. Le label ExpertCyber est attribué via cybermalveillance.gouv.fr, où les prestataires labellisés sont référencés. Pour la formation, la certification Qualiopi conditionne la prise en charge par les OPCO.
Qu’est-ce que l’EASM, et pourquoi en avoir besoin ?
L’External Attack Surface Management consiste à identifier en continu tout ce que votre organisation expose sur internet : domaines et sous-domaines, adresses IP publiques, services cloud, ports ouverts, technologies et vulnérabilités associées. C’est la vue d’un attaquant. Elle révèle les actifs oubliés (site de test, ancien sous-domaine, accès distant non déclaré) qui échappent aux audits parce que personne ne sait qu’ils existent.
Mon entreprise est-elle concernée par NIS2 ?
NIS2 vise des entités dites « essentielles » ou « importantes » dans 18 secteurs, soit environ 15 000 organisations en France d’après les estimations publiées pendant les débats parlementaires. La transposition française n’étant pas achevée, le périmètre définitif reste à confirmer. Même si vous n’êtes pas directement visé, un donneur d’ordre concerné peut vous imposer des exigences par contrat. L’ANSSI recommande de ne pas attendre la loi pour s’y préparer.
Ne subissez plus, anticipez
Diagnostiquez avec CyberDiagnostic, agissez avec Ziwit
Un plan d’action priorisé, puis un expert qualifié pour le mettre en œuvre.
Décrivez votre projet de sécurisation
Vous savez maintenant quelles briques répondent à quelles menaces. Ce formulaire permet de vous orienter vers la bonne démarche. Il ne vous engage à rien : indiquez ce qui vous intéresse, votre budget indicatif et votre calendrier, et un expert vous répond avec des éléments concrets.