choisirsonagence· 2 min de lecture
Sécurité web sans RSSI : quel prestataire choisir quand on est une PME
Une PME peut réduire fortement son exposition web sans recruter de RSSI, à condition de désigner un responsable interne et d'exiger des engagements écrits de ses prestataires. Inventaire, socle technique, contrat précis et test de restauration constituent la base.
ITespresso aborde en juin 2026 un problème très concret : comment une PME peut protéger son exposition web alors qu'elle n'a ni responsable de la sécurité des systèmes d'information ni équipe dédiée. La réponse ne consiste pas à recruter en urgence, mais à choisir les bons prestataires et à leur demander les bonnes garanties.
Commencez par savoir ce que vous exposez réellement. Site principal, sites de campagne oubliés, extranet, messagerie, outils de partage de fichiers, comptes d'anciens salariés encore actifs : cet inventaire est la première mission à confier, et il se révèle souvent plus utile qu'un audit sophistiqué mené sur un périmètre mal défini.
Vient ensuite le socle technique. Mises à jour appliquées régulièrement, sauvegardes testées et non seulement programmées, authentification à deux facteurs sur les accès sensibles, certificats valides, droits limités au strict nécessaire : ces mesures ne demandent pas de RSSI, mais elles exigent un responsable désigné et une échéance.
Au moment de choisir, distinguez trois métiers que l'on confond souvent. L'agence web maintient votre site et ses extensions, l'infogéreur gère les postes de travail et le réseau, le prestataire de cybersécurité audite, surveille et intervient en cas d'incident. Beaucoup de PME se croient couvertes parce qu'elles travaillent avec l'un des trois.
Dans le contrat, regardez ce qui est écrit plutôt que ce qui est promis à l'oral. Fréquence des mises à jour, périmètre exact de la supervision, délai d'intervention en cas d'incident, propriété et emplacement des sauvegardes, procédure de restauration : chacun de ces points doit être formulé de façon vérifiable.
Testez ensuite le dispositif au moins une fois par an. Demandez une restauration de sauvegarde réelle, et non une simple attestation, ainsi qu'un scénario écrit de réaction en cas d'intrusion précisant qui prévient qui et dans quel ordre. Le dispositif public cybermalveillance.gouv.fr propose par ailleurs des ressources et un annuaire de prestataires pour les entreprises peu outillées.
Enfin, conservez une gouvernance minimale en interne. Une personne référente identifiée, une revue trimestrielle d'une heure et une liste à jour des accès et des prestataires suffisent à faire passer une PME du statut de cible facile à celui de cible coûteuse, sans créer de poste dédié.
Questions fréquentes
Faut-il vraiment un RSSI dans une PME ?
Le plus souvent non, mais il faut une personne référente en interne, même à temps partiel. Sans responsable désigné, les décisions de sécurité ne sont prises par personne.
Mon agence web assure-t-elle ma sécurité ?
Seulement dans le périmètre écrit à son contrat, qui se limite souvent au site. La messagerie, les postes de travail et les sauvegardes relèvent généralement d'un autre prestataire.
Par quoi commencer avec un budget limité ?
Par l'inventaire de ce qui est exposé, la suppression des comptes inutiles, l'authentification à deux facteurs et un test de restauration de sauvegarde. Ces quatre actions coûtent peu et éliminent beaucoup de risques.