Sécurité des PME : par où commencer ? — Guide de lecture de la version 4.0 des « Directives de sécurité de l'information pour les PME » de l'IPA

« Un client nous a envoyé une check-list de sécurité, mais nous ne savons pas quoi faire ni jusqu’où aller. »

« Nous savons que la sécurité est importante, mais nous n’avons pas les moyens d’employer quelqu’un à temps plein pour s’en occuper. »

« On nous dit de prendre des mesures, mais nous n’avons aucune idée de ce que cela coûterait, alors nous n’avons encore rien fait. »

Les consultations sur la sécurité des PME commencent presque toujours de cette façon.

En réalité, il existe un guide officiel qui répond précisément à cette question du « quoi » et du « jusqu’où » : les Directives de sécurité de l’information pour les petites et moyennes entreprises, publiées par l’IPA (Information-technology Promotion Agency, agence japonaise de promotion des technologies de l’information). Le 27 mars 2026, l’IPA a publié la version 4.0, première révision majeure depuis environ trois ans.

Cet article s’appuie sur le contenu de la version 4.0 pour présenter, dans l’ordre, la démarche à suivre pour une entreprise sans responsable sécurité dédié.

1. D’abord, l’essentiel

Voici, d’emblée, la démarche que présente la version 4.0 des directives.

• La première étape n’est pas d’acheter des produits coûteux, mais de mettre en œuvre les « six règles de sécurité de l’information », des mesures de base que toute entreprise doit appliquer quelle que soit sa taille, et qui ne nécessitent pas un budget important
• Ensuite, utiliser l’« auto-diagnostic de sécurité de l’information réalisable en 5 minutes » de l’annexe (25 points) pour évaluer sa situation actuelle, et commencer à corriger les points non encore réalisés
• Une fois la démarche engagée, faire une auto-déclaration via « SECURITY ACTION » de l’IPA (gratuit) : cela sert d’argument à présenter aux partenaires commerciaux et constitue parfois une condition d’éligibilité à des dispositifs d’aide publique
• Sur cette base, progresser étape par étape vers la rédaction d’une politique de base, la mise en place de règlements internes, puis une structure de réponse aux incidents
• Les dirigeants ont un rôle qu’ils ne peuvent pas simplement déléguer au personnel : « faire avancer les mesures avec son propre leadership », « prendre en compte les mesures de sécurité des sous-traitants », entre autres

En un mot, la philosophie de conception de ces directives est la suivante : ne pas viser la perfection d’un seul coup, mais avancer étape par étape, dans un ordre défini, en commençant par ce qui est possible.

2. Que sont les « Directives de sécurité de l’information pour les PME » ?

Ce guide rassemble la philosophie et les procédures permettant aux PME de protéger leurs informations importantes contre des menaces telles que la fuite, l’altération ou la perte de données, et de prévenir les impacts sur la continuité de leur activité. Publiée pour la première fois en novembre 2016, cette référence est depuis devenue le standard de facto des mesures de sécurité pour les PME. Les travailleurs indépendants et les micro-entreprises en font également partie.

L’ensemble se divise globalement en trois parties.

Le corps du document compte environ 70 pages, mais comme indiqué plus loin, il n’est pas nécessaire de le lire intégralement dès le départ. Il est conçu pour être utilisé à partir de l’endroit correspondant au stade actuel de l’entreprise.

Ce qui a changé dans la version 4.0

La révision vers la version 4.0 cite trois évolutions du contexte survenues depuis la version 3.1 (avril 2023) :

• Les dommages causés par les rançongiciels ne se limitent plus à la fuite d’informations, mais s’étendent désormais jusqu’à l’arrêt complet de l’activité
• Les dommages transitant par la chaîne d’approvisionnement se sont propagés, au Japon comme à l’étranger, renforçant la nécessité de mesures à l’échelle de tout le réseau commercial
• Il existe une pénurie marquée de personnel capable de faire avancer les mesures de sécurité au sein des PME

En réponse, les « cinq règles de sécurité de l’information » ont été étendues à six par l’ajout de « Faites des sauvegardes ! », les mesures organisationnelles et techniques de défense ont été réorganisées en tenant compte du système d’évaluation SCS (système d’évaluation des mesures de sécurité pour le renforcement de la chaîne d’approvisionnement) actuellement à l’étude par le ministère de l’Économie, du Commerce et de l’Industrie et le Bureau national de la cybersécurité du Cabinet, et un guide pratique (annexe 1) destiné à soutenir le recrutement et la formation de personnel spécialisé en sécurité a été ajouté.

Les deux piliers de cette révision — « sauvegarde » et « chaîne d’approvisionnement » — reflètent exactement les menaces auxquelles les PME sont aujourd’hui confrontées. Les rançongiciels et les attaques passant par des partenaires commerciaux figurent tous deux parmi les menaces les mieux classées dans le volet « organisations » du palmarès annuel de l’IPA, les « 10 principales menaces de sécurité de l’information », respectivement pendant 11 années et 8 années consécutives (pour plus de détails, voir notre article sur les 10 principales menaces de sécurité de l’information 2026).

3. À l’attention des dirigeants — la sécurité n’est pas « le travail du personnel »

La Partie 1, à l’attention des dirigeants, aborde très peu les aspects techniques. Elle traite plutôt de ce que l’on risque de perdre en négligeant la sécurité (arrêt de l’activité, perte de confiance, dommages-intérêts), des responsabilités juridiques qui incombent au dirigeant (mesures de gestion de la sécurité prévues par la loi sur la protection des informations personnelles, devoir de loyauté prévu par le Code des sociétés, etc.), et de ce que le dirigeant doit faire lui-même.

Les trois principes que le dirigeant doit garder à l’esprit sont les suivants :

1. Faire avancer les mesures de sécurité de l’information avec le leadership du dirigeant lui-même
2. Prendre en compte les mesures de sécurité de l’information des sous-traitants également
3. Maintenir en permanence une communication sur la sécurité de l’information avec toutes les parties concernées

Sur cette base, les directives présentent les « sept actions clés » que le dirigeant doit mener : définir une politique de réponse à l’échelle de toute l’organisation, sécuriser le budget et le personnel nécessaires, faire examiner les mesures jugées nécessaires et donner l’instruction de les mettre en œuvre, demander la révision périodique de ces mesures, mettre en place une structure de réponse et de reprise en cas d’urgence, clarifier les responsabilités en matière de sécurité lors du recours à la sous-traitance ou à des services externes, et se tenir informé des dernières tendances.

Vu du terrain, les mesures de sécurité ont tendance à apparaître comme une contrainte fastidieuse qui réduit le confort d’utilisation. C’est précisément pour cette raison que « le dirigeant juge, décide et dirige » constitue le premier principe. La position constante de ces directives est qu’il ne suffit pas de confier la tâche à un employé en lui disant simplement de « s’en occuper ».

4. La mise en pratique — progresser en trois étapes

La Partie 2, la mise en pratique, est structurée en étapes : « commencer par ce qui est possible » → « engager une démarche organisationnelle » → « s’y consacrer pleinement ».

Étape 1 : Commencer par ce qui est possible
        Mettre en œuvre les six règles de sécurité de l'information
        ↓
Étape 2 : Engager une démarche organisationnelle
        Rédiger une politique de base de sécurité de l'information et la diffuser
        Évaluer l'état des lieux avec l'« auto-diagnostic en 5 minutes » (25 points)
        Décider des mesures non encore réalisées et le communiquer
        ↓
Étape 3 : S'y consacrer pleinement
        Rédiger les règlements, gérer les actifs, se défendre contre les attaques et les détecter,
        inspecter et améliorer, mettre en place une structure de réponse aux incidents, gérer les partenaires commerciaux
        ↓
Pour aller plus loin : mesures de renforcement supplémentaires
        Analyse des risques, mesures pour les sites web, le cloud et le télétravail

L’important est que les étapes 1 et 2 ne nécessitent presque aucune connaissance spécialisée ni budget important. Plutôt que « nous ne pouvons rien faire faute de budget », la conception vise à permettre de commencer dès aujourd’hui, même sans budget, jusqu’à ce point.

5. Les six règles de sécurité de l’information — le contenu du premier pas

Les « six règles de sécurité de l’information » de l’étape 1 sont des mesures de base que toute entreprise doit impérativement mettre en œuvre, quelle que soit sa taille.

Pour le cinquième point, « sauvegarde », ajouté dans la version 4.0, les directives précisent qu’il faut l’appliquer selon trois volets combinés : l’acquisition (définir la portée et la fréquence), le stockage (définir l’emplacement, la gestion des générations et la durée de conservation), et la restauration (établir un plan et vérifier qu’une restauration correcte est effectivement possible). Cette mesure n’est véritablement efficace que si l’on conserve la sauvegarde déconnectée de l’environnement de production, afin qu’elle ne soit pas chiffrée en même temps que les données d’origine par un rançongiciel, et que l’on vérifie la restauration pour éviter le piège d’une sauvegarde que l’on croyait disponible mais qui, en réalité, ne peut pas être restaurée.

Chacun de ces points, une fois écrit, paraît évident. Pourtant, une grande partie des dommages réels survient précisément là où cette évidence n’a pas été appliquée avec rigueur. Le point de départ consiste à faire appliquer strictement ces six règles à l’ensemble de l’entreprise, sous l’impulsion descendante du dirigeant.

6. L’auto-diagnostic en 5 minutes et la démarche organisationnelle à partir de la deuxième étape

Le cœur de l’étape 2 est l’annexe 3, l’« auto-diagnostic de sécurité de l’information réalisable en 5 minutes ». Il suffit de répondre à 25 questions par « réalisé / partiellement réalisé / non réalisé / je ne sais pas » pour rendre visibles l’état actuel et les points faibles de l’entreprise.

La version 4.0 a révisé les exemples de mesures du diagnostic et y a ajouté des points reflétant les voies d’intrusion récentes, comme « bloquer les communications inutiles depuis l’extérieur vers le réseau interne » ou « exploiter son site web de manière sécurisée ». Les intrusions exploitant des failles d’équipements VPN et l’altération de sites web laissés à l’abandon sont des voies par lesquelles les PME continuent réellement de subir des dommages (les mesures côté site web sont traitées en détail dans un autre article, « Comment utiliser le guide de l’IPA "Comment créer un site web sécurisé" »).

Le résultat du diagnostic n’a pas vocation à être un score que l’on cherche à améliorer par compétition. Il sert de base pour établir des priorités : parmi les points non encore réalisés, corriger en premier ceux qui présentent le plus grand risque pour l’activité de l’entreprise.

7. SECURITY ACTION — un dispositif gratuit pour « rendre visible » la démarche

Une fois la démarche engagée, il est utile d’exploiter en parallèle SECURITY ACTION. Il s’agit d’un dispositif par lequel les PME déclarent elles-mêmes s’engager dans des mesures de sécurité de l’information, ce qui leur permet d’utiliser gratuitement un logo « une étoile » ou « deux étoiles » selon leur niveau d’avancement.

Il s’agit d’une auto-déclaration, sans processus d’examen, ce qui permet de commencer immédiatement. Afficher le logo sur ses cartes de visite ou son site web donne un argument à présenter aux partenaires commerciaux, et cette déclaration est parfois exigée comme condition de candidature à des dispositifs d’aide publique, tels que la subvention à l’introduction des technologies de l’information (IT Introduction Subsidy).

Pour une entreprise qui vient de recevoir une check-list de sécurité d’un partenaire commercial et qui se sent démunie, pouvoir répondre « nous travaillons conformément aux directives, en commençant par les six règles et l’auto-diagnostic, et nous avons également déclaré SECURITY ACTION » constitue un premier pas réaliste et honnête.

8. Les annexes, utilisables comme un « recueil de modèles »

On peut dire que la valeur pratique de ces directives réside en grande partie dans ses annexes. La version 4.0 comprend les huit annexes suivantes, toutes téléchargeables gratuitement depuis la page de l’IPA.

• Annexe 1 : Guide pratique pour le recrutement et la formation de personnel de sécurité pour les PME (nouveauté de la version 4.0)
• Annexe 2 : Politique de base de sécurité de l’information (modèle)
• Annexe 3 : Auto-diagnostic de sécurité de l’information réalisable en 5 minutes
• Annexe 4 : Manuel de sécurité de l’information (modèle)
• Annexe 5 : Règlements relatifs à la sécurité de l’information (modèle)
• Annexe 6 : Registre de gestion des actifs (modèle)
• Annexe 7 : Guide d’utilisation sécurisée des services cloud pour les PME
• Annexe 8 : Guide de réponse aux incidents de sécurité pour les PME

Il n’est nécessaire de rédiger ni la politique de base, ni les règlements, ni le registre des actifs à partir de zéro : la conception part du principe que l’on adapte les modèles à sa propre entreprise. Les entreprises bloquées sur la mise en place de règles internes avanceront plus vite en commençant par les annexes 2 et 5.

Par ailleurs, des sujets plus proches des opérations quotidiennes — comme la remise en question de l’envoi par e-mail de fichiers ZIP protégés par mot de passe, la pratique dite du PPAP (« Pourquoi le PPAP est une mauvaise idée »), ou la prévention des fuites d’informations lors de la mise au rebut de PC (« Liste de contrôle avant la mise au rebut d’un PC Windows ») — s’inscrivent dans le prolongement direct de la philosophie de ces directives.

Résumé

Voici les points essentiels de la version 4.0 des « Directives de sécurité de l’information pour les PME » de l’IPA.

• Publiée le 27 mars 2026. Une révision reflétant des évolutions du contexte : arrêt d’activité causé par les rançongiciels, dommages via la chaîne d’approvisionnement, et pénurie de personnel
• La démarche est progressive : d’abord les six règles de sécurité de l’information, puis l’auto-diagnostic en 25 points, et enfin la mise en place d’une politique, de règlements et d’une structure
• « Faites des sauvegardes ! » a été ajouté aux six règles. Une véritable sauvegarde couvre l’acquisition, le stockage et la vérification de la restauration
• Les dirigeants disposent de trois principes et de sept actions clés qui leur sont propres, afin que la démarche ne repose pas uniquement sur le personnel
• L’auto-déclaration SECURITY ACTION (gratuite) permet de rendre visible la démarche, et constitue aussi une condition de certains dispositifs d’aide publique
• Les huit annexes constituent un recueil de modèles directement utilisables dans la pratique quotidienne

Le plus grand obstacle aux mesures de sécurité est de ne pas savoir quoi faire — et c’est précisément à cette question qu’un guide officiel a déjà apporté une réponse. Il ne reste plus qu’à l’appliquer à son propre environnement et à passer à l’exécution.

Pour ceux qui rencontrent des difficultés à appliquer cela à leur propre environnement

De nombreuses entreprises, en essayant de mettre en œuvre la règle « gardez l’OS et les logiciels à jour », se heurtent au mur suivant : « notre ancienne application métier ne fonctionne pas sur un OS plus récent, donc nous ne pouvons pas la mettre à jour ». De même, l’ordre dans lequel corriger les problèmes identifiés par l’auto-diagnostic dépend de la configuration du système métier.

Fort de son expérience dans le développement et la maintenance d’applications métier Windows et de systèmes web, Komura Software LLC accompagne les entreprises dans la modification de logiciels existants qui bloquent une mise à jour, ainsi que dans la définition des priorités en matière de mesures de sécurité. Même au stade où l’on a réalisé l’auto-diagnostic mais où la suite devient une question technique qui bloque la progression, nous sommes à votre disposition pour un accompagnement débutant par un état des lieux.

Articles associés

Articles récents partageant les mêmes étiquettes, pour approfondir des sujets proches.

Sujets associés

Ces pages replacent le sujet dans un contexte plus large de services et de décisions.

Services liés à ce sujet

Cet article est directement lié aux services suivants.

Questions fréquentes

Questions souvent posées lors d’une consultation sur le sujet de cet article.

Que sont les six règles de sécurité de l'information ?

Ce sont les mesures de base que la version 4.0 des « Directives de sécurité de l'information pour les PME » de l'IPA indique comme devant être appliquées par toute entreprise, quelle que soit sa taille. Elles sont au nombre de six : (1) garder toujours l'OS et les logiciels à jour, (2) installer un antivirus, (3) renforcer les mots de passe, (4) revoir les paramètres de partage, (5) faire des sauvegardes, et (6) connaître les menaces et les méthodes d'attaque. Jusqu'à la version 3.1, il n'y avait que cinq règles ; la sixième, « faites des sauvegardes ! », a été ajoutée face à l'aggravation des dommages causés par les rançongiciels.

Quelle est la différence entre une étoile et deux étoiles dans SECURITY ACTION ?

Une étoile est une auto-déclaration par laquelle l'entreprise s'engage à travailler sur les six règles de sécurité de l'information ; même une entreprise qui débute tout juste sa démarche de sécurité peut la déclarer immédiatement. Deux étoiles signifie que l'entreprise a évalué sa propre situation à l'aide de l'annexe des directives intitulée « auto-diagnostic de sécurité de l'information réalisable en 5 minutes », qu'elle a défini une « politique de base de sécurité de l'information » et l'a rendue publique, et qu'elle déclare s'engager dans des mesures. Dans les deux cas, il s'agit d'une auto-déclaration auprès de l'IPA, sans frais.

Une entreprise sans responsable informatique dédié, par où doit-elle commencer ?

La partie pratique des directives est structurée autour du principe « commencer par ce qui est possible ». L'ordre indiqué est le suivant : d'abord, mettre en œuvre les six règles de sécurité de l'information sous l'impulsion descendante du dirigeant ; ensuite, évaluer la situation actuelle grâce aux 25 points de l'annexe 3, l'« auto-diagnostic de sécurité de l'information réalisable en 5 minutes » ; puis améliorer en commençant par les points non encore réalisés. Ni les six règles ni l'auto-diagnostic ne nécessitent de connaissances particulières ou un budget important.

Qu'est-ce qui a changé entre la version 3.1 et la version 4.0 ?

Publiée le 27 mars 2026, la version 4.0 a été révisée à la lumière de trois évolutions du contexte : l'arrêt de l'activité causé par les dommages liés aux rançongiciels, l'aggravation des dommages transitant par la chaîne d'approvisionnement, et la pénurie de personnel spécialisé en sécurité. Concrètement, les « cinq règles de sécurité de l'information » ont été étendues à six par l'ajout de « faites des sauvegardes ! », les mesures ont été réorganisées à la lumière du système d'évaluation SCS (système d'évaluation des mesures de sécurité pour le renforcement de la chaîne d'approvisionnement) actuellement à l'étude notamment par le ministère de l'Économie, du Commerce et de l'Industrie, et une annexe sous forme de guide pratique destiné à soutenir le recrutement et la formation de personnel de sécurité a été ajoutée.

Profil de l’auteur

Page de présentation de l’auteur de l’article.

Go Komura

Représentant de KomuraSoft LLC

Spécialisé dans le développement de logiciels Windows, le conseil technique et l’analyse de pannes, notamment pour les systèmes existants et les incidents difficiles à reproduire.