Continuité d’activité : 5 risques qui menacent votre PME

[Article mis à jour le 22 juin 2026]

Qu’est-ce que la continuité d’activité informatique ?

La continuité d’activité informatique est l’ensemble des mesures techniques et organisationnelles mises en place pour qu’une entreprise puisse maintenir ses opérations essentielles ou les reprendre dans les meilleurs délais, après un incident affectant son système d’information. Elle s’articule généralement autour de deux plans complémentaires :

• Le Plan de Continuité d’Activité (PCA) : maintenir l’activité pendant l’incident, en mode dégradé si nécessaire.
• Le Plan de Reprise d’Activité (PRA) : restaurer les systèmes après l’incident, en limitant la perte de données (RPO) et la durée d’indisponibilité (RTO).

Pour repère et comparaison, le Baromètre Collectivités & Numérique indique pour 2025, que 66 % des collectivités françaises ne disposent ni d’un Plan de Continuité d’Activités (PCA) ni d’un Plan de Reprise d’Activités (PRA).

Quels sont les risques courants de continuité des activités dans les environnements cloud ?

Les environnements cloud exposent les PME à des risques spécifiques qui s’ajoutent aux cinq vecteurs précédents : erreur de configuration, défaillance d’un prestataire externe ou indisponibilité d’un service dont l’entreprise dépend désormais au quotidien.

Selon une étude Thales citée dans le rapport de l’ANSSI sur l’état de la menace dans le cloud (19 février 2025), les erreurs humaines et les défauts de configuration sont la première cause de compromission (31 %) des environnements cloud entre 2023 et 2024, devant l’exploitation de vulnérabilités techniques (28 %).

Trois des risques déjà évoqués prennent une dimension particulière dans le cloud :

• La sauvegarde : héberger ses sauvegardes chez un fournisseur unique, à côté de ses environnement de production, expose au risque de tout perdre en une seule compromission.
• La sécurité du réseau : la généralisation d’environnements hybrides (on-premise et cloud) multiplie les points de bascule qu’un attaquant peut exploiter pour passer d’un système à l’autre.
• La mobilité : les accès cloud depuis des terminaux personnels élargissent une surface d’authentification que l’entreprise ne maîtrise pas toujours.

Le passage au cloud ne transfère pas toute la responsabilité de la sécurité au fournisseur. L’ANSSI rappelle que la protection des données et des accès reste, quel que soit le modèle de service (IaaS, PaaS, SaaS), de la responsabilité du client. C’est pourquoi il est recommandé aux PME confrontées aux enjeux du cloud de planifier et tester un PCA et un PRA associés à un bilan d’impact sur l’activité, pour pouvoir fonctionner en mode dégradé puis revenir à un fonctionnement normal après un incident.

La messagerie, point d’entrée privilégié

La messagerie d’entreprise représente le premier vecteur d’attaque contre les PME françaises. Spams, phishing, ransomware, malwares dans les pièces jointes, 43 % des entreprises victimes ont déclaré que les attaques subies étaient liées à l’hameçonnage.

Un constat partagé par Cédric Desse, DSI du Groupe BPM. « Nous avons dû faire face récemment à une vague importante de cryptolockers qui nous a obligé à arrêter tout le réseau du site pour l’identifier. Les emails représentent souvent le premier facteur de risque pour l’entreprise. Nous bloquons une dizaine d’emails malveillants chaque semaine mais ils sont de mieux en mieux faits. Il est indispensable de se protéger et d’intervenir en amont car le coût peut très vite être élevé. »

Au-delà du vol de données, c’est bien la continuité de votre activité qui est menacée. Un ransomware transmis par email peut chiffrer l’ensemble des serveurs d’un site en quelques heures.

Les solutions à mettre en place pour sécuriser la messagerie

Des solutions antispam et l’isolement de vos applications dans un bac à sable (sandboxing) dans le cloud, permettent de bloquer les pièces jointes suspectes et de limiter les risques d’hameçonnage. Un pare-feu cloud hébergé complète ce dispositif en bloquant les téléchargements suspects et les tentatives d’intrusion réseau en temps réel.

La solution Firewall Cloud Fortinet proposée par unyc intègre notamment la protection anti-intrusion (IPS), le filtrage applicatif et l’anti-DDoS, sans infrastructure à déployer sur site.

Firewall Cloud Fortinet par unyc

Les outils de mobilité : une surface d’attaque sous-estimée

Selon le baromètre Cybermalveillance.gouv.fr 2025, 58 % des TPE-PME françaises font usage d’équipements personnels dans un contexte professionnel. Principalement des téléphones (91 % des cas), mais aussi des ordinateurs (43 %) et des messageries personnelles (27 %).

Si la politique de Bring Your Own Device (BYOD) n’est pas autorisée dans toutes les entreprises, à l’image du groupe BPM, les collaborateurs, notamment les commerciaux, n’en sont pas moins équipés de solutions mobiles, smartphones ou autres tablettes. En conséquence, la surface d’attaque liée aux usages mobiles continue de s’étendre.

« Nous équipons notre flotte mobile de 400 smartphones et 200 tablettes que nous contrôlons de façon centralisée via une application de mobile device management (MDM). La solution nous offre une meilleure visibilité sur nos équipements et nous permet ainsi d’en assurer plus facilement la sécurité. » – Cédric Desse, DSI du Groupe BPM.

La téléphonie d’entreprise, nouvelle source de risques

Les entreprises font également face à une forme de fraude souvent sous-estimée : l’escroquerie téléphonique. Selon le rapport annuel de la cybercriminalité du Ministère de l’Intérieur (2024), les attaques de types vishing sont en progression constante. Les fonctions liées aux flux financiers (comptabilité, trésorerie) en restent une cible privilégiée, sur le même principe que la fraude au président. Migrer sa téléphonie vers une solution hébergée chez un opérateur apporte une première protection concrète où les flux sont sécurisés hors site et les tentatives d’usurpation de numéros plus difficiles à exécuter.

« Nous avons nous-même subi récemment des tentatives d’hameçonnage par téléphone. Nous avons alors alerté nos équipes comptables pour qu’elles soient particulièrement vigilantes. », souligne Cédric Desse.

« (…) toute notre téléphonie sera en Centrex. Nous allons ainsi réduire considérablement le nombre de matériels répartis sur nos quarante sites et, par conséquent, les risques de pannes et de failles. La téléphonie recouvre des enjeux critiques pour notre activité donc le cloud permettra d’assurer la continuité d’exploitation. De plus, la solution est très simple à administrer et compétitive d’un point de vue tarifaire. »

Pour sécuriser la téléphonie d’entreprise, deux approches complémentaires existent : un Trunk SIP hébergé chez un opérateur tiers isole le compte client des tentatives d’usurpation, tandis qu’une téléphonie hébergée de type Centrex confie la gestion de l’infrastructure téléphonique à l’opérateur, éliminant ainsi les risques liés aux équipements sur site.

Le Guide du Centrex IP

Réseau d’entreprise : sécuriser les accès et redonder les liens

À l’image de la téléphonie d’entreprise, plus vous avez d’équipements sur site, plus vous multipliez les risques de pannes ou d’intrusion. Ainsi, la sécurité physique des équipements réseau est souvent négligée (à commencer par les switch ou commutateurs réseaux) au profit des mesures logicielles, alors qu’elle constitue la première ligne de défense.

« Sur les sites ouverts au public, c’est indispensable. Rien de plus simple que de brancher son ordinateur sur une prise réseau. C’est pourquoi toutes nos prises non utilisées sont désactivées. Nous envisageons également une solution dédiée (…) pour les sécuriser. De plus, notre réseau Wi-Fi Guest est isolé de notre réseau d’entreprise le rendant ainsi plus étanche. »

Pour cela, votre réseau privé d’entreprise doit disposer d’un bon niveau de sécurisation de ses accès internet, potentiellement sur des technologies différentes. La segmentation réseau, pratique recommandée par l’ANSSI, consiste à isoler les différents flux (production, invités, IoT, téléphonie) et vise à limiter la propagation latérale d’une attaque. Si un terminal est compromis sur le réseau invité, les serveurs de production restent inaccessibles.

Redondance des liens internet

La redondance des liens d’accès à Internet est également un pilier de la continuité réseau. Un accès unique, même en fibre dédiée, constitue un SPOF (Single Point of Failure). La stratégie du Groupe BPM illustre cette bonne pratique puisqu’il redonde les liens en combinant fibre optique entreprise et accès 4G/LTE de secours, pour pouvoir basculer automatiquement en cas de coupure du lien principal. Unyc propose ces deux technologies au sein d’une offre intégrée, permettant une redondance multi-opérateur sans complexité de gestion supplémentaire.

Pour les entreprises multi-sites, un réseau privé d’entreprise MPLS assure la sécurité et la qualité de service des flux entre sites, en priorisant les applications critiques (ERP, téléphonie, accès aux serveurs) et en isolant les flux de trafics sensibles du reste du réseau. Il faut retenir qu’un lien Internet mutualisé entre sites présente un risque de propagation en cas d’incident, sans compter une qualité de services difficile à garantir sur les applications critiques.

Nos offres de réseaux privé d’entreprise MPLS et VPN

Sauvegarde cloud et redondance des données critiques

Cette redondance s’applique en premier lieu à vos données d’entreprise, notamment les plus critiques, que ce soit sur un même site ou entre deux datacenters. Un prérequis à la mise en place d’un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA) efficaces. Sans sauvegarde externalisée et régulièrement testée, un PCA reste une procédure théorique.

« Nous gérons nous-mêmes nos PCA / PRA pour éviter les intermédiaires et aller plus vite. Nous sommes ainsi maîtres de nos infrastructures de A à Z et nos données sont redondées entre nos deux datacenters situés en Bretagne et Pays de la Loire. Nos data sont ainsi répliquées en quasi temps réel et en une demi-journée à peine, nous pouvons redémarrer notre cœur de système. » – Cédric Desse, DSI du Groupe BPM.

Atteindre ces objectifs implique de combiner plusieurs méthodes : sauvegarde complète, sauvegarde incrémentielle, et idéalement réplication de données en temps réel vers un site secondaire ou un datacenter distant. Ces différentes approches et leur articulation avec les solutions de firewall et de connectivité redondante, sont détaillées dans notre guide sur les solutions de haute disponibilité pour les services hébergés.

La sauvegarde externalisée dans le cloud est aujourd’hui la réponse la plus accessible pour les PME, car elle supprime les risques liés à la co-localisation des données (incendie, inondation, vol). Encore faut-il dimensionner correctement son stockage de sauvegarde cloud pour éviter les coûts cachés ou les capacités sous-évaluées.

Unyc propose une solution de sauvegarde et protection des données qui couvre la sauvegarde, la restauration, la protection anti-malwares et la sécurité de vos environnements de travail.

Le facteur humain, vecteur de risque majeur selon l’ANSSI

Si les mesures de précaution sont essentielles, le premier facteur de risque pour votre activité est humain. Vos collaborateurs, volontairement ou non, sont souvent les premiers responsables (téléchargement de pièces jointes frauduleuses, ouverture de liens web piratés) et les mesures techniques ne peuvent pas compenser une organisation humaine défaillante.

« Les risques les plus probants viennent de notre réseau interne surtout au sein de secteurs comme l’automobile dans lesquels le turnover est important. Nous allons donc nous équiper d’une solution d’audit de nos infrastructures pour détecter les fuites de données ou les tentatives de fraudes. » — Cédric Desse, DSI du Groupe BPM.

Au total, le groupe BPM enregistrait une dizaine de coupures par an sur sa quarantaine de sites ! Une réalité qui illustre l’impossibilité de réduire à zéro le risque résiduel, même avec une infrastructure bien maîtrisée. La continuité d’activité repose donc sur deux piliers indissociables : les outils techniques et la culture de sécurité des équipes.

Selon le baromètre Cybermalveillance 2025, 80 % des TPE-PME françaises reconnaissent qu’elles ne sont toujours pas préparées aux attaques ou ignorent leur niveau de préparation (A lire : Pour les PME sont-elles la cible des cyberattaques ?).

4 actions pour réduire le risque humain

• Sensibilisation régulière : campagnes de phishing simulées, formations aux bonnes pratiques, procédures de signalement des incidents.
• Gestion des accès et des identités (IAM) : révocation immédiate des accès au départ d’un collaborateur, authentification multifacteur (MFA) sur toutes les applications critiques, etc.
• EDR (Endpoint Detection and Response) : solution de détection comportementale sur les terminaux, capable de neutraliser automatiquement une menace avant qu’elle ne se propage. unyc a dévoilé son offre EDR à l’IT Partners 2026, lui permettant de compléter son dispositif de sauvegarde et de firewall et sa gamme de solutions de cybersécurité.
• Audit de sécurité : évaluation régulière des vulnérabilités par des tests de pénétration et une revue des droits d’accès.

Firewall : le maillon central de la sécurité informatique des PME