Les cyberattaques augmentent en fréquence et en impact. D’après une enquête parrainée par Dell, plus d’une entreprise sur deux a subi un cyber incident en 2023. À Lyon et dans le Rhône, les organisations industrielles, de santé, de services et les collectivités sont tout autant exposées : rançongiciels, vols de données, fraudes au président, DoS… Cet article vous donne un plan d’action opérationnel, des tableaux comparatifs, des astuces et un mode d’emploi pour comprendre ce qu’est un cyber incident, le prévenir et le gérer efficacement.

🔍 Qu’est-ce qu’un cyber incident (définition claire et utile)

Un cyber incident est un événement (ou une série d’événements) qui compromet la confidentialité, l’intégrité ou la disponibilité (le fameux triptyque CID) de votre système d’information : réseau, serveurs, postes, cloud, applications, données.
Problème : une « simple alerte » (ex. antivirus) peut paraître anodine, mais dégénérer très vite en fuite de données ou en paralysie d’activité. D’où l’intérêt d’avoir des équipes et des procédures prêtes (SOC/CSIRT) pour qualifier, contenir et traiter.

🧨 Typologie des incidents les plus fréquents à Lyon (PME ↔ grands comptes)

Type d’incident	Description	Indices/symptômes	Impact potentiel	Prévention prioritaire
Vol de données	Exfiltration de données RH, financières, clients	Connexions suspectes, pics trafic sortant	Amendes, réputation, chantage	MFA, segmentation, DLP, durcissement accès
Rançongiciel (ransomware)	Chiffrement + demande de rançon	Fichiers .locked, notes de rançon	Arrêt de prod, perte données	Sauvegardes 3-2-1, EDR, patching, durcissement
DoS / DDoS	Saturation services (site, APIs)	Trafic anormal, indisponibilités	Rupture de service, pertes CA	Anti-DDoS, CDN, surcapacité, playbook bascule
Phishing/Ingénierie sociale	Leurre via mail/SMS/appel	Afflux de mails similaires, clics, vols MDP	Compte compromis, fraude	Sensibilisation, MFA, passerelle mail, DMARC
Compromission compte SaaS	O365/Google, ERP, CRM	Connexions géo atypiques	Mouvement latéral, fuite	MFA, journaux, détection impossible travel
Malware discret (stealer)	Vol MDP / cookies	Process inconnus, alertes EDR	Accès prolongé aux SI	EDR, règle d’application, moindre privilège

💡 Astuce : cartographiez vos actifs critiques (données patients, secrets de fabrication, ERP de prod, machines OT). Vous saurez où concentrer vos contrôles et quel impact maximum vous devez absorber.

🧱 Pourquoi planifier une réponse aux incidents (IRP) avant d’être attaqué ?

Limiter les dégâts : temps = données. Plus vous êtes prêts, plus vous réduisez la fenêtre d’exfiltration et la durée d’indisponibilité.
Réduire les coûts : le coût moyen d’une cyberattaque peut grimper très vite (rétablissements, pertes de production, rançon, expertise).
Se conformer : RGPD (notification CNIL et personnes concernées si fuite), exigences assureur cyber, clients grands comptes.
Gagner du temps : un plan IR évite le chaos (qui fait quoi ? quand ? avec quels outils ?).

🧩 Les 6 étapes d’un plan de réponse aux incidents (cadre SANS)

Étape	Objectif	Actions concrètes côté Lyon (69)
1. Préparation	Être prêts	Politique, charte, CSIRT nommé, outils (EDR, SIEM/MES logs, coffre-fort mots de passe), exercices réguliers
2. Identification	Détecter/qualifier	Corrélation logs (SIEM), alertes EDR, remontées utilisateurs, grille de criticité (SLA métiers)
3. Confinement	Stopper l’hémorragie	Isolement réseau, blocage comptes, listes noires, snapshots/images disques
4. Éradication	Supprimer la menace	Suppression malwares, patchs, rotation secrets, vérif persistence
5. Rétablissement	Revenir en prod	Restauration restreinte puis élargie, surveillance renforcée
6. Leçons apprises	Ne pas revivre ça	REX, mise à jour playbooks, formation, plan d’actions daté

🧪 Exercice conseillé : faites un tabletop trimestriel (jeu de rôle de crise) de 2 h avec IT, métiers, juridique, com’, direction. Vous révèlerez immédiatement vos angles morts.

🛡️ Prévention : vos « contrôles essentiels » (maturité en 3 paliers)

Domaine	Niveau 1 – Basique	Niveau 2 – Avancé	Niveau 3 – Résilient
Identités/Accès	MFA admins	MFA pour tous, moindre privilège	PAM, MFA adaptatif, revue trimestrielle droits
Postes/Serveurs	Antivirus, patch mensuel	EDR, hardening CIS, patch hebdo	EDR managé 24/7, whitelisting, sandbox
Email/Domaine	SPF, filtrage	DKIM + DMARC en quarantine	DMARC en reject, isolation liens/pièces jointes
Sauvegardes	1 copie locale	3-2-1, tests de restauration	Coffre-fort immuable, restauration orchestrée
Réseau	Pare-feu périmétrique	Segmentation LAN/VLAN, VPN	Micro-segmentation, NDR, Zero Trust
Journaux/Monitoring	Logs locaux	SIEM/cloud logs centralisés	SOC 24/7, détection UEBA
Sensibilisation	Charte & affiches	Formations + phishing simulé	Culture sécurité, KPI par équipe
Tiers/Cloud	Clauses basiques	Due diligence sécurité	Évaluation continue, CAIQ/STAR, revues SOC 2

✅ Règle d’or : MFA partout (au minimum email, VPN, ERP/CRM, consoles d’admin). C’est le meilleur ROI contre le vol de comptes.

🧰 SOC & CSIRT : qui fait quoi dans l’entreprise ?

Rôle	Mission	Livrables
SOC (Security Operations Center)	Surveiller 24/7, détecter, alerter	Dashboards, tickets d’alertes, rapports hebdo
CSIRT (Incident Response)	Qualifier, contenir, éradiquer, REX	Playbooks, journal d’incident, rapport final
RSSI	Gouvernance, politiques, budgets	Politique SSI, plan annuel, indicateurs
IT / Infra / DevOps	Opérations techniques, patchs, restau	Changements, preuves, plans de patch
Juridique / DPO	RGPD, CNIL, preuves, contrats	Notifications, clauses, conservation preuves
Com’ & Direction	Messages internes/externes, arbitrages	Communiqués, décisions (arrêt prod, rançon)

💡 Astuce : nommez un “Incident Manager” (astreinte) et un backup. Affichez les contacts de crise (IT, RSSI, DPO, juridique, prestataire forensics) dans chaque open space et salle serveur.

📊 Les KPI qui comptent pour le COMEX lyonnais

KPI	Cible	Sens
Taux MFA	100 % comptes exposés	Résilience à l’hameçonnage
Délai moyen de patch critique	< 7 jours	Réduction surface d’attaque
Taux de restauration testée	≥ 1 test/mois	Capacité à tenir un ransomware
Temps de détection (MTTD)	↓ continu	Efficacité SOC
Temps de réponse (MTTR)	↓ continu	Efficacité CSIRT
Taux phishing réussi (simulé)	< 5 %	Culture sécurité

🧪 Phishing : plan de sensibilisation « qui marche » (69)

Kick-off de 30 min par équipe (hybride présentiel/visio).
Campagne de phishing simulé mensuelle (variantes : livraison, RH, banque, impôts).
Micro-modules e-learning (≤ 10 min) sur : liens, pièces jointes, QRishing, MFA.
Score individuel confidentiel + score d’équipe affiché au service.
Challenge trimestriel (dotation symbolique) pour l’équipe la plus vigilante.
Procédure “alerter en 1 clic” (bouton d’Outlook/Gmail).

🧠 Rappel : ne blâmez pas. Valorisez la remontée rapide d’un clic malencontreux : la transparence sauve des données.

🧯 Rançongiciel : check-list express “Jour J” (à imprimer)

🔌 Isolez immédiatement les postes/serveurs touchés (réseau, Wi-Fi, VPN).
🔐 Coupez les comptes compromis (SSO/AD), changez les mots de passe admin.
💾 Gelez les preuves : images disques, journaux, notes de rançon, horodatages.
☁️ Vérifiez vos sauvegardes off-line/immutables ; ne restaurez pas trop tôt.
📢 Activez le CSIRT (astreinte), prévenez Direction, DPO, Juridique.
🧩 Décidez : périmètre à éteindre, priorités métiers (ERP, paie, prod, santé).
📞 Contactez vos partenaires d’investigation/assureur ; préparez la notification CNIL si nécessaire.
🧪 Scannez pour backdoors/pivots ; patch & changement de secrets (API, clés, coffres).
🔁 Restauration contrôlée par lots + surveillance (EDR/SIEM) renforcée.
📝 REX : actions, durées, coûts, améliorations obligatoires (datées, responsables).

🧭 Roadmap « 30/60/90 jours » pour une PME/ETI lyonnaise

J+30 (Socle minimal)

Activer MFA pour email/VPN/SSO.
Inventorier actifs (postes, serveurs, SaaS).
Segmenter réseau (bureautique vs production/OT).
Sauvegardes 3-2-1 + 1 test de restauration.
Déployer EDR sur postes serveurs critiques.
Lancer phishing simulé et micro-formations.

J+60 (Montée en puissance)

Durcissement (CIS) des serveurs/AD.
Journaux centralisés (SIEM/Cloud), corrélation de base.
Playbooks IR (ransomware, DoS, compte SaaS compromis).
Tabletop multi-métiers 2 h.
DMARC en quarantine + passerelle email avancée.

J+90 (Résilience)

DMARC en reject.
Tests de restauration mensuels planifiés.
Revue des droits (IAM) + principe du moindre privilège.
Contrats avec prestataires forensics/MSSP (SLA, astreinte).
KPI sécurité en comité de direction.

🧰 Modèle de budget (ordre de grandeur, à adapter)

Poste	PME (20–200 pers.)	ETI (200–2000)	Commentaires
MFA/SSO	Faible	Faible	Souvent inclus dans suites O365/Google
EDR	Moyen	Moyen/Élevé	Par poste/serveur ; managé = +
SIEM/Logs	Moyen	Élevé	Coût ingestion ; veillez aux rétentions
Sauvegardes immuables	Moyen	Moyen	Cloud + coffre-fort
Sensibilisation	Faible	Faible/Moyen	Plateforme + campagnes
Tests/RSSI externalisé	Moyen	Moyen/Élevé	Pentest, audit, GRC
MSSP/SOC 24/7	Moyen	Élevé	Mutualiser avec d’autres entités groupe

💸 Astuce : discutez avec votre assureur cyber. Certains exigent MFA, EDR, DMARC, sauvegardes testées et plan IR ; en échange, ils améliorent conditions et prise en charge.

🏭 Spécificités lyonnaises : industrie, santé, collectivités, retail

Industrie & OT (chimie, pharma, mécanique) : séparez IT/OT, portails de supervision isolés, inventaire automates, patching maîtrisé, passerelles dédiées et monitoring réseau industriel.
Santé : disponibilité critique ; inventaire biomédical, segmentation VLAN, gestion obsolescence OS, procédures dégradées (papier) validées.
Collectivités/éducation : annuaires vastes, multiples sous-traitants ; contrats SSI stricts, revue droits régulière, journaux centralisés.
Retail/e-commerce : anti-DDoS/CDN, durcissement paiement, détection fraude, protection API.

🧩 Modèle de clauses « cyber » pour vos fournisseurs (achat)

Clause	Exigence	Preuve attendue
MFA & gestion accès	MFA sur consoles, SSO, tokens	Capture config, rapport audit
Vulnérabilités	Patching ≤ 30 j critiques	Calendrier de patch + rapports
Logs & Rétention	90 j minimum, horodatage	Extraits SIEM, NTP commun
Incident	SLA 1 h pour alerte/communication	Playbook + contact 24/7
Tests	Pentest annuel sur périmètre	Rapport synthèse + remédiations
Fuite	Notification ≤ 72 h (RGPD)	Procédure & RACI documentés

🧠 Culture & gouvernance : ancrer la sécurité « by design »

Sponsoring Direction : la cybersécurité est un risque d’entreprise (continuity, finances, réputation), pas un sujet purement IT.
Politique & charte : claire, courte, signée par tous (incl. prestataires).
Process achats : exigence sécurité dès l’appel d’offres (cloud, SaaS, intégrateurs).
Dev & projets : SecDevOps (revues de code, scans SCA/SAST/DAST, secrets management).
Mesure : un tableau de bord mensuel au COMEX : MFA, patching, tests de restau, temps IR.

🧪 Signes d’alerte à ne jamais ignorer

Ralentissements soudains & services indisponibles (potentiel DoS).
Connexions à des heures/lieux inhabituels (impossible travel).
Création d’admins inattendus, règles mail anormales.
Programmes inconnus/extensions bizarres sur serveurs.
Trafic sortant massif vers IP non usuelles.

🚨 Réflexe : isolez, conservez les preuves, appelez votre CSIRT et assureur. Une demi-heure gagnée, c’est parfois un chiffrement évité.

🧾 Foire aux idées reçues (FAQ express)

« Nous sommes une petite boîte, personne ne s’intéresse à nous. »
Les attaquants exploitent des failles opportunistes (mots de passe fuites, VPN exposés). La taille importe peu.

« On paiera la rançon et ce sera fini. »
Aucun garant de déchiffrement complet, et double extorsion fréquente (publication de données). Sans RESTAURATIONS TESTÉES, vous restez à genoux.

« Le cloud, c’est le fournisseur qui protège tout. »
Modèle de responsabilité partagée : vous devez configurer accès, logs, sauvegardes, MFA, cloisonnement.

🧭 Plan d’action final (à coller dans votre gestionnaire de tâches)

✅ Activer MFA partout (email, VPN, SSO, consoles).
✅ Déployer EDR et centraliser logs (SIEM/cloud).
✅ Sauvegardes 3-2-1 + tests mensuels.
✅ DMARC → quarantine puis reject.
✅ Playbooks IR (ransomware, DoS, compte SaaS) + tabletop trimestriel.
✅ Segmentation réseau, moindre privilège, revue droits.
✅ Sensibilisation + phishing simulé mensuel (culture).
✅ Contrats prestataires avec clauses cyber & SLA incident.
✅ KPI COMEX mensuels (MFA, patch, restauration, MTTD/MTTR).

🗂️ Politique de sécurité “condensée” (1 page à faire signer)

Objectif : définir les règles minimales pour tous (salariés, intérimaires, prestataires).

Champs clés (extrait) :

🔐 Mots de passe & MFA : gestionnaire d’identifiants obligatoire, MFA activé pour email/SSO/VPN.
💻 Postes & mobiles : chiffrement disque, verrouillage auto 5 min, mises à jour automatiques.
✉️ Email & cloud : pas de données sensibles en clair ; partage par liens temporisés.
🔌 Télétravail : VPN + Wi-Fi personnel sécurisé (WPA2/3), pas de PC perso sans MDM.
📦 Logiciels : catalogue approuvé, interdiction d’installer hors Self-Service IT.
📁 Données : classification (Public/Interne/Confidentiel/Sensible) + règles de stockage.
🚨 Incidents : alerte immédiate via canal #incident-sec ou mail dédié ; zéro blâme.

💡 Astuce : tenez cette page à jour trimestriellement et faites la co-signer par la Direction pour ancrer le sujet au niveau exécutif.

🗺️ Cartographie des données & classification (modèle simple)

Domaine	Type de données	Sensibilité	Localisation	Propriétaire	Mesures exigées
RH	Dossiers salariés	Sensible (RGPD)	SharePoint / Drive-RH	DRH	Chiffrement at rest, MFA, accès restreint
Finance	États financiers	Confidentiel	ERP / Dossier-finance	DAF	MFA, journaux d’accès 12 mois
Prod/OT	Recettes/SCADA	Sensible (secret)	Réseau OT isolé	Directeur usine	Segmentation, bastion, journalisation
Commercial	CRM clients	Confidentiel (RGPD)	SaaS CRM	Dir. Com.	MFA, DLP, export chiffré
Santé (si applicable)	Données patients	Très sensible	HDS/Cloud FR	RSSI / DPO	HDS, journalisation 24 mois, accès nominatif

🎯 But : savoir quoi protéger en premier, avec quelle mesure, chez qui.

🧪 Canevas de playbook “Compte Office 365 compromis”

Déclenchement : alerte SIEM (connexion “impossible travel”) ou bouton “phish alert”.
Confinement :
- Réinitialiser mot de passe + forcer revocation de sessions.
- Bloquer authentications legacy (IMAP/POP).
- Vérifier/supprimer règles de boîte malveillantes (redirection).
Éradication :
- Activer MFA si absent, vérifier app-passwords.
- Audit consentements OAuth (applications tierces).
Rétablissement :
- Informer utilisateur, surveiller 7 jours les connexions.
Leçons :
- Campagne phishing simulé ciblée, durcissement Conditional Access.

Indicateurs de succès : 0 nouvelle connexion suspecte, MFA activé, pas d’alias/règle persistante.

🧯 Canevas de playbook “Rançongiciel sur serveur fichier”

T0 : isoler VLAN/serveur, couper CIFS/SMB, snapshots.
T+30 min : sauvegarde forensics (image disque), collecte journaux, hash note de rançon.
T+60 min : inventaire partages, liste fichiers chiffrés, identifier variante (YARA/EDR).
T+2 h : rotation secrets (comptes de service), patchs sécurité, revues GPO.
T+6 h : restauration par lots (priorités métiers) depuis sauvegarde immuable + contrôle EDR.
J+1 : communication interne, DPO/juridique évaluent notification CNIL si fuite potentielle.
J+7 : REX, plan d’actions (patch cadence, segmentation, tests restau mensuels).

🧪 Script de tabletop (2 h, 8–12 personnes)

Scénario : vendredi 16h, rançongiciel détecté sur 3 serveurs, ERP ralenti, service client saturé.
Objectifs : décisions arrêt/continuité, priorités métiers, communication, preuve.
Injects (toutes les 15 min) :
- Appel d’un client grand compte ;
- Mail exigeant rançon ;
- Journaliste local demande commentaire ;
- Assureur réclame prérequis (MFA, EDR, sauvegardes testées).
Livrables : timeline, décisions, écarts, plan d’amélioration daté.

💬 Astuce : tournez les rôles (un DAF joue “com’”, un juriste joue “IT”). On apprend plus vite.

🧾 Modèle de communication de crise (interne/externe)

Interne (Teams/Email)

“Nous traitons actuellement un incident de sécurité affectant [périmètre]. L’accès à [services] est temporairement restreint. Ne redémarrez pas vos postes. Remontez toute anomalie au canal #incident-sec. De nouveaux points seront faits à 11h, 14h et 17h.”

Externe (site/clients/fournisseurs)

“Un incident de sécurité a impacté certains de nos services. Nos équipes et partenaires spécialisés sont mobilisés. À ce stade, aucune indication d’un impact sur [données/transactions] / (ou) Nous avons pris des mesures de confinement et de remédiation. Nous communiquerons des mises à jour vérifiées.”

Presse

“Nous confirmons un incident de cybersécurité en cours d’analyse. Notre priorité est la continuité de service et la protection des données. Nous collaborons avec des experts indépendants et les autorités compétentes.”

🧑‍⚖️ Conformité & notifications : points clés pour la France

RGPD / CNIL : notifier la CNIL dans les 72 h en cas de violation de données personnelles susceptible d’engendrer un risque pour les personnes ; informer les personnes concernées si le risque est élevé.
CERT-FR / ANSSI : en cas d’incident significatif (administrations/OIV/OSE notamment), déclarer l’incident et suivre les recommandations techniques.
Preuves : conserver journaux, images disques, horodatages, décisions prises (qui/quand/pourquoi).
Contrats : vérifier les obligations de sous-traitants (article 28 RGPD) : Notification, assistance, mesures techniques.

🧠 Bon réflexe : préparer un registre des incidents (modèle simple) : date/heure, détection, périmètre, données concernées, mesures prises, décision notification.

📦 BYOD & télétravail : guide ultra-concis

Sujet	Exigence minimale	Contrôle
Poste	OS supporté, chiffrement, écran verrouillé	MDM / conformité
Accès	VPN + MFA	Portail SSO
Données	Pas de stockage local de Sensible	VDI / apps publiées
Sauvegarde	Cloud entreprise, pas de clés USB	DLP / blocage périphériques
Fin de contrat	Wipe à distance	MDM / offboarding IAM

🧪 OT/Industrie (Lyon : chimie, pharma, mécanique) – 10 règles d’or

Séparer IT/OT (pas de “flat network”).
Inventorier automates (marque/modèle/firmware).
Bastion d’accès pour maintenance distante.
Cartographier flux (SCADA, historiens).
Correctifs planifiés par fenêtres de maintenance.
Sauvegardes configurations automates hors ligne.
Supervision réseau OT (NDR industriel).
Comptes nominatifs + journaux centralisés.
Plans dégradés (procédures papier).
Exercices d’arrêt/redémarrage sûrs.

💰 Mini-calculateur de risque (TCO sécurité vs coût attaque)

Coût sécurité annuel (approx.) =
EDR (N×€/poste) + SIEM/logs + sauvegardes + sensibilisation + audits/pentest + MSSP (si 24/7).

Coût d’un incident (ordre de grandeur) =
(Jours d’arrêt × CA/jour) + restauration + forensics + perte d’image + éventuelle rançon + pénalités contractuelles.

🎯 Objectif COMEX : maintenir le ratio Coût sécu ≤ 20–30 % du coût évité estimé (scénario de référence : ransomware sur ERP).

📜 Clauses contractuelles “cyber” prêtes à copier-coller (extraits)

MFA obligatoire pour tous les accès d’admin et consoles cloud.
Notification d’incident ≤ 1 h + contact d’astreinte 24/7.
Patching ≤ 30 j pour vulnérabilités critiques (CVSS ≥ 9).
Journalisation centralisée 90 j min (horodatage synchronisé).
Pentest annuel sur périmètres exposés, rapport + corrections.
Plan de réversibilité (cloud/SaaS) avec export chiffré.
Conservation des preuves et coopération en cas d’enquête.

🧰 RACI “Réponse à incident” (version courte)

Tâche	SOC	CSIRT	IT/Infra	DPO/Juridique	Direction	Com’
Détection/alerte	R	C	C	I	I	I
Qualification	C	R	C	C	I	I
Confinement	C	R	R	I	A	I
Éradication	I	R	R	I	I	I
Rétablissement	I	C	R	I	A	I
Notification CNIL	I	C	I	R/A	C	I
Communication externe	I	C	I	C	A	R
REX	C	R	C	C	A	C

(R = responsable, A = approbateur, C = consulté, I = informé)

🧪 Journaux : quoi garder et combien de temps ?

Source	Détails	Rétention conseillée
AD / IAM	Connexions, élévations, créations comptes	12 mois
Firewall/VPN	Sessions, IP, anomalies	6–12 mois
EDR	Détections, isolations, IOC	6–12 mois
Serveurs/Cloud	Accès, API, erreurs	6–12 mois
Applications clés	ERP/CRM, exports données	6–12 mois
Mail	Journaux passerelle, DMARC	6 mois

📌 Tip : fixez une politique de rotation (coûts SIEM) + glacier à froid pour longue durée.

📚 Programme de sensibilisation (12 mois)

Mois	Thème	Action
1	Phishing & MFA	Kick-off + simulation
2	Mots de passe	Gestionnaire + atelier
3	Mobilité & télétravail	Guide + quiz
4	Données & RGPD	Micro-module + Q/R DPO
5	Cloud & partage	Bonnes pratiques
6	Ransomware	Tabletop 45’ équipe
7	Dev & secrets	SecDevOps (bases)
8	OT/IoT	Session technique
9	Messagerie instantanée	Paramètres & réflexes
10	Fraude au président	Jeu de rôle finance
11	BYOD	Politique & MDM
12	Bilan & récompenses	Trophées & KPI

🧠 FAQ “avancée” pour décideurs (Lyon 69)

Q. Faut-il payer une rançon ?
R. Juridiquement, c’est vivement déconseillé (financement de la criminalité, pas de garantie). Priviliégiez restauration et forensics, alertez assureur/juridique.

Q. On a un antivirus, c’est suffisant ?
R. Non. Les attaques modernes exigent EDR + MFA + sauvegardes testées + logs centralisés et sensibilisation.

Q. Zéro Trust, c’est réaliste pour une PME ?
R. Oui, par étapes : MFA, principe du moindre privilège, segmentation, vérification continue.

Q. Cloud = plus sûr ?
R. Ça peut l’être… si vous configurez correctement : MFA, journaux, droits, sauvegardes, DMARC sur le domaine.

✅ Feuille de route finale (récap ultrasynthétique)

Maintenant : MFA 100 %, EDR déployé, sauvegardes 3-2-1 testées, DMARC→quarantine.
30 jours : SIEM/logs centralisés, playbooks IR, segmentation, phishing simulé.
60 jours : tabletop multi-métiers, durcissement CIS, revue des droits, contrats MSSP/forensics.
90 jours : DMARC→reject, tests restau mensuels, KPI sécurité au COMEX, programme de sensibilisation annuel.

🏁 Faire de la sécurité un réflexe d’entreprise (et un atout lyonnais)

En combinant gouvernance claire, contrôles essentiels, exercices réguliers et outillage adapté, votre entreprise lyonnaise passe d’une posture réactive à une résilience maîtrisée.
La question n’est pas si un incident surviendra, mais quand. Avec ces annexes, vous savez qui fait quoi, avec quels moyens, et comment mesurer vos progrès.

Entreprises de Lyon (69) : comment se protéger en cybersécurité ?