Outil d’Auto-Diagnostic Cybersécurité pour PME

Problématique

Les grandes institutions disposent de budgets et d’équipes dédiées à la cybersécurité ; les PME congolaises, elles, n’ont le plus souvent ni l’un ni l’autre, alors qu’elles sont tout autant exposées aux risques courants (hameçonnage, mots de passe faibles, absence de sauvegardes).

Les référentiels de sécurité existants (ISO 27001, NIST) sont conçus pour de grandes organisations et demandent un investissement en temps et en expertise hors de portée d’une PME de quelques dizaines de salariés.

Approche

Nous avons cherché un référentiel suffisamment rigoureux pour être utile, mais assez simple pour être rempli sans expert en interne. Les CIS Controls, dans leur version « Groupe de Mise en Œuvre 1 » (IG1), destinée précisément aux petites structures aux ressources limitées, correspondaient à ce besoin.

L’enjeu était de traduire un référentiel technique en un questionnaire compréhensible par un dirigeant de PME sans vocabulaire spécialisé, tout en conservant assez de rigueur pour que le résultat soit réellement actionnable.

Solution technique

Le concept propose un questionnaire d’une quinzaine de questions en langage clair, dont chaque réponse alimente un score de maturité par domaine (accès, sauvegardes, postes de travail, sensibilisation des équipes).

À l’issue du questionnaire, l’outil génère un plan d’action priorisé — les 3 à 5 mesures à fort impact et faible coût à mettre en place en premier — plutôt qu’une liste exhaustive décourageante de toutes les recommandations du référentiel.

Le score peut être suivi dans le temps, permettant à une PME de mesurer sa progression après la mise en œuvre des premières mesures, sans nécessiter d’audit externe payant à chaque étape.