Marc Delafont, Technicien réseaux et sécurité informatique indépendant Spécialité : cybersécurité des PME et artisans côtiers, audit réseau, prévention ransomware. Après 12 ans en SSII nantaise, Marc Delafont a choisi l’indépendance en 2019 pour offrir une expertise plus personnalisée aux petites et moyennes entreprises de sa région. Basé à Saint-Nazaire, il intervient sur un vaste secteur incluant La Baule, Pornic et le Pays de Retz, mettant son savoir-faire au service de la sécurité numérique des professionnels locaux. Son approche est résolument axée sur la prévention et l’accompagnement, pour que chaque entreprise, quelle que soit sa taille, puisse naviguer sereinement dans un monde numérique en constante évolution.
Aujourd’hui, nous avons l’honneur d’accueillir Marc Delafont, un expert en cybersécurité qui œuvre au quotidien pour protéger nos entreprises locales des menaces numériques grandissantes. Il va nous éclairer sur les enjeux actuels et les solutions concrètes pour une meilleure résilience de nos PME et artisans.
“Marc, pouvez-vous vous présenter et nous expliquer votre activité au quotidien ?”
Marc Delafont répond :
Bonjour à toutes et à tous. Je suis Marc Delafont, et mon parcours dans l’informatique a commencé il y a près de quinze ans. J’ai passé une douzaine d’années au sein d’une SSII nantaise, où j’ai acquis une solide expérience en administration réseau, en support technique et, progressivement, en sécurité informatique pour des clients de toutes tailles. C’est durant ces années que j’ai pris conscience de l’énorme fossé qui existait entre les moyens des grandes entreprises et ceux des PME ou artisans, notamment en matière de cybersécurité. En 2019, j’ai donc décidé de me lancer à mon compte, avec l’ambition de combler ce vide et d’offrir une expertise de proximité, adaptée aux réalités budgétaires et techniques des petites structures.
Mon activité au quotidien est très variée, mais elle tourne principalement autour de la cybersécurité des PME et des artisans côtiers de la Loire-Atlantique. Je suis basé à Saint-Nazaire, et ma zone d’intervention s’étend de La Baule à Pornic, en passant par tout le Pays de Retz. Concrètement, cela signifie que je peux passer une matinée à réaliser un audit réseau complet pour une entreprise de BTP à Saint-Nazaire, l’après-midi à former les employés d’un cabinet d’architectes à La Baule sur les bonnes pratiques de sécurité, et finir la journée à mettre en place des solutions de prévention contre les rançongiciels pour un restaurateur à Pornic. Mes clients sont des entreprises de 5 à 50 salariés, des commerçants indépendants, des professionnels de la santé, des bureaux d’études, des agences immobilières… Bref, le tissu économique local.
Ma spécialité, c’est vraiment la prévention. Mon objectif est d’anticiper les menaces plutôt que de devoir gérer les conséquences d’une attaque. Cela passe par l’audit des infrastructures existantes, l’identification des vulnérabilités, la mise en place de solutions de protection robustes et, surtout, la sensibilisation des utilisateurs. Beaucoup de problèmes de sécurité trouvent leur origine dans l’erreur humaine, souvent par manque d’information. Je m’efforce de démystifier la cybersécurité, de la rendre accessible et compréhensible pour des chefs d’entreprise qui ont déjà mille et une choses à gérer au quotidien. Je suis leur référent technique de confiance, celui qui parle leur langage et qui comprend leurs contraintes. C’est un rôle passionnant et profondément gratifiant. Pour les particuliers qui souhaitent aussi renforcer leur sécurité numérique, la plateforme gouvernementale Cybermalveillance.gouv.fr propose des ressources gratuites adaptées à tous les niveaux.
Pour aller plus loin sur la protection des données au quotidien, notre guide de sauvegarde automatique Windows explique comment éviter les pertes définitives en cas d’incident ou de ransomware.
“Quelles sont les menaces cyber que vous observez le plus souvent chez les PME de Loire-Atlantique en 2026 ?”
Marc Delafont répond :
En 2026, la donne n’a malheureusement pas changé, et même s’est intensifiée pour les PME. La menace numéro un, celle qui me préoccupe le plus et que je rencontre le plus fréquemment, reste sans conteste le rançongiciel, ou ransomware. Ces attaques sont devenues d’une sophistication redoutable et ciblent de plus en plus spécifiquement les petites structures, car elles sont souvent perçues comme des cibles plus faciles, avec des défenses moins robustes que les grands groupes. Les cybercriminels savent que pour une PME, l’arrêt d’activité est synonyme de catastrophe, ce qui les rend plus enclines à payer la rançon.
Juste après le ransomware, je place le phishing ciblé, également appelé spear phishing. Ce n’est plus le mail générique avec des fautes d’orthographe. Désormais, les attaques sont très personnalisées, utilisant des informations glanées sur les réseaux sociaux ou des bases de données piratées. Un mail qui semble provenir du fournisseur d’électricité, de la banque, ou même d’un collègue, demandant de cliquer sur un lien ou de télécharger une pièce jointe, est extrêmement dangereux. Ces tentatives visent souvent à voler des identifiants ou à installer un logiciel malveillant. Les conséquences peuvent être désastreuses, allant de la compromission de comptes bancaires à l’infiltration complète du réseau. C’est un vecteur d’attaque privilégié pour les rançongiciels, d’ailleurs.
Viennent ensuite des menaces plus techniques, mais tout aussi pernicieuses. Le “credential stuffing”, par exemple, consiste à utiliser des combinaisons d’identifiants et de mots de passe volées lors de fuites de données massives sur Internet pour tenter de se connecter à d’autres services. Si un employé utilise le même mot de passe pour son compte personnel et son compte professionnel, c’est une porte ouverte. Je constate aussi de nombreuses vulnérabilités sur les NAS (Network Attached Storage) et les VPN (Virtual Private Network) qui sont mal configurés ou non mis à jour. Ces équipements, souvent jugés “simples” à installer, sont en réalité des points d’entrée critiques pour les attaquants s’ils ne sont pas sécurisés avec la plus grande rigueur. Un NAS exposé à Internet sans protection adéquate est une invitation au piratage de données, et un VPN obsolète peut permettre à des intrus de pénétrer le réseau d’entreprise comme s’ils étaient physiquement présents. Il est crucial de comprendre que les virus et malwares qui touchent aussi les réseaux d’entreprise sont en constante évolution, et une veille technologique active ainsi qu’une maintenance rigoureuse sont indispensables pour se prémunir efficacement.
“Quel est le coût réel d’une attaque ransomware pour une PME de 5 à 20 salariés ?”
Marc Delafont répond :
La question du coût réel est fondamentale, car c’est souvent ce qui permet aux chefs d’entreprise de prendre la mesure du risque. Pour une PME de 5 à 20 salariés, ce n’est pas juste une histoire de rançon. C’est une hémorragie financière et réputationnelle qui peut mettre l’entreprise à genoux, voire la condamner à la fermeture. La rançon elle-même peut varier considérablement, allant de quelques milliers d’euros, disons 2 000 €, à des sommes bien plus importantes, parfois jusqu’à 50 000 € ou plus, selon la valeur perçue des données et la taille de l’entreprise. Mais ce n’est que la partie émergée de l’iceberg.
La question du coût réel est fondamentale, car c’est souvent ce qui permet aux chefs d’entreprise de prendre la mesure du risque. Pour une PME de 5 à 20 salariés, ce n’est pas juste une histoire de rançon. C’est une hémorragie financière et réputationnelle qui peut mettre l’entreprise à genoux, voire la condamner à la fermeture.
Voici les principaux coûts d’une attaque par rançongiciel :
- La rançon elle-même : Elle peut varier considérablement, allant de quelques milliers d’euros (ex: 2 000 €) à des sommes bien plus importantes (parfois jusqu’à 50 000 € ou plus), selon la valeur perçue des données et la taille de l’entreprise. Mais ce n’est que la partie émergée de l’iceberg.
- L’arrêt d’activité : C’est souvent le coût le plus immédiat et le plus lourd. Chaque heure d’inactivité représente du chiffre d’affaires perdu, des commandes non traitées, des livraisons retardées et des clients mécontents. Pour une entreprise de 10 personnes, un jour d’arrêt peut déjà représenter plusieurs milliers d’euros de manque à gagner, sans compter les salaires à verser.
- Les frais d’experts : Il faut engager des spécialistes en cybersécurité pour l’analyse forensique, la désinfection des systèmes et la restauration des données. Ces honoraires sont souvent élevés et imprévus.
- La perte de données : Même avec des sauvegardes, il peut y avoir une période entre la dernière sauvegarde et l’attaque où des données précieuses ont été créées ou modifiées et sont irrémédiablement perdues. Cela peut entraîner des litiges et des pénalités réglementaires (RGPD, par exemple).
- Le coût réputationnel : Une entreprise qui a subi une attaque et perdu des données clients verra sa crédibilité entachée. Les clients hésiteront à lui confier leurs informations, et les partenaires commerciaux pourraient se détourner. Reconstruire une réputation prend du temps et des efforts considérables, et ce coût est bien réel, même s’il est difficilement chiffrable.
Comprendre comment ces attaques fonctionnent est un premier pas crucial pour s’en protéger, et je recommande de se renseigner sur comprendre le fonctionnement d’un ransomware pour bien saisir l’ampleur du problème. En somme, une attaque ransomware, c’est un coup de massue qui peut ruiner des années de travail et d’investissement.
Ensuite, il y a la perte de données. Même si l’entreprise a des sauvegardes, il peut y avoir une période entre la dernière sauvegarde et l’attaque où des données précieuses ont été créées ou modifiées et sont irrémédiablement perdues. Cela peut concerner des données clients sensibles, des plans de projets, des documents contractuels. La perte de ces informations peut entraîner des litiges, des pénalités réglementaires (RGPD, par exemple) et, surtout, une érosion de la confiance. Et c’est là qu’intervient le coût réputationnel. Une entreprise qui a subi une attaque et qui a perdu des données clients verra sa crédibilité entachée. Les clients hésiteront à lui confier leurs informations, les partenaires commerciaux pourraient se détourner. Reconstruire une réputation prend du temps et des efforts considérables, et ce coût est difficilement chiffrable mais est bien réel. Comprendre comment ces attaques fonctionnent est un premier pas crucial pour s’en protéger, et je recommande de se renseigner sur comprendre le fonctionnement d’un ransomware pour bien saisir l’ampleur du problème. En somme, une attaque ransomware, c’est un coup de massue qui peut ruiner des années de travail et d’investissement.
“Quelles sont les 3 mesures préventives minimales qu’une PME peut mettre en place avec un budget serré ?”
Marc Delafont répond :
C’est une excellente question, car beaucoup de PME pensent que la cybersécurité est un luxe réservé aux grandes structures. C’est faux. Avec un budget serré, il est tout à fait possible de mettre en place des mesures fondamentales qui réduiront drastiquement le risque.
Voici les 3 mesures préventives minimales :
- La stratégie de sauvegarde 3-2-1 : C’est la recommandation la plus cruciale et le pilier de la reprise d’activité après un incident. Elle signifie avoir au moins 3 copies de vos données, stockées sur au moins 2 types de supports différents, et dont 1 copie est conservée hors site. Conserver une copie sur un disque dur externe branché en permanence ou sur le même serveur est une grave erreur, car le rançongiciel pourrait chiffrer cette copie également.
- L’authentification multifacteur (MFA) : C’est une nécessité absolue pour tous les accès critiques (messagerie professionnelle, services cloud, VPN). Un simple mot de passe peut être volé, mais avec la MFA, un cybercriminel n’aura pas le second facteur (code SMS, notification smartphone, etc.) pour accéder à vos comptes. Pour une informatique professionnelle et sécurité pour artisans et PME optimale, ces bases sont incontournables.
- Les mises à jour régulières : Assurez-vous que tous vos systèmes, logiciels et applications sont constamment à jour. Les mises à jour corrigent principalement les failles de sécurité. Un système non patché est une porte ouverte pour les attaquants. Activez les mises à jour automatiques quand c’est possible et vérifiez régulièrement que tout est à jour. Ces trois piliers – sauvegardes robustes, MFA et mises à jour – forment la base d’une posture de sécurité solide.
La deuxième mesure, tout aussi fondamentale, est l’implémentation de l’authentification multifacteur (MFA). Ce n’est plus une option, c’est une nécessité absolue pour tous les accès critiques : messagerie professionnelle, services cloud, VPN. Un simple mot de passe peut être volé ou deviné, mais avec la MFA, même si un cybercriminel obtient votre mot de passe, il lui manquera le second facteur (un code envoyé par SMS, une notification sur smartphone, etc.) pour accéder à vos comptes. C’est une barrière supplémentaire, très efficace, et facile à mettre en place pour la plupart des services utilisés par les PME et artisans. Pour une informatique professionnelle et sécurité pour artisans et PME optimale, ces bases sont incontournables. »
« Enfin, la troisième mesure est de s’assurer que tous vos systèmes, logiciels et applications sont constamment à jour. Les mises à jour ne sont pas juste là pour ajouter de nouvelles fonctionnalités ; elles corrigent principalement les failles de sécurité découvertes. Un système non patché est une porte ouverte pour les attaquants. Activez les mises à jour automatiques quand c’est possible, et vérifiez régulièrement que tout est bien à jour. Un bon pare-feu est essentiel, mais il ne peut pas compenser les vulnérabilités logicielles internes. Ces trois piliers – sauvegardes robustes, MFA et mises à jour – forment la base d’une posture de sécurité solide. »
« Quelles erreurs de sécurité vous surprennent encore chez des artisans ou commerçants ? »
Marc Delafont répond :
« Ce qui me surprend encore aujourd’hui, et cela malgré toutes les sensibilisations, c’est la persistance de certaines erreurs basiques, presque archaïques.
Voici les erreurs de sécurité les plus fréquentes :
- L’utilisation du même mot de passe pour plusieurs services (ou un mot de passe trop simple). C’est la plus dangereuse. Un seul piratage peut potentiellement tout compromettre si le même code est utilisé pour la messagerie, le site e-commerce et le compte bancaire professionnel. C’est une vulnérabilité énorme, pourtant facile à corriger avec un gestionnaire de mots de passe.
- Les sauvegardes non isolées : Ne faire des sauvegardes que sur la même machine ou un disque dur externe branché en permanence est une grave erreur. Si un rançongiciel chiffre votre serveur, il chiffrera aussi le disque dur externe connecté. L’idée est d’avoir une copie isolée de l’environnement de production.
- Les antivirus périmés ou absents : Découvrir des postes de travail avec des antivirus périmés depuis des années, ou sans antivirus du tout, est sidérant. C’est comme laisser la porte de son magasin grande ouverte la nuit. Les menaces évoluent si vite qu’un antivirus non mis à jour est pratiquement inutile.
- Le partage de sessions ou de comptes d’utilisateur : Plusieurs employés utilisant le même identifiant et mot de passe pour une application métier rend la traçabilité impossible en cas d’incident et affaiblit la sécurité globale. Chaque utilisateur devrait avoir son propre compte avec des droits d’accès limités à ses besoins. C’est une question de responsabilisation et de sécurité. »
Une autre erreur fréquente, directement liée aux sauvegardes que nous évoquions, est de ne faire des sauvegardes que sur la même machine ou un disque dur externe branché en permanence. Si un ransomware chiffre votre serveur, il chiffrera aussi le disque dur externe qui est connecté. L’idée de la sauvegarde est d’avoir une copie isolée de l’environnement de production. J’ai vu des commerçants perdre des années de comptabilité à cause de cette négligence. Le désespoir dans leurs yeux face à la perte de données est terrible à constater.
Je suis également sidéré de découvrir des postes de travail avec des antivirus périmés depuis trois ans, ou même sans antivirus du tout. C’est comme laisser la porte de son magasin grande ouverte la nuit. Les menaces évoluent si vite qu’un antivirus non mis à jour est pratiquement inutile. C’est une dépense minime pour une protection essentielle.
Enfin, et c’est un problème de comportement plus que technique, le partage de sessions ou de comptes d’utilisateur. Par exemple, plusieurs employés utilisant le même identifiant et mot de passe pour se connecter à une application métier. Cela rend la traçabilité impossible en cas d’incident et affaiblit la sécurité globale. Chaque utilisateur devrait avoir son propre compte avec des droits d’accès limités à ses besoins. C’est une question de responsabilisation et de sécurité. »
« Comment expliquer les enjeux de la cybersécurité à un chef d’entreprise non-technique ? »
Marc Delafont répond :
« Pour un chef d’entreprise qui n’est pas versé dans la technique, il est crucial d’utiliser des analogies concrètes, de parler son langage, celui du business.
Voici comment expliquer les enjeux de la cybersécurité :
- Utiliser des analogies concrètes : Je compare souvent la cybersécurité à la sécurité physique de leur commerce. “Laissez-vous la porte de votre magasin ouverte la nuit ? Non. Mettez-vous une serrure robuste ? Oui.” La cybersécurité, c’est la même chose pour leurs données. Utiliser un mot de passe “1234” ou ne pas avoir d’antivirus, c’est comme mettre une serrure factice sur une porte en carton. C’est une image qu’ils comprennent immédiatement.
- Insister sur le retour sur investissement (ROI) de la prévention : Je leur demande d’estimer le coût d’une journée d’inactivité forcée (manque à gagner, salaires, perte de réputation, pénalités). Une attaque par rançongiciel peut paralyser une PME pendant des jours, voire des semaines, avec un coût de reprise astronomique. Mettre quelques centaines ou milliers d’euros dans la prévention est dérisoire face aux dizaines de milliers que peut coûter une attaque réussie. C’est un investissement, pas une dépense.
- Mettre en évidence la protection de leur outil de travail : Je leur montre que les erreurs les plus courantes même chez les professionnels sont souvent des manquements aux bases. La protection de leurs données, c’est la protection de leur outil de travail, de leur réputation, et de leur capacité à continuer à servir leurs clients. La cybersécurité doit être perçue comme un pilier de la stratégie d’entreprise, au même titre que la gestion financière ou le développement commercial. »
J’insiste ensuite sur le retour sur investissement (ROI) de la prévention. Je leur demande d’estimer le coût d’une journée d’inactivité forcée : le manque à gagner, les salaires à payer pour des employés qui ne peuvent pas travailler, la perte de réputation auprès des clients, les pénalités éventuelles en cas de fuite de données personnelles. Une attaque par ransomware, par exemple, peut paralyser une PME pendant des jours, voire des semaines, et le coût de la reprise d’activité peut être astronomique, sans compter la rançon potentielle. Mettre quelques centaines ou milliers d’euros dans la prévention, c’est dérisoire face aux dizaines de milliers que peut coûter une attaque réussie. C’est un investissement, pas une dépense.
Je leur montre que les erreurs les plus courantes même chez les professionnels sont souvent des manquements aux bases, et que c’est là qu’il faut agir en priorité. Je mets en évidence que la protection de leurs données, c’est la protection de leur outil de travail, de leur réputation, et de leur capacité à continuer à servir leurs clients. Je ne leur parle pas de protocoles complexes, mais de l’impact direct sur leur chiffre d’affaires et leur pérennité. La cybersécurité doit être perçue comme un pilier de la stratégie d’entreprise, au même titre que la gestion financière ou le développement commercial. »
« Votre conseil numéro un pour une PME en 2026 ? »
Marc Delafont répond :
« Mon conseil numéro un, le plus sincère et actionnable pour une PME en 2026, serait de ne pas sous-estimer le facteur humain et d’investir massivement dans la sensibilisation et la formation continue de tous les collaborateurs. On peut avoir les meilleurs pare-feu, les antivirus les plus sophistiqués et les systèmes les plus à jour, si un employé clique sur un lien de phishing malveillant ou branche une clé USB infectée, tout peut s’écrouler. L’être humain reste le maillon le plus faible de la chaîne de sécurité, mais aussi le plus fort s’il est bien informé et formé.
Il ne s’agit pas de faire peur aux équipes, mais de les éduquer de manière ludique et régulière sur les menaces émergentes : comment reconnaître un email de phishing, l’importance des mots de passe robustes et uniques, les risques liés au Wi-Fi public, la nécessité de signaler tout comportement suspect. Une culture de la cybersécurité doit être insufflée à tous les niveaux de l’entreprise, du dirigeant au stagiaire. C’est un processus continu, pas une formation ponctuelle. Cela doit devenir un réflexe, une seconde nature.
De plus, cela implique aussi de bien définir les rôles et les responsabilités de chacun face à la sécurité des données. Qui est responsable des sauvegardes ? Qui gère les accès ? En responsabilisant chaque membre de l’équipe et en lui donnant les outils et les connaissances pour agir correctement, on crée une véritable ligne de défense collective. C’est un investissement en temps et en ressources qui rapporte énormément en termes de résilience face aux cybermenaces. C’est le pilier fondamental pour que toutes les autres mesures techniques puissent être efficaces. »
Pour les dirigeants qui souhaitent passer à l’action dès aujourd’hui, notre checklist de sécurité informatique rassemble 30 points concrets à vérifier. Pour un regard complémentaire à l’échelle d’un très petit commerce, découvrez le témoignage d’une commerçante du Pays de Retz sur sa cybersécurité au quotidien.
Cet entretien avec Marc Delafont illustre parfaitement l’urgence pour les PME et artisans côtiers d’intégrer la cybersécurité à leur stratégie quotidienne. Les conseils de ce technicien de proximité soulignent l’importance vitale de la prévention et de la sensibilisation face à des menaces grandissantes. En agissant proactivement, les entreprises locales peuvent non seulement se protéger, mais aussi garantir la pérennité de leur activité et la confiance de leurs clients, renforçant ainsi le tissu économique de la région. Marc Delafont incarne cette expertise locale, essentielle pour naviguer dans le complexe paysage de la sécurité numérique.