En 2026, 47 % des entreprises françaises ont subi une cyberattaque significative dans l'année. Pour une TPE ou une PME à Montpellier, Vendargues ou Castries, la question n'est plus « est-ce que ça peut m'arriver ? » mais « quand et comment je m'y prépare ? ».
Wesud accompagne les structures de 5 à 100 personnes en Hérault et dans le Gard pour mettre en place les fondations d'une cybersécurité solide, sans complexité ni sur-équipement inutile, avec un budget maîtrisé et une intervention rapide en cas d'incident.
Pourquoi un audit cybersécurité s'impose en 2026
Les TPE/PME sont devenues la cible numéro un des cybercriminels, moins protégées que les grands comptes, mais riches en données monnayables. Le coût moyen d'un ransomware en France atteint 50 000 € pour une PME, sans compter les pertes d'exploitation et l'atteinte à la réputation.
Un audit cybersécurité permet de :
- •Cartographier les actifs sensibles (données client, RH, comptabilité)
- •Identifier les vulnérabilités techniques et organisationnelles
- •Prioriser les actions par niveau de risque et coût
- •Construire un plan d'action réaliste sur 6-12 mois
Notre méthodologie en 4 étapes
- Audit initial gratuit (demi-journée) : inventaire du SI, scan des vulnérabilités, entretien dirigeant
- Plan d'action priorisé : rapport avec recommandations classées par criticité et budget
- Mise en place des socles : MFA, antivirus EDR, sauvegardes 3-2-1, sensibilisation
- Suivi continu : revues mensuelles, tableau de bord, gestion des incidents
Audit de sécurité informatique : déroulé et livrables
L'audit de sécurité informatique à Montpellier se déroule sur site, en une demi-journée : un temps technique sur votre parc, un entretien avec le dirigeant. Nous regardons ce qui tourne réellement, pas ce qui est censé l'être.
Ce que nous examinons
- •Les postes : mises à jour, antivirus réellement actif, droits administrateur, chiffrement des portables
- •Les comptes : MFA sur Microsoft 365 ou Google Workspace, comptes d'anciens salariés actifs, mots de passe partagés
- •Les sauvegardes : ce qui est sauvegardé, où, à quelle fréquence, et si une restauration a déjà été testée
- •Le réseau et les serveurs : pare-feu, ports ouverts, wifi visiteurs, accès distants, NAS exposé, systèmes en fin de support
- •Les données personnelles : registre des traitements, sous-traitants, durées de conservation
- •L'organisation : qui fait quoi en cas d'incident, validation des virements, sensibilisation
Ce que vous recevez à la fin
- •Un rapport écrit des vulnérabilités constatées, classées par criticité
- •Une cartographie du SI : postes, serveurs, services cloud, données sensibles
- •Un plan d'action priorisé : à corriger tout de suite, à planifier, ou à budgéter
- •Le chiffrage des actions recommandées, pour arbitrer sur des chiffres
- •Une restitution orale au dirigeant, sans jargon
Les domaines couverts
Authentification forte (MFA)
Activation du MFA sur tous les comptes critiques (Microsoft 365, Google Workspace, banques, RH). Gain immédiat : -99,9 % du risque de compromission selon Microsoft. Mise en place : 1 à 2 jours pour une PME de 20 personnes.
Antivirus managé (EDR)
Bitdefender GravityZone, SentinelOne ou CrowdStrike, antivirus de nouvelle génération qui détecte les comportements suspects et pas seulement les signatures connues. Supervisé par nos soins, alertes en temps réel.
Sauvegardes 3-2-1 immuables
Trois copies, deux supports différents, une copie hors-site. Chiffrées et immuables, c'est-à-dire qu'un ransomware ne peut pas les modifier. Test trimestriel de restauration inclus (la sauvegarde non testée n'existe pas).
Sensibilisation au phishing
Campagnes de faux phishing trimestrielles auprès de vos équipes, debrief individuel, formation des cas qui ont mordu. Le phishing reste la porte d'entrée n°1 (62 % des incidents PME en 2026).
RSSI externalisé
Peu de PME ont besoin d'un RSSI salarié, mais toutes ont besoin de quelqu'un qui porte le sujet dans la durée. Le RSSI externalisé à Montpellier tient le plan d'action, arbitre les priorités, prépare les revues de direction et sert de contact en cas d'incident. Voir externaliser sa cybersécurité : le bon choix ?.
Conformité RGPD et NIS2
Registre des traitements, politique de confidentialité conforme, procédure en cas de fuite (notification CNIL sous 72h), analyse d'impact pour les traitements sensibles. Préparation à NIS2 pour les structures concernées.
La conformité NIS2 des PME tient à des mesures concrètes : gestion des accès, sauvegardes éprouvées, procédure d'incident écrite, sécurité de la sous-traitance, et preuve que tout cela existe. Beaucoup de TPE/PME ne sont pas assujetties mais le deviennent par contrat, leur donneur d'ordre imposant les mêmes exigences.
Pour quels secteurs ?
- •Cabinets professionnels (avocats, experts-comptables, médecins, notaires)
- •Commerces de proximité avec systèmes de paiement
- •TPE BTP et leurs systèmes de devis/facturation
- •Sous-traitants d'ETI (effet « porte d'entrée »)
- •Associations gérant des données sensibles
Pour qui ?
Cabinets médicaux et données de santé
Les données de santé sont sensibles au sens du RGPD : une fuite impose une notification à la CNIL sous 72 heures, avec des sanctions pouvant atteindre 4 % du chiffre d'affaires annuel. Priorités : MFA sur la messagerie, verrouillage du poste de secrétariat, sauvegarde testée du logiciel métier.
Experts-comptables et cabinets de gestion
Vous concentrez les données financières de dizaines d'entreprises : cible à fort rendement. Scénario type : un email imitant DocuSign, des identifiants Microsoft 365 capturés, une boîte mail lue pendant des jours. Priorités : MFA généralisé, filtrage anti-phishing, détection des règles de transfert, double validation des RIB.
Cabinets d'avocats et professions du droit
Le secret professionnel ne s'arrête pas au dossier papier : chiffrement des portables, gestionnaire de mots de passe, cloisonnement des dossiers, transfert de pièces sans service grand public, coupure des accès dès un départ.
Commerces et points de vente
Caisse, terminal de paiement, wifi client et poste de gestion partagent souvent le même réseau et le même mot de passe : nous séparons les usages et isolons le wifi visiteurs.
Associations
Peu de moyens, beaucoup de bénévoles, des comptes partagés et des données parfois sensibles (adhérents, bénéficiaires, dons). L'objectif : un niveau correct à budget contraint, avec comptes nominatifs, MFA et sauvegarde testée.
Zones d'intervention
Wesud est une entreprise de cybersécurité basée à Montpellier et intervient sur site dans toute l'agglomération : Vendargues, Castries, Mauguio, Saint-Brès, Lattes, Pérols, Baillargues, Le Crès. Nous couvrons l'Hérault et le Gard, et l'Occitanie pour les structures de 30 personnes et plus.
Le durcissement et la supervision se font à distance ; l'audit, les socles et les crises se traitent sur place. Voir aussi notre page dépannage à Lattes.
Comment se passe la mise en place
- Premier échange par téléphone ou visio : votre contexte, vos outils, ce qui vous inquiète.
- Audit initial sur site, une demi-journée, puis remise du rapport et du plan d'action.
- Devis sous 48 h ouvrées : périmètre écrit, ce qui est inclus, ce qui ne l'est pas.
- Planification : les opérations qui coupent un service sont programmées hors heures d'activité.
- Déploiement par lots : MFA et sauvegardes d'abord, puis l'EDR, les accès et le réseau.
- Accompagnement des équipes : une session courte sur ce qui change et la conduite à tenir face à un mail suspect.
- Documentation et remise des accès : inventaire, configurations, comptes administrateurs, dont vous restez propriétaire.
- Suivi : revues mensuelles, tableau de bord, faux phishing et tests de restauration trimestriels.
Ce qui est inclus / ce qui ne l'est pas
Inclus
- •L'audit initial, son rapport écrit et la restitution au dirigeant
- •Le déploiement des socles : MFA, EDR, sauvegardes 3-2-1 immuables, durcissement des droits
- •La supervision et le traitement des alertes de l'EDR
- •Les campagnes de sensibilisation au phishing et leur débrief
- •Les revues de suivi, le tableau de bord et la mise à jour du plan d'action
- •La documentation RGPD : registre des traitements, procédure CNIL, dossier d'assurance
- •La documentation de votre environnement et la réversibilité : tout vous est remis si vous partez
Non inclus, ou facturé à part
- •Les licences éditeurs (EDR, sauvegarde, messagerie, mots de passe), à votre nom et refacturées au prix éditeur
- •Le matériel : pare-feu, NAS, postes de remplacement, supports de sauvegarde
- •La remédiation après incident, si une attaque est déjà en cours
- •La sécurisation applicative d'un logiciel métier tiers : nous coordonnons avec l'éditeur sans modifier son produit
- •La certification formelle (ISO 27001, HDS) : nous préparons le terrain, l'audit relève d'un organisme accrédité
Combien coûte la cybersécurité pour une PME ?
Pas de tarif unique en cybersécurité PME à Montpellier : deux entreprises de 20 personnes partent rarement du même point. L'une a déjà Microsoft 365 avec MFA et une sauvegarde testée, l'autre un serveur en fin de support. Trois variables fixent le budget :
- •Le nombre de postes et de comptes, qui pilote le coût des licences
- •L'état constaté à l'audit : plus la dette technique est ancienne, plus la remise à niveau est lourde
- •Le niveau de suivi souhaité, jusqu'au RSSI externalisé
Le bon repère reste le coût de l'incident : 50 000 € en moyenne pour un ransomware en PME, hors pertes d'exploitation. À l'autre bout, un RSSI salarié représente 65 000 à 95 000 € brut chargé par an.
Tarifs indicatifs
Chaque entreprise part d'un existant différent. Plutôt qu'une grille standard, nous chiffrons après l'audit initial, qui lui est toujours gratuit.
- •Audit initial : gratuit (demi-journée)
- •Mise en place des socles : forfait unique, chiffré après l'audit
- •Suivi RSSI externalisé : abonnement mensuel selon le volume de jours
- •Intervention d'urgence : tarif horaire annoncé avant l'intervention
Devis personnalisé après l'audit gratuit, sans engagement, remis sous 48 h ouvrées.
Questions fréquentes
L'audit gratuit est-il vraiment sans engagement ?
Quel délai pour sécuriser une PME de 20 personnes ?
Faut-il être basé à Montpellier pour travailler avec Wesud ?
Quelle différence entre un antivirus classique et un EDR ?
Un audit est-il utile si nous sommes déjà sur Microsoft 365 ?
Wesud est-il certifié ANSSI ?
Ma PME est-elle concernée par NIS2 ?
Que se passe-t-il si nous sommes attaqués pendant le contrat ?
Pour aller plus loin
- •Les 5 attaques cyber qui visent les PME de l'Hérault et comment s'en prémunir.
- •RGPD : vos droits et les obligations des entreprises, le socle réglementaire qui accompagne toute démarche de sécurité.
- •IA générative en PME : les 5 risques à éviter, parce que la fuite de données passe aussi par les outils du quotidien.
- •Ransomware en PME : que faire les 6 premières heures, la procédure à connaître avant d'en avoir besoin.
Services complémentaires
- •Dépannage & réparation, intervention rapide en cas d'incident
- •Infogérance & support, supervision continue de votre parc IT
- •Cloud & sauvegarde, hébergement souverain et sauvegardes 3-2-1
- •Création de site web, sites pros sécurisés et optimisés SEO
Vous voulez un audit cybersécurité gratuit de votre PME à Montpellier ou en Hérault ?
Audit gratuit