Face à des cybermenaces qui évoluent et se complexifient, comment les e-commerçants peuvent-ils renforcer la sécurité de leur activité et mieux anticiper les incidents ? Au-delà des outils technologiques, la connaissance des vulnérabilités, la maîtrise des fondamentaux et la préparation à la gestion de crise constituent des leviers essentiels. Lors de la conférence organisée par la FEVAD le 20 octobre 2026, trois experts ont partagé leurs éclairages sur les moyens de mieux protéger son activité. Retour sur les principaux enseignements de leurs échanges.
À lire également : retrouvez notre premier décryptage, « Cybermenaces et fraudes : pourquoi toute l’activité e-commerce est concernée », consacré à l’évolution des fraudes, à leurs conséquences sur la confiance des consommateurs et aux nouveaux enjeux liés à l’intelligence artificielle.
D’abord connaître ses vulnérabilités avant de multiplier les protections
La première étape d’une démarche de cybersécurité consiste à identifier ce que l’on doit protéger. Une évidence en apparence, mais qui peut représenter une difficulté importante pour des entreprises dont les systèmes d’information se sont développés et complexifiés au fil des années.
Baptiste Robert, hacker éthique et fondateur de Predicta Lab, a notamment rappelé que les vulnérabilités ne résultent pas nécessairement de failles techniques particulièrement sophistiquées. Elles peuvent aussi provenir du fonctionnement même d’une application, lorsque certains usages ou enchaînements d’actions n’ont pas été suffisamment anticipés lors de sa conception.
D’autres fragilités peuvent être liées à l’historique des systèmes : anciens sites ou sous-domaines encore accessibles, services qui ne sont plus utilisés, accès insuffisamment sécurisés ou environnements dont la maintenance n’est plus clairement assurée.
L’enjeu est donc de porter un regard critique sur son propre environnement numérique, y compris sur les systèmes qui fonctionnent en apparence correctement.
Pour les e-commerçants, cette vigilance prend une dimension particulière. Comme l’a souligné Romain Deslorieux, Field CTO EMEA chez Thales, les sites marchands présentent par nature une interface accessible au public, avec des flux importants et des interactions multiples. Leur protection doit ainsi tenir compte non seulement des systèmes internes, mais également des accès et des usages liés à la relation avec les clients.
Avant même d’envisager de nouvelles solutions, les entreprises doivent donc être en mesure de cartographier leurs actifs numériques, d’identifier les points d’accès et de comprendre leurs principales dépendances. La multiplication des outils de sécurité ne peut compenser une connaissance insuffisante du périmètre à protéger.
Ensuite renforcer les fondamentaux face à des risques toujours plus complexes
L’évolution des cybermenaces peut donner le sentiment que les entreprises doivent constamment adopter de nouvelles technologies pour maintenir leur niveau de protection. Pourtant, les échanges ont rappelé que les mesures de sécurité les plus fondamentales restent déterminantes.
Gaston Gautreneau, ingénieur expert au service de l’expertise technologique de la CNIL, a notamment évoqué plusieurs manquements récurrents constatés dans le cadre des contrôles : défauts d’authentification renforcée, droits d’accès insuffisamment encadrés ou encore manque de séparation entre certains environnements informatiques.
Ces difficultés illustrent un enjeu essentiel : la sécurité ne dépend pas uniquement de la sophistication des dispositifs déployés, mais aussi de leur mise en œuvre effective et de leur suivi dans la durée.
La maîtrise des accès constitue, à cet égard, un point de vigilance particulièrement important. Collaborateurs, prestataires et partenaires peuvent être amenés à intervenir sur différents systèmes. Il est donc nécessaire de s’assurer que chacun dispose d’un niveau d’accès adapté à ses besoins et que ces autorisations restent maîtrisées.
Autre enseignement : protéger ses systèmes ne suffit pas, encore faut-il être capable de détecter rapidement les comportements inhabituels. La surveillance des événements de sécurité et l’exploitation des informations disponibles jouent un rôle important pour identifier les anomalies et permettre une réaction adaptée.
Les échanges ont également souligné l’intérêt d’une approche globale, qui articule protection des accès, sécurisation des applications et surveillance des systèmes, plutôt qu’une accumulation de solutions indépendantes.
Pour les entreprises, il s’agit donc moins de rechercher une protection absolue que de hiérarchiser les risques et de concentrer les efforts sur les mesures les plus pertinentes au regard de leur activité et de leurs moyens.
Enfin anticiper les incidents pour mieux réagir lorsqu’ils surviennent
Même avec des dispositifs de prévention solides, aucune entreprise ne peut considérer le risque cyber comme totalement écarté. La capacité à gérer un incident constitue donc une dimension essentielle de la cybersécurité.
Pour illustrer cet enjeu, les intervenants ont été invités à réagir à une situation concrète : un e-commerçant découvre qu’une cyberattaque perturbe ses systèmes et pourrait avoir compromis des données clients. Comment réagir ?
Premier enseignement : la gestion d’un incident ne s’improvise pas. Baptiste Robert a insisté sur la nécessité d’adopter une méthode permettant de contenir la menace, de préserver les éléments utiles à l’investigation et de comprendre ce qui s’est produit avant d’engager les actions de remédiation.
Mais la réponse à une cyberattaque ne relève pas uniquement des équipes informatiques. Elle suppose également de mobiliser les bonnes personnes, de coordonner les décisions et de maintenir, autant que possible, les fonctions essentielles de l’entreprise. L’entraînement amont est donc un prérequis pour réagir efficacement quand l’incident survient.
Romain Deslorieux a par ailleurs souligné une difficulté souvent sous-estimée : comment appliquer ses procédures de gestion de crise lorsque les outils numériques habituels sont eux-mêmes indisponibles ? La préparation implique donc aussi de prévoir des moyens de communication alternatifs et de conserver certaines informations indispensables accessibles en dehors des systèmes potentiellement touchés.
Gaston Gautreneau a, de son côté, rappelé l’importance des exercices de crise, de la disponibilité des sauvegardes et de la vérification régulière de leur capacité de restauration.
Lorsqu’un incident implique des données personnelles, des obligations spécifiques peuvent également s’appliquer. Selon la nature de la violation et les risques encourus par les personnes, l’entreprise doit notamment être tenue de la notifier à la CNIL et d’en informer les personnes concernées. La gestion de crise doit donc intégrer dès le départ ses dimensions techniques, organisationnelles, juridiques et de communication.
L’objectif n’est pas seulement de savoir comment réagir le jour où une attaque survient, mais d’avoir préparé suffisamment de choses en amont pour pouvoir prendre les bonnes décisions malgré l’urgence et l’incertitude.
Enfin, les entreprises ne sont pas seules face à ces situations. Lors de son intervention en qualité de Grand Témoin, Jérôme Notin, directeur général de Cybermalveillance.gouv.fr, a rappelé l’existence de ressources de prévention et d’accompagnement, notamment le service public 17Cyber, qui permet aux particuliers comme aux professionnels d’obtenir un diagnostic et d’être orientés vers une assistance adaptée en cas de cybermalveillance.
Faire de la cybersécurité une démarche collective et continue
De la connaissance de ses vulnérabilités à la gestion d’un incident, les échanges ont mis en évidence une conviction commune : la cybersécurité ne repose pas uniquement sur des solutions techniques, mais sur une démarche continue de prévention, d’organisation et d’adaptation.
Elle nécessite l’implication des différentes fonctions de l’entreprise, mais aussi une coopération avec les experts et les acteurs institutionnels.
Dans un environnement où les menaces évoluent rapidement, l’enjeu pour les e-commerçants n’est pas de prétendre éliminer tout risque. Il est de renforcer leur capacité à anticiper, à détecter et à réagir, afin de mieux protéger leur activité et leurs clients.
Cybersécurité : une étude exclusive sur les cyberacheteurs
À l’occasion de cette conférence, la FEVAD a également présenté les résultats de son étude « Fraudes en ligne : perceptions et comportements des cyberacheteurs », réalisée avec Odoxa.
Cette enquête apporte un éclairage inédit sur la perception des risques, les expériences de fraude et leurs conséquences sur les comportements d’achat.
Cet article Face aux cybermenaces, comment mieux anticiper et sécuriser l’activité e-commerce ? est apparu en premier sur Fevad, la Fédération du e-commerce et de la vente à distance.