Qu'est-ce que l'EASM ? Le guide simple pour les PME
Votre entreprise a un site web. Probablement aussi une messagerie, un VPN, un espace client, un ancien site de test que personne n'a éteint, et quelques services cloud ouverts par un prestataire. Tout cela est visible depuis Internet — donc visible par un attaquant. L'ensemble de ces éléments s'appelle votre surface d'attaque externe.
EASM : définition en une phrase
L'EASM (External Attack Surface Management, ou gestion de la surface d'attaque externe) consiste à découvrir, inventorier et surveiller en continu tout ce que votre entreprise expose sur Internet, en se plaçant du point de vue d'un attaquant — c'est-à-dire de l'extérieur, sans rien installer sur vos machines.
Pourquoi c'est un sujet pour une PME ?
Parce que les attaquants ne choisissent pas leurs cibles au mérite : leurs outils scannent Internet en permanence et frappent ce qui est mal fermé, quelle que soit la taille de l'entreprise. Et parce que la surface d'attaque grandit toute seule :
- Le shadow IT : un serveur de test, un outil SaaS ouvert par un collaborateur, un sous-domaine oublié après un projet.
- Les prestataires : agences web, infogéreurs et intégrateurs créent des accès et des environnements que vous ne voyez pas toujours.
- Le temps : un service sûr en 2023 peut être vulnérable en 2026 si personne ne l'a mis à jour.
Concrètement, que fait un outil d'EASM ?
- Découverte — à partir de votre simple nom de domaine, il retrouve vos sous-domaines, adresses IP, services exposés, certificats, technologies utilisées.
- Inventaire — il classe ces actifs et détecte ce qui pose problème : port ouvert inutile, version obsolète, certificat expiré, fichier sensible accessible.
- Surveillance continue — il rescanne régulièrement et vous alerte quand quelque chose de nouveau apparaît ou change.
EASM seul ne suffit pas : l'importance de la corrélation
Un port ouvert n'est pas forcément grave. Un mot de passe qui fuite non plus. Les deux ensemble, si : c'est un chemin d'attaque. C'est pourquoi Artifhack croise l'exposition externe avec la détection de fuites de données et la veille sur les data breaches, pour produire un score de corrélation : au lieu de 400 alertes, vous voyez les 3 scénarios qu'un attaquant exploiterait réellement, dans l'ordre de priorité.
Par où commencer ?
- Listez ce que vous croyez exposer (sites, messagerie, VPN, outils métiers).
- Faites un premier scan externe pour confronter cette liste à la réalité.
- Fermez ou mettez à jour ce qui n'a pas de raison d'être exposé.
- Mettez en place une surveillance continue : la surface d'attaque change chaque semaine.
Pour aller plus loin : recommandations d'hygiène informatique de l'ANSSI (cyber.gouv.fr) · rapport IBM « Cost of a Data Breach ».