Il y a deux ans, Daniel A. a fait basculer la messagerie et les dossiers partagés de son atelier d'usinage vers le cloud. « Au moins, c'est chez un grand fournisseur, ce sont eux qui gèrent la sécurité », s'était-il dit, soulagé de ne plus avoir un vieux serveur qui ronronne dans un placard. Jusqu'au matin où un lien de partage resté ouvert a exposé un plan technique à quiconque disposait de l'adresse — et où Marc K., son référent informatique à mi-temps, a dû lui expliquer que non, ce n'était pas au fournisseur de refermer ce lien.
La responsabilité partagée dans le cloud, en clair
Le cloud, ce n'est pas magique : ce sont simplement des serveurs hébergés par un fournisseur — Microsoft, Google, un hébergeur suisse — auxquels on accède par Internet, au lieu d'avoir sa propre machine chez soi. Quand une PME met ses e-mails, ses fichiers ou son logiciel de production « dans le cloud », elle ne transfère pas toute la sécurité au fournisseur. Elle entre dans un partage des rôles que le métier appelle la responsabilité partagée : le fournisseur sécurise l'infrastructure, vous sécurisez vos accès et vos données.
Le plus simple est d'imaginer un coffre à la banque. La banque garantit les murs, la porte blindée, les alarmes, la surveillance du bâtiment. Mais c'est vous qui choisissez le code, qui décidez à qui vous confiez une clé, et qui rangez vos documents à l'intérieur. Si vous laissez la clé sur le comptoir, la banque n'y est pour rien. Le cloud fonctionne exactement comme ça.
Le fournisseur prend en charge tout ce qui est « en dessous » : les centres de données, l'électricité, le matériel, la maintenance des serveurs, la protection physique des lieux. C'est colossal, et aucune PME ne pourrait faire aussi bien toute seule. Mais tout ce qui est « au-dessus » reste chez vous : qui possède un compte, avec quel mot de passe, qui peut voir quel dossier, ce que vous partagez à l'extérieur, et ce que vous faites de vos propres copies de sauvegarde.
Cette ligne de partage se déplace un peu selon le service. Quand vous louez seulement de la puissance de calcul brute — ce que le secteur appelle l'IaaS, « l'infrastructure à la demande » —, vous gérez presque tout ce qui tourne dessus. Quand vous utilisez un logiciel clé en main, comme une messagerie ou une suite bureautique — le SaaS, « le logiciel en tant que service » —, le fournisseur en gère davantage. Mais une constante ne bouge jamais : vos comptes, vos droits d'accès et vos données ne sont, dans aucun cas de figure, la responsabilité du fournisseur.
Le malentendu de Daniel A. est le plus répandu de tous les malentendus cloud. « C'est chez un grand fournisseur » rassure sur la solidité du coffre — pas sur la clé qu'on a laissée traîner sur le comptoir. Et dans les faits, la très grande majorité des incidents cloud ne viennent pas d'un piratage des serveurs du fournisseur, mais d'un réglage laissé de côté : un partage trop ouvert, un compte oublié, une deuxième vérification jamais activée.
L'Office fédéral de la cybersécurité (OFCS, aussi connu sous le sigle NCSC) publie des recommandations pratiques pour les PME qui vont exactement dans ce sens : le cloud est une bonne décision, à condition de savoir ce qui vous revient. Les référentiels reconnus comme l'ISO 27001:2022 — la norme que citent souvent les grands donneurs d'ordre, y compris dans l'horlogerie — décrivent eux aussi ces mesures d'accès et de protection des données comme relevant du client, jamais uniquement du prestataire. Autrement dit : le jour où un client vous demandera comment vous protégez ses plans dans le cloud, la bonne réponse ne sera pas « c'est le fournisseur qui gère », mais la liste de ce que vous, vous avez mis en place.
Ce qu'il faut retenir
- Le fournisseur sécurise l'infrastructure, vous sécurisez vos accès et vos données. C'est la phrase à afficher au-dessus de l'écran. Le cloud ne supprime pas votre part de sécurité ; il la déplace vers ce que vous contrôlez directement — les comptes, les droits, le partage.
- La plupart des incidents cloud viennent d'un réglage, pas d'un exploit. Un lien de partage trop ouvert, un compte sans deuxième vérification, un ancien collaborateur encore actif : ce sont vos réglages, donc votre responsabilité. La bonne nouvelle, c'est que ce sont aussi les plus faciles et les moins coûteux à corriger.
- En Suisse, la loi vous considère comme responsable. La nLPD — la nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — tient l'entreprise pour responsable des données qu'elle détient, même lorsqu'elles sont hébergées ailleurs. Confier ses données à un fournisseur ne transfère pas cette responsabilité. Vos données métier peuvent être hébergées en Suisse si vous le demandez, mais c'est à vous de le vérifier au contrat, pas au fournisseur de le deviner.
Les gestes à installer cette semaine
1. Faites la liste de qui a accès à quoi
Ouvrez votre espace cloud principal — messagerie et fichiers partagés — et regardez, sans aucun outil spécial, qui possède un compte et qui a accès aux dossiers sensibles : chez Daniel A., ce sont les plans d'usinage confiés par les clients. Vous y trouverez presque toujours le compte d'un ancien collaborateur toujours actif, ou un dossier « visible par toute l'entreprise » qui ne devrait pas l'être. Fermez ce qui n'a pas de raison d'être ouvert. C'est gratuit, ça ne demande pas d'informaticien, et c'est le geste qui élimine le plus de risque en une seule matinée.
2. Activez la double authentification sur les comptes
La double authentification (MFA) ajoute, en plus du mot de passe, une deuxième preuve — le plus souvent un code ou une confirmation sur votre téléphone. Un mot de passe volé ne suffit alors plus pour entrer. Activez-la en priorité sur les comptes de direction et sur ceux qui touchent aux paiements et aux données clients. C'est le réglage qui, à lui seul, bloque la grande majorité des intrusions par mot de passe volé, et la plupart des fournisseurs cloud le proposent sans surcoût.
3. Reprenez la main sur vos partages et vos sauvegardes
Passez en revue les liens de partage « accessibles à toute personne disposant du lien » : remplacez-les par des partages nominatifs, avec une date d'expiration quand c'est possible. Puis posez-vous la question que Marc K. se pose toujours trop tard : si un dossier cloud est supprimé ou chiffré par erreur, sait-on le récupérer ? Le fournisseur garantit le bon fonctionnement de ses serveurs, pas nécessairement une copie de vos fichiers effacés au-delà de quelques jours. Une sauvegarde qui vous appartient — une copie de vos données que vous contrôlez — reste votre filet de sécurité.
Où en êtes-vous vraiment ?
La responsabilité partagée n'est pas une contrainte de plus : c'est une clarification. Une fois qu'on sait où passe la ligne — le fournisseur pour l'infrastructure, vous pour les accès et les données —, la sécurité du cloud d'une PME redevient une liste de réglages maîtrisables, et non un sujet réservé aux grands groupes avec un service informatique entier.
Reste une question honnête : sur cette ligne de partage, où en êtes-vous vraiment ? L'auto-évaluation Cyber Passport ne certifie rien et ne promet aucune conformité : elle vous montre, point par point, ce qui relève de vous dans votre cloud, ce qui est déjà en place et ce qui repose encore sur un « je pensais que c'était géré ». C'est le point de départ pour reprendre la main — sans jargon, et sans y passer vos soirées.
