Un lundi matin, Sophie B. reçoit le message d'un « fournisseur » qui annonce, l'air de rien, un changement de coordonnées bancaires pour la prochaine facture. Le logo est correct, le ton est courtois, la demande paraît banale. Ce jour-là, ce n'est pas un pare-feu qui a protégé son cabinet fiduciaire : c'est une collaboratrice qui a décroché son téléphone pour vérifier auprès du vrai contact. La cybersécurité, dans une PME, est d'abord une affaire de tous — bien avant d'être une affaire d'informatique.
Pourquoi la cybersécurité est d'abord une affaire de tous
On imagine souvent la sécurité comme un rempart technique : un pare-feu, un antivirus, un prestataire qui « gère l'informatique ». Ces outils sont nécessaires, mais ils protègent une chose que les attaquants ne visent presque jamais en premier — les machines. Ce qu'ils visent, c'est une personne, un moment d'inattention, une habitude.
La plupart des attaques qui touchent une PME suisse commencent par un geste humain parfaitement ordinaire : cliquer sur un lien, ouvrir une pièce jointe, valider un virement, répondre à une demande urgente. C'est ce qu'on appelle l'ingénierie sociale : au lieu de forcer une porte technique, l'attaquant manipule la confiance, l'urgence ou la routine pour obtenir ce qu'il veut. Sa forme la plus courante est le hameçonnage (ou phishing) — un message qui se fait passer pour un interlocuteur légitime (un fournisseur, une banque, un collègue, la direction) afin de vous faire agir vite et sans réfléchir.
Dans un cabinet fiduciaire, cette réalité est particulièrement sensible. Les données qui transitent chaque jour — comptabilité, salaires, informations fiscales et bancaires de dizaines de clients — n'ont pas de prix pour un fraudeur. Et elles ne passent pas par le seul poste de l'informaticien : elles passent par la boîte mail de la personne à l'accueil, par le tableur partagé de la comptable, par le téléphone de l'associé qui valide un paiement entre deux rendez-vous. Chaque fonction manipule de l'information sensible, donc chaque fonction fait partie de la défense.
Le meilleur outil du monde ne remplace pas ce réflexe humain. Un message d'hameçonnage bien écrit passe les filtres si personne, au bout de la chaîne, ne prend une seconde pour douter. À l'inverse, une équipe qui sait hésiter au bon moment rattrape ce que la technique laisse passer. C'est pour cela que la sécurité relève d'abord de deux choses très peu techniques : les comportements de chacun au quotidien, et la gouvernance — c'est-à-dire les décisions simples que prend la direction pour organiser qui fait quoi, avec quelles règles.
Ce déplacement du regard change tout pour une petite structure. Tant qu'on voit la sécurité comme un problème d'informatique, on la délègue à un prestataire et on l'oublie — jusqu'au jour où quelque chose dérape. Dès qu'on la voit comme un problème d'organisation, elle rentre dans le champ de ce qu'une direction sait faire : fixer des règles, en parler à son équipe, décider qui valide quoi. Une PME n'a pas besoin d'un expert à demeure pour progresser ; elle a besoin que quelques bonnes habitudes deviennent la norme partagée. C'est rassurant, parce que cela met la sécurité à la portée de tous, sans jargon et sans investissement lourd.
Ce qu'il faut retenir
La technologie est nécessaire, mais elle ne suffit pas. Un pare-feu et un antivirus font leur part, mais ils ne décident pas à la place d'un collaborateur pressé. La sécurité réelle d'une PME se joue dans une suite de petites décisions humaines, tous les jours, à tous les étages.
La responsabilité est partagée — et c'est une bonne nouvelle. Si la sécurité était uniquement l'affaire du prestataire informatique, une PME sans service IT interne serait démunie. Or ce n'est pas le cas : les mesures les plus efficaces (vérifier, se parler, signaler) ne demandent ni budget ni compétence technique. Elles demandent une habitude collective, portée par la direction.
En Suisse, la loi attend précisément cela. La nLPD — la loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — demande à toute entreprise qui détient des données personnelles de prendre des mesures de sécurité « appropriées ». Ces mesures sont autant organisationnelles (des règles claires, des collaborateurs sensibilisés) que techniques. Autrement dit, la loi elle-même considère la cybersécurité comme une affaire de gouvernance, pas seulement d'informatique. Du côté des recommandations pratiques, l'Office fédéral de la cybersécurité (OFCS, aussi connu sous le sigle NCSC) publie régulièrement des conseils destinés aux PME : ils parlent, eux aussi, autant de réflexes humains que de réglages techniques.
Les gestes à installer cette semaine
Aucune de ces actions ne demande un budget, un logiciel ou l'intervention d'un prestataire. Elles demandent une décision de la direction et une conversation avec l'équipe.
1. Nommer un référent et le dire à voix haute
Désignez une personne — pas forcément la plus technique — comme point de contact « sécurité ». Son rôle n'est pas de tout savoir, mais d'être celle vers qui on se tourne en cas de doute : un message étrange, un appel qui semble faux, une clé USB trouvée sur le parking. Annoncez-le à toute l'équipe. Le simple fait de savoir à qui poser la question transforme un doute isolé en réflexe collectif. C'est le premier geste de gouvernance, et il est gratuit.
2. Instaurer la règle « je vérifie sur un autre canal »
Toute demande sensible reçue par écrit — changement de coordonnées bancaires, virement inhabituel, envoi urgent d'un document confidentiel — se vérifie par un second canal, choisi par vous et non par l'expéditeur. On raccroche et on rappelle le numéro connu ; on ne répond pas au mail, on téléphone. Cette règle tient en une phrase, s'applique à tout le monde, et neutralise l'essentiel des fraudes qui misent sur l'urgence. C'est exactement le réflexe qui a sauvé le cabinet de Sophie B.
3. Faire du signalement un réflexe, jamais une faute
Le pire ennemi de la sécurité, ce n'est pas l'erreur : c'est le silence qui la suit. Un collaborateur qui a cliqué sur un mauvais lien et qui le dit dans la minute permet de réagir ; celui qui a peur d'être blâmé laisse le problème grandir tout un week-end. Dites clairement, une fois, que signaler une erreur est un bon geste et non une bêtise à cacher. Cette phrase, prononcée par la direction, vaut plus que bien des outils. Pour l'ancrer, convenez d'un canal simple — un mot à l'oral, un message au référent — et remerciez systématiquement la personne qui signale, même quand l'alerte s'avère sans gravité. C'est ainsi qu'un réflexe s'installe : en le rendant confortable.
Où en êtes-vous vraiment ?
Ces trois réflexes relèvent de la sensibilisation et de la gouvernance — deux domaines où l'on ne sait souvent pas où l'on se situe tant qu'on ne s'est pas posé les bonnes questions. C'est précisément ce que propose l'auto-évaluation Cyber Passport : elle ne certifie rien et ne délivre aucun label ; elle vous montre, question après question, où votre organisation est solide et où elle repose encore sur la seule bonne volonté de chacun.
Parce que la cybersécurité restera toujours une affaire de tous, le vrai point de départ n'est pas d'acheter un outil de plus, mais de rendre visibles vos angles morts. Pour aller plus loin et bâtir un plan de sensibilisation concret, adapté à une PME suisse, notre blueprint dédié vous donne la marche à suivre, étape par étape.
