Un client important écrit à Sophie B. : avant de renouveler son mandat, il aimerait comprendre « comment vous protégez mes données ». Associée gérante d'une fiduciaire romande, Sophie sait ses dossiers sensibles — salaires, déclarations fiscales, coordonnées bancaires de dizaines de PME clientes — mais elle réalise qu'elle serait bien en peine de répondre. L'informatique, jusqu'ici, « c'est le prestataire qui gère ». Par où commencer quand on n'est ni informaticien ni grande entreprise ?
La cybersécurité d'une PME, c'est une question de données, pas de taille
La première idée à évacuer, c'est celle que Sophie s'est répétée pendant des années : « nous sommes trop petits pour intéresser qui que ce soit ». C'est faux, et pour une raison rassurante à comprendre. La grande majorité des attaques ne visent personne en particulier. Ce sont des campagnes automatisées qui balaient l'internet et s'arrêtent là où une porte est mal fermée. L'attaquant ne connaît pas le nom de votre entreprise : il connaît la valeur de ce qu'il trouve.
Or une fiduciaire concentre exactement ce qui se monnaie : des coordonnées bancaires, des salaires, des identités, des accès à des comptes tiers. Ce n'est pas votre chiffre d'affaires qui vous rend intéressant, c'est votre carnet de données. Et cette valeur est la même que vous soyez quatorze ou quatre cents.
Le deuxième réflexe à corriger, c'est de croire que la sécurité vit ailleurs, chez « le prestataire ». Un prestataire externe fait fonctionner les machines ; il n'a pas mandat pour décider qui, dans votre équipe, a le droit d'accéder à quel dossier, ni pour vérifier chaque mois que vos sauvegardes tiennent. La sécurité n'est pas une prestation qu'on achète une fois : c'est une posture qui s'entretient. Tant qu'elle n'appartient explicitement à personne, elle n'appartient à personne.
Deux mots reviennent souvent et méritent d'être posés simplement. L'hameçonnage (phishing) est un courriel ou un SMS qui imite un expéditeur de confiance — une banque, un fournisseur, un collègue — pour vous faire cliquer, payer ou livrer un mot de passe. Le rançongiciel (ransomware) est un programme qui chiffre vos fichiers et réclame une rançon pour les rendre lisibles ; il entre le plus souvent par un simple clic. Ces deux menaces représentent l'essentiel de ce qui touche réellement les PME, et aucune ne demande d'être une cible désignée.
Enfin, il y a un cadre à connaître, pas pour s'en effrayer mais pour se situer. Depuis septembre 2023, la nouvelle loi suisse sur la protection des données (nLPD) attend de toute organisation qui traite des données personnelles qu'elle prenne des mesures de sécurité « appropriées » et qu'elle annonce une violation grave au Préposé fédéral à la protection des données (PFPDT). La nLPD ne vous impose pas un logiciel précis ; elle vous rend responsable d'avoir réfléchi et agi à la hauteur de la sensibilité de vos données. Pour Sophie, dont les dossiers touchent au secret des affaires de ses clients, c'est un bon aiguillon : commencer, c'est déjà répondre à cette attente.
Bonne nouvelle : vous n'êtes pas seul face à ces questions. L'Office fédéral de la cybersécurité (OFCS, aussi appelé NCSC) publie des recommandations concrètes pensées pour les PME suisses, en français, gratuites et régulièrement mises à jour. C'est la première ressource officielle vers laquelle se tourner quand un doute technique surgit — plutôt que le premier article venu. Se situer, c'est aussi savoir où trouver une information de confiance.
Ce qu'il faut retenir
Trois idées suffisent à changer de posture, avant même la première mesure technique.
- Vous êtes une cible à cause de ce que vous détenez, pas de votre taille. Les données d'une PME de services valent de l'argent immédiatement, et les attaques ne trient pas par effectif.
- La sécurité est une habitude, pas un achat. Quelques gestes bien tenus couvrent la plus grande partie du risque courant. Il ne s'agit pas de tout blinder d'un coup, mais de fermer d'abord les portes les plus utilisées.
- On commence sans budget ni informaticien. Les tout premiers pas sont d'ordre organisationnel : savoir ce qu'on protège, et qui y accède. C'est gratuit, et c'est le socle de tout le reste.
Autrement dit, « par où commencer » n'est pas une question de moyens. C'est une question d'ordre : faire les bonnes choses dans le bon ordre, en partant du plus simple et du plus rentable.
Les gestes à installer cette semaine
Trois actions, réalisables sans compétence technique et sans dépense. Elles ne règlent pas tout — c'est justement le point de départ d'une feuille de route.
1. Faire l'inventaire de ce qui compte vraiment
On ne protège bien que ce qu'on a nommé. Prenez une feuille et listez, sans outil, les trois ou quatre choses dont la perte ou la fuite serait la plus grave : le logiciel comptable, la messagerie, les dossiers clients, l'accès à la banque en ligne. Pour chacune, notez une seule information : qui, dans l'équipe, peut y accéder aujourd'hui ? Cet exercice d'une heure révèle presque toujours des surprises — un compte partagé que tout le monde utilise, un accès resté ouvert pour un collaborateur parti, un dossier sensible posé sur un espace visible de tous. Vous ne corrigez rien encore : vous rendez visible ce qui était flou. C'est la carte sans laquelle aucune suite n'a de sens.
2. Activer la double authentification (MFA)
La double authentification (MFA, pour multi-factor authentication) ajoute au mot de passe une seconde preuve — le plus souvent un code sur votre téléphone ou une validation dans une application. Concrètement, même si quelqu'un devine ou vole votre mot de passe, il ne peut pas entrer sans votre téléphone. C'est, à effort quasi nul, la mesure qui bloque le plus grand nombre d'intrusions. Commencez par le compte le plus exposé : la messagerie professionnelle, porte d'entrée de presque tout le reste. La plupart des services l'activent en quelques minutes dans les réglages de sécurité, sans rien installer d'autre. Étendez-la ensuite, un compte après l'autre, aux accès sensibles.
3. Poser la bonne question sur vos sauvegardes
« On a des sauvegardes » est une phrase que Sophie a entendue mille fois, sans jamais avoir vu la preuve qu'elles fonctionnent. Le geste de la semaine n'est pas de tout reconfigurer, c'est de poser trois questions à votre prestataire — et d'obtenir une réponse écrite. Où sont mes sauvegardes ? À quand remonte la dernière restauration testée ? Combien de temps faudrait-il pour récupérer mes dossiers si tout était perdu demain matin ? Une sauvegarde qu'on n'a jamais réussi à restaurer n'est pas une sauvegarde, c'est une supposition. Cette simple conversation vous dira où vous en êtes vraiment, sans que vous ayez à toucher un seul réglage.
Où en êtes-vous vraiment ?
Ces trois gestes sont un début, pas un plan. Ils ferment les portes les plus fréquentes, mais la vraie question de Sophie — dans quel ordre traiter la suite, sur les prochains mois, et jusqu'où aller — appelle une feuille de route. C'est précisément ce que ne contient pas un article : le détail du « comment », étape par étape, avec les priorités et les points de contrôle, vit dans le blueprint dédié.
Avant d'y arriver, encore faut-il savoir où vous en êtes. L'auto-évaluation Cyber Passport vous montre, question par question, où votre organisation est solide et où elle repose sur la confiance ou l'habitude. Elle ne certifie rien et ne vous déclare conforme à rien : elle structure un état des lieux honnête, que vous pouvez partager avec un client ou un auditeur qui vous demande, comme à Sophie, « comment protégez-vous mes données ? ». Commencer la cybersécurité d'une PME, ce n'est pas tout résoudre en une semaine — c'est se donner une carte, puis avancer dans le bon ordre.
