Un mardi matin, Sophie B. reçoit un e-mail qui semble venir d'un fournisseur habituel : nouveau relevé bancaire, à prendre en compte avant le prochain paiement. Rien d'alarmant, un collaborateur pressé aurait pu valider sans y penser. Dans sa fiduciaire, comme dans beaucoup de PME suisses, deux convictions rassurantes tiennent lieu de politique de sécurité : « mes collaborateurs savent faire attention » et « on a des sauvegardes ». Ce sont précisément ces deux fausses croyances cybersécurité qui laissent la porte entrouverte.
Deux fausses croyances cybersécurité qui reviennent dans chaque PME
Sophie B. dirige une fiduciaire : comptabilité, salaires et données fiscales de dizaines de clients transitent chaque jour par les boîtes mail de son équipe. Comme beaucoup de dirigeants, elle se rassure avec deux idées de bon sens. La première : « mes gens sont sérieux, ils repèrent une arnaque. » La seconde : « on fait une sauvegarde, on est couverts. »
Le problème n'est pas que ces phrases soient fausses. C'est qu'elles décrivent une intention, pas un dispositif. Une intention ne résiste ni à un e-mail piégé bien construit un jour de bouclement, ni à un disque qui lâche un vendredi soir. Regardons ces deux croyances de près, sans dramatiser : l'idée n'est pas de vous faire peur, mais de transformer deux vœux pieux en deux réflexes qui tiennent.
« Mes collaborateurs savent faire attention »
Commençons par lever un malentendu : se faire piéger n'est pas une question d'intelligence. Les attaques par hameçonnage (« phishing » — un e-mail, un SMS ou un appel qui imite un tiers de confiance pour vous pousser à cliquer, à payer ou à livrer un mot de passe) ne visent pas les naïfs. Elles visent le contexte. Et une fiduciaire offre le contexte idéal : des factures qui arrivent en continu, des délais fiscaux, des changements de coordonnées bancaires qui font partie du quotidien.
Le collaborateur le plus consciencieux clique parce que le message tombe au bon moment, dans le bon ton, sur le bon dossier. « Faire attention » suppose qu'on soit attentif tout le temps, de la même façon, pour tout le monde. Ce n'est pas un processus, c'est un état d'esprit — et un état d'esprit fatigue, se distrait, part en vacances.
Pour une fiduciaire, l'enjeu est particulier : ce qui transite, ce sont les comptes, les salaires et les données fiscales de clients qui vous font confiance. Un accès détourné, ce n'est pas seulement votre organisation qui est touchée, c'est le secret que vos clients vous ont confié. La hantise de Sophie B. n'est pas la panne informatique — c'est le coup de fil où elle doit annoncer à un client que ses données ont fuité.
La sensibilisation reste utile : une équipe qui sait à quoi ressemble une tentative de fraude en repère davantage. Mais elle s'use si on n'y revient jamais, et surtout elle ne devrait pas être le seul rempart. Derrière l'humain, il faut un filet technique : un filtrage des messages indésirables correct, et la double authentification (« MFA » — en plus du mot de passe, une deuxième preuve, par exemple un code sur le téléphone) sur les accès sensibles. L'Office fédéral de la cybersécurité (OFCS/NCSC), la référence suisse en la matière, recommande justement de combiner comportement et mesures techniques plutôt que de tout faire reposer sur la vigilance de chacun.
« Une sauvegarde par mois, c'est suffisant »
La deuxième croyance est plus sournoise, parce qu'elle a l'air responsable. « On fait des sauvegardes » : très bien. Mais deux questions se cachent derrière cette phrase, et ce sont elles qui comptent.
D'abord, à quelle fréquence ? Une sauvegarde (une copie de vos données rangée à part) faite une fois par mois signifie qu'un incident peut vous ramener quatre semaines en arrière. Pour une fiduciaire en pleine période de bouclement, c'est un mois d'écritures, de salaires et de déclarations à ressaisir — dans le meilleur des cas.
Ensuite, cette copie est-elle vraiment récupérable ? Une sauvegarde qu'on n'a jamais testée en restauration (l'opération qui consiste à remettre les données en service à partir de la copie) est une sauvegarde dont on ignore si elle fonctionne. Et si elle reste branchée en permanence au réseau, un rançongiciel (« ransomware » — un logiciel qui chiffre vos fichiers et réclame une rançon pour les rendre lisibles) la chiffrera en même temps que le reste. Vous croyez avoir un parachute ; il est dans l'avion qui brûle.
La bonne question n'est donc pas « est-ce qu'on sauvegarde ? » mais « combien de travail puis-je me permettre de perdre, et ai-je déjà essayé de tout remettre en route ? ». La nLPD (la loi suisse sur la protection des données) attend d'ailleurs d'une PME qui détient des données clients une sécurité « appropriée » — ce qui inclut la capacité à retrouver ces données après un incident.
Ce qu'il faut retenir
- La sécurité est un processus, pas une intention. « Faire attention » et « avoir des sauvegardes » ne sont des protections que si elles se traduisent en gestes répétables, vérifiés.
- L'humain est une couche parmi d'autres, pas le seul mur. On soutient la vigilance des équipes par un filet technique — filtrage, double authentification — pour qu'une seconde d'inattention ne coûte pas tout.
- Une sauvegarde ne compte que si elle est récente, testée et hors d'atteinte. Une copie jamais restaurée, ou reliée en permanence au réseau, est un faux sentiment de sécurité.
Les gestes à installer cette semaine
1. Transformer « faire attention » en réflexe partagé
Fixez une règle simple, connue de tous : tout changement de coordonnées bancaires ou toute demande de paiement inhabituelle se vérifie par un rappel sur un numéro déjà enregistré — jamais sur le contact indiqué dans le message. Rappelez-le à l'oral en cinq minutes lors d'un point d'équipe. C'est gratuit, et ça retire la décision de l'épaule d'une seule personne pressée.
2. Vérifier que vos sauvegardes existent vraiment — et tester une restauration
Posez-vous trois questions : mes données sont-elles copiées au moins chaque jour, une copie est-elle conservée hors ligne (déconnectée du réseau), et ai-je déjà réussi à restaurer un fichier ? Faites le test dès cette semaine sur un seul document : s'il revient intact, vous savez que le filet tient. S'il ne revient pas, vous venez d'éviter une très mauvaise surprise.
3. Ajouter un filet technique : la double authentification sur les accès sensibles
Activez la double authentification (MFA) sur les boîtes mail et l'accès aux outils qui contiennent des données clients. Sur une suite bureautique comme Microsoft 365, cela se fait sans prestataire et sans budget. Un mot de passe volé ne suffit alors plus à ouvrir la porte.
Où en êtes-vous vraiment ?
Ces trois gestes touchent à la sensibilisation et à l'hygiène de base — deux domaines que passe en revue l'auto-évaluation Cyber Passport. Elle ne certifie rien : elle vous montre, question après question, où votre organisation est solide et où elle repose encore sur la confiance et le « on a toujours fait comme ça ». C'est souvent en répondant à ces questions que ces fausses croyances cybersécurité deviennent visibles — et donc corrigeables.
Cet article est la deuxième étape d'une série en cinq parties consacrée aux idées reçues qui coûtent cher aux PME. Pour aller plus loin sur le premier de ces deux angles, notre blueprint « Sensibilisation des équipes » déroule le plan complet : formats courts, rythme annuel, mesure des progrès et intégration des nouveaux arrivants, avec des modèles prêts à l'emploi que vous n'avez plus qu'à adapter.
