Sophie B. dirige une petite fiduciaire de Suisse romande. Le mois dernier, son prestataire informatique lui a proposé un outil de sécurité « dernier cri », devis à quatre chiffres à l'appui, et elle a signé, un peu rassurée. Puis un doute l'a rattrapée un soir : sait-elle seulement quelles données elle protège, et où elles se trouvent vraiment ?
Pourquoi les fondations de la cybersécurité comptent plus que les outils
Cette question, beaucoup de dirigeants de PME l'esquivent. On achète un pare-feu, un antivirus, parfois une prestation de surveillance, et on se dit qu'on a « fait de la cybersécurité ». C'est rassurant, c'est concret, ça se met dans un budget. Mais sans quelques fondations posées en amont, ces outils protègent une maison dont la porte ne ferme pas à clé.
Or une fiduciaire ne manipule pas des données anodines. Comptabilité, salaires, déclarations fiscales, coordonnées bancaires de dizaines de PME clientes : c'est le cœur du secret professionnel, et la première chose qu'un attaquant cherche à monnayer ou à prendre en otage. Face à ça, l'erreur la plus courante n'est pas de manquer d'un outil sophistiqué — c'est de ne pas avoir posé les bases qui donnent un sens à cet outil.
En clair : un logiciel de sécurité performant branché sur une organisation qui partage ses mots de passe, ne teste jamais ses sauvegardes et n'a jamais fait l'inventaire de ses données, c'est une alarme dernier cri sur une porte laissée ouverte. Camille, notre conseillère cyber, le résume ainsi : « La technologie amplifie ce qui existe déjà. Quand les fondations manquent, elle amplifie surtout le désordre. »
La nLPD — la nouvelle loi suisse sur la protection des données, en vigueur depuis septembre 2023 — ne demande d'ailleurs pas d'acheter tel ou tel produit. Elle attend de toute entreprise qui détient des données personnelles une sécurité « appropriée » : proportionnée au risque, réfléchie, capable d'être expliquée. Autrement dit, une démarche, pas une facture. L'Office fédéral de la cybersécurité (OFCS, aussi appelé NCSC) va dans le même sens : ses recommandations aux PME commencent toujours par l'hygiène de base, jamais par l'outil miracle.
Ces fondations tiennent en trois piliers, qu'on néglige presque toujours dans le même ordre : savoir ce qu'on protège, tenir les bases dans le temps, et embarquer les personnes. Aucun des trois ne demande un gros budget. Les trois demandent surtout une chose que la technologie ne fournit pas : de la clarté sur sa propre organisation.
Ce qu'il faut retenir
- Un outil ne compense jamais une base absente. Investir dans la surveillance avancée avant d'avoir sécurisé les accès et les sauvegardes, c'est mettre la charrue avant les bœufs — et souvent payer deux fois : l'outil, puis les dégâts qu'il n'a pas empêchés.
- La sécurité « appropriée » attendue par la nLPD est une démarche, pas un achat. Elle se construit avec des gestes simples, répétés, et une vision claire de ce qu'on détient. Une petite structure bien organisée est mieux protégée qu'une grande mal tenue.
- Le maillon décisif reste humain. La grande majorité des incidents commencent par un clic, un mot de passe réutilisé ou une pièce jointe ouverte trop vite — pas par une faille exotique que seul un expert saurait exploiter. C'est une bonne nouvelle : ce qui dépend des gestes de chacun se corrige sans investissement lourd.
Les gestes à installer cette semaine
Trois gestes, un par fondation. Ils ne remplacent pas une feuille de route complète, mais ils font passer votre PME de « on espère que ça tient » à « on sait où on en est ».
1. Faire l'état des lieux de vos données
Avant de protéger, il faut savoir quoi protéger. Prenez une heure pour lister, noir sur blanc, les données les plus sensibles que vous détenez (salaires, données fiscales, coordonnées bancaires de vos clients), où elles vivent réellement (votre logiciel comptable, votre messagerie, un disque partagé, la clé USB d'un collaborateur ?) et qui y a accès. Cet inventaire tout simple fait presque toujours apparaître l'évidence gênante : des fichiers sensibles traînent là où plus personne ne les surveille, et d'anciens collaborateurs ont peut-être encore un accès actif. C'est la première marche de toute démarche sérieuse — et, concrètement, le point de départ d'une auto-évaluation. Tant qu'on ne sait pas ce qu'on détient ni où, on ne peut ni le protéger, ni prouver à un client qu'on le protège correctement.
2. Tenir les bases dans le temps
Trois réflexes suffisent à couvrir l'essentiel, à condition de les maintenir dans la durée :
- La double authentification (appelée MFA ou 2FA). En plus du mot de passe, une seconde preuve — le plus souvent un code sur votre téléphone — bloque l'immense majorité des vols de compte, même quand le mot de passe a fuité. Activez-la partout où c'est possible, en commençant par votre messagerie professionnelle, qui est la clé de tout le reste.
- Les mises à jour. Un logiciel qu'on ne met pas à jour, c'est une porte que l'éditeur a pris soin de fermer mais que vous laissez ouverte. Activez les mises à jour automatiques sur les postes, les téléphones et les logiciels métier.
- Les sauvegardes testées. Avoir une sauvegarde ne sert à rien si l'on n'a jamais vérifié qu'on sait la restaurer. Une fois par trimestre, demandez à récupérer un fichier d'hier : le jour où un incident survient, vous saurez si votre filet de sécurité existe vraiment ou seulement sur le papier.
Ce sont des bases, pas un plan détaillé. Les décliner proprement — périmètre exact, exceptions, comptes de secours, cadence — relève d'une feuille de route dédiée. Mais ces trois gestes, à eux seuls, changent déjà radicalement l'exposition d'une PME.
3. Faire des personnes votre première ligne
Le meilleur outil du monde ne rattrape pas un collaborateur pressé qui clique sur une fausse facture un vendredi à 17 h. Le phishing — ces e-mails frauduleux qui imitent un fournisseur, une banque ou un client pour vous soutirer un mot de passe ou déclencher un paiement — reste la porte d'entrée numéro un dans les PME.
La bonne nouvelle : on ne forme pas ses équipes avec une réunion d'une heure une fois par an, oubliée dès le lendemain. On installe le réflexe par petites touches — un rappel de deux minutes en réunion d'équipe, un vrai e-mail piégé commenté ensemble, une règle simple et connue de tous (« au moindre doute sur un paiement, on ne répond pas : on décroche et on rappelle le numéro connu »). Répété quelques semaines, ce réflexe devient une culture, et cette culture vaut plus que n'importe quelle licence. Chez une fiduciaire, où chacun manipule chaque jour des données de clients, c'est sans doute la fondation qui rapporte le plus pour le moins d'effort.
Où en êtes-vous vraiment ?
Ces trois fondations — connaître ses données, tenir les bases, embarquer les personnes — ne coûtent presque rien. Ce qui manque, le plus souvent, ce n'est pas le budget : c'est une vision honnête de là où l'on est solide et de là où l'on repose encore sur la confiance et l'habitude.
C'est exactement ce que structure une auto-évaluation Cyber Passport. Elle ne certifie rien et ne vous vend pas un outil de plus : elle vous montre, question par question, quelles fondations sont réellement en place et lesquelles reposent encore sur du sable — pour que votre prochain investissement renforce enfin quelque chose de solide, plutôt que de décorer une porte ouverte.
