« Franchement, qui irait s'attaquer à une maison comme la nôtre ? » Sophie B., associée gérante d'une fiduciaire de Suisse romande, le pensait sincèrement — jusqu'au matin où un client lui a demandé, tout simplement, comment elle protégeait ses données. Ce jour-là, deux idées reçues en cybersécurité tenaient encore lieu de stratégie dans son cabinet.
Ces croyances, on les entend dans presque toutes les PME suisses. Elles ne sont pas le signe d'une négligence : elles paraissent simplement de bon sens, et c'est ce qui les rend efficaces. Cette série en cinq volets passe en revue dix idées reçues qui fragilisent la sécurité des entreprises. Ce premier volet en déconstruit deux — les plus répandues, et sans doute les plus coûteuses.
Deux idées reçues en cybersécurité qui exposent les PME
Une PME ne se fait pas pirater parce qu'elle est célèbre. Elle se fait piéger parce qu'une porte est restée ouverte. Voici les deux raisonnements qui laissent le plus souvent cette porte entrebâillée.
« Nous sommes trop petits pour intéresser un pirate »
C'est l'idée la plus rassurante — et la plus trompeuse. Elle repose sur une image datée de l'attaquant : un individu qui choisirait patiemment sa cible et ne viserait que les grands groupes. La réalité est plus prosaïque. L'essentiel des attaques est aujourd'hui automatisé : des programmes balaient Internet en permanence à la recherche de failles connues, sans se soucier de la taille ni du secteur de l'entreprise qui se trouve derrière. Un logiciel mal mis à jour, un accès mal configuré, et le programme s'engouffre — le plus souvent sans qu'aucun humain ne vous ait « choisie ».
C'est ce qu'on pourrait appeler l'illusion de l'invisibilité : croire qu'être discret sur le marché, c'est être invisible en ligne. Or, dans le cyberespace, tout ce qui est connecté est visible. Ne pas faire parler de soi ne met à l'abri de rien ; cela retarde simplement le moment où l'on découvre qu'on était exposé.
Pour une fiduciaire, cette idée reçue est d'autant plus risquée que le cabinet concentre exactement ce qui a de la valeur : salaires, données fiscales, coordonnées bancaires de dizaines de PME clientes. Ce n'est pas la notoriété de Sophie B. qui intéresse un attaquant, ce sont ces données — et le levier qu'elles représentent. Un rançongiciel (ou ransomware : un logiciel qui chiffre vos fichiers et réclame une rançon pour les rendre à nouveau lisibles) n'a aucun besoin de savoir qui vous êtes pour paralyser votre activité un lundi matin. Et pour un cabinet dont le fonds de commerce est la confiance, une fuite ne coûte pas seulement des francs : elle coûte des clients.
S'ajoute une dimension proprement suisse. Ces données relèvent de la nLPD, la nouvelle loi fédérale sur la protection des données. En cas de fuite, la responsabilité du cabinet — et l'éventuelle obligation d'annoncer la violation à l'autorité fédérale (OFCS/NCSC, l'Office fédéral de la cybersécurité) — ne dépend pas de sa taille, mais de la sensibilité des données touchées.
« Notre antivirus nous protège »
Le deuxième réflexe rassurant : « le prestataire a installé un antivirus, donc nous sommes couverts ». L'antivirus reste utile — mais il ne surveille qu'une porte parmi beaucoup d'autres. Historiquement, il reconnaît les menaces connues à leur « signature », un peu comme un portier muni d'un trombinoscope des indésirables. Le problème : les attaques d'aujourd'hui sont faites pour ne pas figurer sur la photo.
Le meilleur exemple est l'hameçonnage (ou phishing : un e-mail ou un message qui imite un tiers de confiance — banque, fournisseur, administration — pour vous pousser à cliquer, à payer ou à livrer un mot de passe). Aucun antivirus n'empêche un collaborateur pressé d'ouvrir une fausse facture d'un fournisseur habituel, puis de saisir ses identifiants sur une page qui ressemble à s'y méprendre à celle de sa banque. La faille, ici, n'est pas le logiciel : c'est un moment d'inattention parfaitement humain.
Se reposer sur le seul antivirus, c'est verrouiller la porte d'entrée en laissant les fenêtres ouvertes. La vraie protection est faite de plusieurs couches simples qui se complètent : une deuxième preuve d'identité pour se connecter, des logiciels tenus à jour, des sauvegardes que l'on sait restaurer, et une équipe capable de reconnaître un piège. Aucune de ces couches ne coûte une fortune ; c'est leur absence qui finit par coûter cher.
En clair, comme le résume souvent Camille, la conseillère qui accompagne les PME comme celle de Sophie B. : un bon antivirus, c'est la ceinture de sécurité. Utile, indispensable même — mais personne ne conduit les yeux fermés sous prétexte qu'il l'a bouclée.
Ce qu'il faut retenir
- La taille ne protège pas. Les attaques les plus fréquentes sont automatiques et opportunistes : elles visent des failles, pas des réputations. Une petite structure qui détient des données sensibles est une cible parfaitement rentable.
- Un seul outil ne suffit pas. L'antivirus est une couche, pas un bouclier. Les pièges les plus efficaces passent par l'humain — un e-mail, un appel — là où aucun logiciel ne décide à votre place.
- En Suisse, la responsabilité est la même pour tous. La nLPD attend d'une PME des mesures de sécurité « appropriées » à la sensibilité des données qu'elle détient, pas à son chiffre d'affaires.
Les gestes à installer cette semaine
1. Activer la double authentification là où ça compte
La double authentification (MFA : en plus du mot de passe, une deuxième preuve — par exemple un code sur votre téléphone) est la mesure au meilleur rapport effort/protection. Activez-la d'abord sur la messagerie, le logiciel comptable et l'accès bancaire en ligne. Même si un mot de passe fuite, la porte reste fermée.
2. Vérifier que tout se met à jour tout seul
La plupart des attaques automatiques exploitent des failles déjà corrigées par l'éditeur… mais jamais installées chez la victime. Prenez dix minutes pour confirmer que les mises à jour automatiques sont bien activées sur les postes, les navigateurs et les logiciels métier. Ce n'est pas une dépense : c'est une case à cocher.
3. Faire un test grandeur nature en équipe
Réunissez l'équipe un quart d'heure et regardez ensemble deux ou trois faux e-mails réels : adresse d'expéditeur bancale, urgence artificielle, lien qui ne mène pas où il prétend. L'objectif n'est pas de piéger qui que ce soit, mais de créer le réflexe : dans le doute, on vérifie par un autre canal avant de cliquer ou de payer. C'est précisément la couche qu'aucun antivirus ne remplacera.
Où en êtes-vous vraiment ?
Ces idées reçues en cybersécurité ont un point commun : elles donnent l'impression d'être protégé sans qu'on ait rien vérifié. Le premier pas n'est pas d'acheter un outil de plus, mais de faire un état des lieux honnête — question par question, sans jargon.
C'est exactement ce que propose l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne promet aucune conformité : elle vous montre, domaine par domaine, où votre organisation est solide et où elle repose encore sur une croyance. De quoi transformer un « je pense qu'on est couverts » en « je sais où j'en suis », et de prioriser ensuite ce qui compte vraiment plutôt que d'empiler des outils au hasard.
La Partie 2 de cette série s'attaquera à deux autres idées reçues, tout aussi tenaces. En attendant, si vous ne deviez retenir qu'une chose : la sécurité d'une PME ne se joue pas sur un logiciel, mais sur quelques habitudes simples, tenues dans la durée.
