Sophie B. dirige une fiduciaire. La semaine dernière, un client lui a demandé, presque en passant, comment elle protégeait les données comptables qu'elle lui confie. Elle a répondu « on fait attention » — puis a réalisé qu'elle n'avait aucune idée de l'état réel de sa sécurité informatique. La bonne nouvelle, c'est qu'on peut commencer à le mesurer sans rien dépenser : il existe des outils gratuits d'auto-évaluation, et certains sont faits pour elle, pas pour un informaticien.
Des outils gratuits d'auto-évaluation, mais pas tous pour vous
Tapez « évaluer sa sécurité informatique » dans un moteur de recherche et vous tomberez sur des dizaines d'outils gratuits. Le piège, c'est qu'ils ne jouent pas dans la même cour. Il faut distinguer deux mondes.
Le premier est celui des experts. On y trouve des scanners de vulnérabilités (des logiciels qui passent un système au crible pour repérer ses failles techniques) et des simulateurs d'attaque (des outils qui « attaquent » votre système pour de faux, afin de voir ce qui céderait). Ils sont puissants, souvent gratuits, mais pensés pour des spécialistes. Entre les mains d'une personne non formée, ils crachent des rapports illisibles — ou, pire, ils donnent une fausse assurance : « le scan n'a rien trouvé » ne veut pas dire « nous sommes sûrs ».
Le second monde est accessible à tout dirigeant : des questionnaires d'auto-évaluation, des vérificateurs de fuites et des tableaux de bord que vous possédez déjà sans le savoir. Ceux-là ne cherchent pas à jouer les pirates. Ils vous font poser les bonnes questions et mesurent l'écart entre où vous êtes et où vous devriez être.
La différence tient en une image. Le scanner de vulnérabilités, c'est le marteau du plombier : indispensable pour lui, dangereux et inutile entre les mains de quelqu'un qui ne connaît pas la tuyauterie. Le questionnaire d'auto-évaluation, c'est la liste de contrôle que vous remplissez avant de partir en vacances — fermer le gaz, couper l'eau, prévenir le voisin. Pas besoin d'être expert : il suffit de répondre honnêtement et de traiter les cases restées vides.
Pour une PME de services comme celle de Sophie B. — pas d'informaticien interne, un prestataire externe qui « gère l'informatique », des données clients extrêmement sensibles — c'est ce second monde qui compte. L'auto-évaluation, ce n'est pas devenir experte en cybersécurité. C'est se poser méthodiquement les questions qu'un auditeur poserait, et voir noir sur blanc ce qui tient et ce qui repose sur l'habitude. Le prestataire externe fait bien son travail quand on l'appelle ; encore faut-il savoir quoi lui demander. L'auto-évaluation vous donne précisément ce vocabulaire.
Ce qu'il faut retenir
Gratuit ne veut pas dire inutile. Les meilleurs outils d'auto-évaluation ne coûtent rien parce qu'ils reposent sur des cadres reconnus et sur des ressources publiques. Le budget n'est pas ce qui vous manque pour commencer.
L'important n'est pas l'outil, c'est la question qu'il vous fait poser. « Avons-nous une deuxième preuve d'identité pour se connecter à la messagerie ? », « saurait-on restaurer un dossier client effacé par erreur ? ». Un bon outil transforme une inquiétude diffuse en une liste de points concrets, priorisables.
Un outil d'expert mal lu est pire que pas d'outil. Un rapport technique que personne ne comprend finit dans un tiroir et laisse croire que « c'est fait ». En Suisse, l'OFCS (NCSC), l'Office fédéral de la cybersécurité, publie justement des ressources gratuites pensées pour les PME : c'est un point de départ fiable, dans votre langue et votre contexte.
Un outil ne remplace pas une méthode. Empiler trois questionnaires et deux tableaux de bord ne sert à rien si personne ne relie les réponses entre elles. La valeur d'une auto-évaluation ne vient pas du nombre d'outils, mais du fait de repasser au même endroit dans six mois pour voir ce qui a bougé. C'est la répétition qui transforme une photo à l'instant T en trajectoire — et c'est elle qui rassure vraiment un client qui vous confie ses données.
Les gestes à installer cette semaine
Trois gestes, sans budget et sans faire appel à votre prestataire. Chacun vous donne une mesure de départ.
1. Ouvrez le tableau de bord de sécurité que vous payez déjà
Votre suite bureautique — messagerie, partage de fichiers, agendas — affiche presque toujours un indicateur de sécurité : une note globale, accompagnée de recommandations concrètes (activer la double authentification, revoir les partages de fichiers trop ouverts, repérer les comptes inactifs). La plupart des dirigeants ne l'ont jamais ouvert. Prenez dix minutes, trouvez cet écran dans la console d'administration, notez le chiffre affiché. Ce sera votre point zéro — celui que vous chercherez à faire monter. Vous n'avez pas les droits d'administration ? C'est déjà une information en soi : cela veut dire que seul votre prestataire voit ce tableau de bord, et rien ne vous empêche de lui en demander une capture d'écran commentée à sa prochaine intervention.
2. Répondez honnêtement à un questionnaire d'auto-évaluation officiel
L'OFCS (NCSC) et les cadres de référence reconnus proposent des check-lists gratuites adaptées aux petites structures. Le cadre NIST CSF 2.0, par exemple, organise la sécurité en six fonctions simples à comprendre — gouverner, identifier, protéger, détecter, répondre, rétablir — qui servent de trame pour ne rien oublier. Bloquez trente minutes, répondez sans vous flatter : chaque « non » ou « je ne sais pas » n'est pas un reproche, c'est une action future déjà identifiée. Faites l'exercice seule une première fois, puis refaites-le avec la personne qui gère les paiements ou les dossiers clients : les écarts entre vos deux réponses sont souvent l'endroit exact où le risque se cache. Gardez la trace de ce premier passage — daté — pour pouvoir le comparer au suivant.
3. Vérifiez ce qui a déjà fuité à votre nom
Il existe des services gratuits de vérification de fuites (en anglais, breach check) : vous y entrez une adresse e-mail de l'entreprise et ils vous disent si elle est apparue dans des fuites de données publiques connues. Si un mot de passe professionnel s'est retrouvé exposé lors du piratage d'un service tiers, mieux vaut le savoir avant qu'un fraudeur ne s'en serve. C'est gratuit, immédiat, et souvent le déclic qui fait passer à l'action. Commencez par les adresses les plus sensibles — direction, comptabilité, l'adresse générique de contact — celles dont la compromission ferait le plus de dégâts. Un résultat positif ne signifie pas que quelqu'un est entré chez vous ; il signifie qu'il est temps de changer le mot de passe concerné et de vérifier qu'une deuxième preuve d'identité protège bien ce compte.
Où en êtes-vous vraiment ?
Ces trois gestes vous donnent des points isolés : une note de suite bureautique, une check-list à moitié cochée, une liste d'adresses exposées. C'est déjà beaucoup plus que « on fait attention ». Mais ce sont des morceaux épars, sans image d'ensemble ni ordre de priorité.
C'est exactement le vide que comble l'auto-évaluation Cyber Passport. Elle rassemble ces signaux en une image cohérente, organisée par cadre — la nLPD (la loi fédérale sur la protection des données) d'abord, puisque c'est elle qui s'applique à vos données clients suisses. Elle ne certifie rien : elle vous montre, question par question, où votre organisation est solide et où elle repose encore sur la confiance et l'habitude. Et surtout, elle produit un rapport que vous pouvez partager avec un client ou un auditeur le jour où l'on vous reposera la question — cette fois avec une vraie réponse.
