Un vendredi soir, un client rappelle Sophie B. juste avant de raccrocher : « Au fait, comment vous savez que vos protections marchent vraiment ? » Elle répond qu'elle a « un antivirus et un prestataire qui gère », puis reste songeuse. Elle vient de comprendre qu'elle n'a aucun chiffre pour piloter sa cybersécurité — ni pour rassurer ce client, ni pour se rassurer elle-même.
Piloter sa cybersécurité, c'est d'abord la mesurer
Dans un cabinet fiduciaire, la sécurité informatique ressemble souvent à une boîte noire : on paie un prestataire externe, on croise les doigts, et on suppose que « c'est géré ». Le problème, c'est qu'une supposition ne se pilote pas. On ne sait pas si la situation s'améliore, stagne ou se dégrade — et le jour où un client, un auditeur ou l'assurance pose la question, on n'a rien à montrer.
Piloter, ce n'est pas devenir informaticienne. C'est suivre quelques indicateurs — en anglais on parle de KPI, autrement dit un chiffre simple qui répond à une question précise : « est-ce que ça marche ? ». Un bon indicateur tient en une ligne, se lit d'un coup d'œil, et débouche sur une décision. Pas besoin d'un tableau de bord de trente colonnes : pour une PME, trois ou quatre chiffres bien choisis en disent plus long qu'un rapport que personne ne lit.
Un cabinet fiduciaire est particulièrement concerné, pour trois raisons très concrètes. D'abord, il manipule des données parmi les plus sensibles qui soient : comptabilité, salaires, situations fiscales et bancaires de dizaines de clients. Ensuite, il n'a le plus souvent pas d'informaticien en interne — la sécurité est déléguée, donc peu visible pour la personne qui, elle, porte la responsabilité vis-à-vis des clients. Enfin, ce sont justement ces clients qui commencent à demander des garanties avant de confier leurs dossiers. Dans ce contexte, « je fais confiance à mon prestataire » n'est plus une réponse suffisante : il faut pouvoir montrer quelque chose de tangible.
En clair. Un indicateur utile, c'est un chiffre qui vous fait faire quelque chose. Si le voir bouger ne change aucune de vos décisions, il ne sert à rien : autant l'abandonner et en garder un qui compte vraiment.
Prenons un exemple parlant pour un cabinet comme celui de Sophie B. La question « est-ce que tout le monde utilise la double authentification ? » — la double authentification (MFA), c'est le fait de demander, en plus du mot de passe, une deuxième preuve, par exemple un code sur le téléphone — devient un indicateur dès qu'on la transforme en pourcentage : « 8 comptes sur 14 sont protégés par la double authentification. » On passe d'une impression floue à un chiffre. Et un chiffre, on peut le suivre, se fixer une cible, et le montrer.
Attention toutefois : tous les chiffres ne se valent pas. « Nombre d'e-mails bloqués par l'antivirus le mois dernier » impressionne dans un rapport, mais ne vous fait rien décider — c'est ce qu'on appelle un indicateur de vanité. À l'inverse, « part des comptes protégés par la double authentification » ou « avons-nous testé une restauration de sauvegarde ce trimestre » pointent vers une action claire quand la réponse ne vous plaît pas. Le bon réflexe, avant d'adopter un indicateur, tient en une question : « si ce chiffre est mauvais, est-ce que je saurai quoi faire ? » Si oui, gardez-le. Sinon, laissez-le de côté.
Ce qu'il faut retenir
Quelques indicateurs suffisent. L'erreur classique consiste à vouloir tout mesurer d'un coup, puis à abandonner au bout de deux mois. Trois indicateurs simples, suivis dans la durée, valent mieux que quinze mesurés une seule fois puis oubliés dans un tableur. Commencez petit : vous en ajouterez quand les premiers seront devenus une habitude, sans effort. La régularité compte plus que l'exhaustivité — un chiffre modeste que vous regardez chaque trimestre pèse davantage qu'un tableau de bord parfait consulté une seule fois.
Un indicateur n'a de valeur que s'il oriente une décision. Savoir que la moitié de l'équipe n'a pas encore la double authentification n'a d'intérêt que si ça déclenche une action : en parler au prestataire, planifier l'activation, revérifier le mois suivant. Le chiffre est un point de départ, pas une fin en soi.
Mesurer, c'est aussi ce qu'on vous demandera. La nLPD — la nouvelle loi suisse sur la protection des données — attend d'une PME qui détient des données sensibles (et une fiduciaire en détient beaucoup) qu'elle prenne des mesures de sécurité « appropriées ». Sans quelques indicateurs, impossible de démontrer que vous pilotez vraiment quelque chose. De plus en plus de clients et de donneurs d'ordre posent la question avant de vous confier leurs dossiers, parfois sous la forme d'un questionnaire de sécurité à remplir. Le jour où ce document arrive, mieux vaut avoir déjà quelques chiffres sous la main que de devoir tout reconstituer dans l'urgence.
Les gestes à installer cette semaine
1. Choisir trois indicateurs qui parlent à votre métier
Pas besoin de la liste complète — gardez-la pour plus tard. Cette semaine, choisissez trois chiffres faciles à obtenir et parlants pour une fiduciaire. Par exemple : le pourcentage de comptes protégés par la double authentification ; la réponse « oui / non » à la question « avons-nous testé une restauration de sauvegarde ces trois derniers mois ? » ; la part de collaborateurs ayant suivi une courte sensibilisation cette année. Trois indicateurs concrets, que vous comprenez sans être du métier.
2. Poser un chiffre de départ et une cible
Pour chaque indicateur, notez la valeur d'aujourd'hui — même si elle est gênante. C'est votre point de référence, et personne ne viendra vous juger sur ce point de départ. Puis fixez une cible simple et datée : « passer de 8 comptes protégés sur 14 à 14 sur 14 d'ici trois mois ». Une cible transforme un constat en cap. Sans elle, un indicateur n'est qu'une photo ; avec elle, c'est une direction — et un progrès que vous verrez concrètement au rendez-vous suivant.
3. Regarder ces chiffres à date fixe
Un indicateur qu'on ne regarde jamais ne sert à rien. Bloquez trente minutes par trimestre dans l'agenda — seule, ou avec votre prestataire — pour relire vos trois chiffres. Ont-ils bougé dans le bon sens ? Sinon, pourquoi, et quelle petite action décide-t-on ? Notez la décision en une ligne, et vous aurez, trimestre après trimestre, une trace de votre progression : c'est précisément ce que vous pourrez montrer à un client ou à un auditeur. C'est ce rendez-vous régulier, plus que les outils, qui fait la différence entre subir sa sécurité et la piloter. L'Office fédéral de la cybersécurité (OFCS, ex-NCSC) publie d'ailleurs des recommandations pratiques pour PME, utiles pour choisir les bons gestes derrière chaque chiffre.
Où en êtes-vous vraiment ?
Choisir les bons indicateurs, savoir lesquels comptent vraiment pour une PME suisse face à la nLPD et aux questions de ses clients, c'est exactement ce qu'une auto-évaluation structurée met à plat. Cyber Passport ne certifie rien et ne vous déclare pas « conforme » : il vous montre, question par question, où votre organisation est solide et où elle repose encore sur la confiance et l'habitude. Vous obtenez une image de votre maturité, sans jargon et sans jugement — et, justement, quelques indicateurs clairs pour piloter votre cybersécurité et les partager en confiance avec un client ou un auditeur. Le blueprint « Indicateurs cyber » vous donne ensuite le jeu complet d'indicateurs à suivre, avec cibles conseillées, seuils d'alerte et modèle de tableau de suivi prêt à l'emploi pour votre prochain rendez-vous trimestriel.
