Un lundi matin, une collaboratrice de Sophie B. n'arrive plus à ouvrir ses fichiers comptables : les noms sont devenus une suite de caractères illisibles. Dans la fiduciaire, personne n'est chargé de surveiller les alertes de sécurité — chacun fait son métier. La vraie question n'est alors pas d'empêcher chaque attaque, mais de savoir la détecter et réagir avant qu'elle ne se propage à tout le cabinet.
Détecter et réagir : pourquoi une PME sans SOC est concernée
Les grandes entreprises disposent d'un SOC — un Security Operations Center, c'est-à-dire une équipe de sécurité qui surveille les alertes en continu, souvent jour et nuit. Une PME de services comme celle de Sophie B. n'en a évidemment pas, et n'en aura jamais : ce n'est ni son métier, ni son budget. Beaucoup de dirigeants en concluent, à tort, que se protéger « pour de vrai » leur est inaccessible.
C'est une erreur, parce que les attaques modernes ne fonctionnent pas comme on l'imagine. Un attaquant enfonce rarement la porte. Le plus souvent, il entre sans bruit — avec un mot de passe volé par un e-mail piégé, par exemple — puis il reste discret plusieurs jours, voire plusieurs semaines. Il observe, il repère où sont les données sensibles, et ce n'est qu'au bout de ce délai qu'il frappe : chiffrement des fichiers, détournement d'un virement, exfiltration de dossiers clients.
Ce délai — le temps pendant lequel l'attaquant est déjà chez vous sans que personne ne le sache — est le vrai danger. Plus il dure, plus les dégâts sont profonds : sauvegardes contaminées à leur tour, données clients copiées, accès qui se multiplient. À l'inverse, une intrusion repérée le jour même reste souvent un incident bénin. Tout se joue donc sur la vitesse à laquelle on s'aperçoit de quelque chose, pas sur la hauteur du mur.
La prévention — de bons mots de passe, la double authentification (MFA : en plus du mot de passe, une deuxième preuve, par exemple un code sur votre téléphone) — réduit fortement le risque d'entrée. Mais aucune barrière n'est parfaite, et une PME de services est une cible d'autant plus intéressante qu'elle détient des données sensibles pour de nombreux tiers. C'est pour cela qu'on ne peut pas s'arrêter à « empêcher ». Il faut aussi détecter — repérer les signes qu'il se passe quelque chose d'anormal — et réagir — savoir quoi faire dans l'heure qui suit, calmement, sans improviser. Ces deux réflexes ne demandent pas un SOC. Ils demandent surtout de l'organisation, et c'est une bonne nouvelle pour une petite structure : l'organisation, ça ne s'achète pas, ça se décide.
Ce qu'il faut retenir
La prévention seule est un pari perdant. Partez du principe qu'un jour, malgré vos précautions, quelque chose passera. Une organisation solide n'est pas celle qui ne se fait jamais attaquer — c'est celle qui s'en aperçoit vite et qui sait quoi faire. C'est exactement la posture que structurent des cadres comme le NIST CSF 2.0, qui distingue les fonctions identifier, protéger, détecter, répondre, rétablir : la moitié du travail se joue après l'intrusion.
Détecter ne commence pas par un achat. On imagine qu'il faut des logiciels coûteux pour voir une attaque. En réalité, le premier outil de détection, c'est de savoir à quoi ressemble une journée normale — et donc de repérer ce qui ne l'est pas. La plupart des outils que vous utilisez déjà (votre messagerie professionnelle, par exemple) émettent des alertes que personne ne lit. Les activer et désigner qui les reçoit coûte zéro franc.
Réagir vite est aussi une obligation, pas seulement une bonne idée. En Suisse, la nLPD — la loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — attend d'une entreprise qu'elle prenne des mesures « appropriées » et qu'elle annonce une violation de données au Préposé fédéral (PFPDT) dans les meilleurs délais quand le risque est élevé pour les personnes concernées. Si vous traitez aussi des données de clients ou de contacts établis dans l'Union européenne, le RGPD s'ajoute avec ses propres délais. Pour une fiduciaire qui détient les données de centaines de clients, savoir réagir n'est donc pas un confort : c'est une responsabilité, et une bonne réaction commence toujours par une détection rapide.
Les gestes à installer cette semaine
1. Écrire vos cinq signaux d'alerte
Détecter, pour une petite structure, commence par une feuille A4. Réunissez les personnes qui touchent aux outils informatiques et listez ensemble cinq signes qui doivent immédiatement inquiéter. Par exemple : un fichier qui devient illisible ou change de nom tout seul ; une connexion à la messagerie depuis un pays où personne ne travaille ; un collègue qui signale un e-mail vraiment étrange reçu au nom d'un associé ; un logiciel qui rame anormalement sur plusieurs postes le même jour ; un client qui vous dit avoir reçu un message que vous n'avez jamais envoyé.
Le but n'est pas d'être exhaustif, mais de transformer une impression floue (« c'est bizarre ») en un réflexe partagé (« ça, c'est un signal, je le remonte tout de suite »). Affichez cette liste et dites clairement à qui on la remonte.
2. Activer les alertes — et la double authentification — que vous avez déjà
La plupart des PME travaillent sur une suite bureautique en ligne qui sait déjà repérer des comportements suspects : une connexion depuis un lieu inhabituel, la création d'une règle qui transfère automatiquement vos e-mails vers l'extérieur, plusieurs tentatives de connexion ratées. Ces alertes existent souvent sans que personne ne les reçoive. Demandez à votre prestataire informatique de les activer et de les faire arriver à une personne précise — pas à une boîte générique que personne ne consulte.
Dans le même mouvement, généralisez la double authentification (MFA) sur les accès sensibles, à commencer par la messagerie. C'est la mesure qui coupe le plus grand nombre d'intrusions à la racine, et elle ne coûte rien de plus que quelques minutes par personne.
3. Rédiger le réflexe des premières heures
Le pire moment pour réfléchir à qui appeler, c'est en pleine crise. Préparez donc, à froid, une fiche d'une page qui répond à trois questions simples : qui fait quoi dans les premières heures (qui isole le poste touché en le débranchant du réseau et du Wi-Fi, qui prévient la direction, qui garde une trace de ce qu'on observe) ; qui on appelle (votre prestataire informatique, et le point de contact de l'Office fédéral de la cybersécurité — l'OFCS, aussi connu sous le sigle NCSC — qui reçoit les signalements d'incidents) ; et ce qu'on ne fait surtout pas (payer une rançon sans conseil, éteindre brutalement les machines au risque d'effacer des traces utiles).
Cette fiche ne remplace pas un plan de crise complet, mais elle vous fait gagner les heures les plus précieuses : celles où une réaction calme fait la différence entre un incident maîtrisé et une catastrophe.
Où en êtes-vous vraiment ?
Ces trois gestes vous font passer d'une posture d'attente à une posture active : vous acceptez qu'une attaque puisse arriver, et vous vous organisez pour la détecter et réagir. La question suivante est honnête : sur ces sujets — détection, journalisation, réponse à incident, obligations nLPD —, où êtes-vous solide, et où reposez-vous surtout sur la chance ?
C'est exactement ce que met à plat l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne vous déclare pas « sécurisé » : elle vous montre, question par question, votre maturité réelle et ce qui mérite d'être renforcé en priorité. Pour aller plus loin et transformer ces gestes en une vraie capacité de détection et de réponse, notre blueprint dédié déroule le plan complet, étape par étape.
