Un matin, Sophie B. accepte de consacrer une heure à un auto-diagnostic de sécurité. Associée d'une petite fiduciaire romande, elle n'attend rien de particulier : « on est prudents, ça devrait aller ». Une heure plus tard, elle a noté trois choses qu'elle n'avait jamais vues venir — un mot de passe partagé par toute l'équipe, une sauvegarde que personne n'a jamais tenté de restaurer, et le compte d'un collaborateur parti depuis des mois qui fonctionne toujours. Rien de dramatique. Mais rien qui puisse vraiment attendre non plus.
Pourquoi un diagnostic de sécurité en dit plus long qu'on ne croit
Un diagnostic de sécurité — comprenez : un questionnaire structuré qui passe méthodiquement vos pratiques en revue, poste par poste — ne cherche pas la faille spectaculaire. Il pose les questions simples que personne ne se pose dans le rush quotidien. Et c'est justement là que se logent les vrais angles morts d'une PME.
Parce qu'une fiduciaire comme celle de Sophie B. ne se fait presque jamais piéger par une attaque sophistiquée venue de l'autre bout du monde. Elle trébuche sur des détails ordinaires que personne ne surveille. Trois reviennent presque à chaque diagnostic.
Le premier, c'est le compte partagé. Un identifiant unique pour le logiciel comptable, que toute l'équipe utilise « parce que c'est plus simple ». Le jour où un dossier client est modifié par erreur, impossible de savoir qui a fait quoi. Et quand une personne quitte l'entreprise, on ne peut pas lui retirer l'accès sans bloquer tout le monde.
Le deuxième, c'est la sauvegarde qu'on n'a jamais testée. « On a des sauvegardes » est une phrase rassurante — jusqu'au jour où il faut vraiment récupérer un fichier et où l'on découvre que la copie est incomplète, corrompue, ou vieille de trois semaines. Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde : c'est une hypothèse.
Le troisième, c'est l'accès qui survit à celui qui l'utilisait. Le stagiaire de l'été dernier, le comptable parti à la concurrence, le prestataire qu'on n'appelle plus : leurs comptes existent souvent encore, avec les mêmes droits qu'au premier jour. Personne ne les a fermés, parce que fermer un accès n'est jamais la priorité d'un lundi matin.
Ces trois angles morts partagent la même racine : ils naissent d'un point aveugle d'organisation, pas d'une négligence. Dans une structure où personne n'est officiellement en charge de la sécurité — ni informaticien interne, ni responsable dédié — ces petites décisions de confort s'accumulent sans que quiconque ne repasse derrière. Chacune, prise isolément, semblait raisonnable le jour où elle a été prise. C'est leur addition, année après année, qui creuse l'écart entre ce qu'une PME croit de sa sécurité et ce qu'elle est réellement. Le diagnostic joue exactement le rôle de relecture que le quotidien ne laisse jamais faire.
Pour une fiduciaire, ces trois points n'ont rien d'anodin. Elle détient la comptabilité, les salaires et les données fiscales de nombreuses PME clientes — un secret professionnel de fait. La nLPD, la nouvelle loi suisse sur la protection des données entrée en vigueur en 2023, attend précisément d'une entreprise qui manipule ce type d'informations qu'elle prenne des mesures « appropriées » pour les protéger. Un compte partagé et une sauvegarde jamais testée ne sont pas des détails techniques : ce sont des questions que Sophie B. devra pouvoir regarder en face si un client — ou l'autorité — les lui pose un jour.
L'Office fédéral de la cybersécurité (l'OFCS, que l'on croise aussi sous son ancien nom NCSC) publie d'ailleurs des recommandations pratiques pour les PME qui vont exactement dans ce sens : commencer par l'hygiène de base — qui a accès à quoi, où sont les sauvegardes, qui peut faire quoi — plutôt que par des outils avancés. Un diagnostic n'est rien d'autre que cette hygiène de base, posée noir sur blanc.
Ce qu'il faut retenir
Un diagnostic ne sert pas à se faire peur, il sert à voir. La plupart des dirigeants de PME découvrent qu'ils ne sont ni « nuls » ni « exposés », mais quelque part au milieu : quelques bases solides, et quelques trous béants qu'ils n'avaient tout simplement jamais regardés.
- Les angles morts ne sont pas des fautes, ce sont des impensés. Personne n'a décidé de partager un mot de passe pour affaiblir l'entreprise — c'est arrivé par commodité, un jour où ça dépannait. Un diagnostic remet ces petits arrangements sous la lumière.
- Ce qui n'est pas testé n'existe pas vraiment. Une sauvegarde, une procédure, un accès de secours : tant qu'on ne les a pas essayés au moins une fois, on ne sait pas s'ils fonctionnent. Le diagnostic transforme le « je crois que » en « je sais que ».
- La sécurité d'une PME tient surtout à des gestes d'organisation. Pas à des outils coûteux. Retirer un compte, attribuer un identifiant nominatif, tester une restauration : rien de tout cela ne demande de budget informatique, seulement une demi-journée d'attention.
Les gestes à installer cette semaine
Pas besoin d'un audit complet ni d'un prestataire pour commencer. Voici trois gestes que Sophie B. a pu lancer elle-même dès le lendemain.
1. Recenser les comptes partagés
Faites la liste des identifiants utilisés par plusieurs personnes — le logiciel métier, la boîte e-mail générique, l'accès à la banque en ligne. Pour chacun, posez une seule question : « si quelqu'un partait demain, pourrais-je lui retirer cet accès sans gêner les autres ? » Chaque « non » est un compte à transformer, à terme, en accès nominatif — un identifiant par personne. Commencez par le plus sensible.
2. Tester une seule restauration
Ne vérifiez pas que la sauvegarde « tourne » : vérifiez que vous pouvez en sortir un fichier. Choisissez un document, demandez à le restaurer, et regardez combien de temps ça prend et si la version récupérée est bien à jour. Notez qui a su le faire, et combien de temps il a fallu : ces deux informations valent de l'or le jour d'un vrai incident. Si personne ne sait comment procéder, vous venez d'apprendre quelque chose d'utile — avant d'en avoir eu besoin dans l'urgence.
3. Faire le tri des accès
Prenez la liste des personnes qui ont un accès à vos outils — messagerie, logiciel comptable, partage de fichiers. Comparez-la à la liste de celles qui travaillent réellement chez vous aujourd'hui. Toute différence est un accès à fermer. C'est le geste le plus rapide de la liste, et souvent le plus révélateur : il n'est pas rare de retrouver un ou deux comptes actifs dont plus personne ne se souvient. Notez au passage qui détient les droits les plus étendus — ce sont eux qu'il faudra surveiller en priorité.
Où en êtes-vous vraiment ?
Ces trois gestes ne referment pas tous les angles morts — ils montrent surtout à quel point un simple diagnostic de sécurité change le regard qu'on porte sur sa propre organisation. On passe de « je pense qu'on est à peu près protégés » à une image claire, question par question, de ce qui tient et de ce qui repose seulement sur la confiance et l'habitude.
C'est exactement ce que propose l'auto-évaluation Cyber Passport : un parcours structuré qui passe vos pratiques en revue et vous rend un état des lieux lisible, à partager avec vos clients ou vos auditeurs. Elle ne certifie rien et ne vous déclare pas « conforme » — elle vous montre où vous en êtes vraiment, et par quoi commencer. Et pour aller plus loin que ces trois gestes et bâtir un plan de remédiation priorisé, le blueprint associé prend le relais.
