Chez Sophie B., associée gérante d'une fiduciaire romande, le mot de passe du logiciel comptable est long, compliqué — et connu de toute l'équipe, parce qu'il est plus commode de le partager que d'en créer un par personne. Quand un client s'inquiète de la protection de ses données fiscales, Sophie le rassure : « le prestataire gère, et de toute façon tout est dans le cloud ». Deux réponses rassurantes, deux fausses croyances en cybersécurité qui l'exposent bien plus qu'elle ne l'imagine.
Deux fausses croyances en cybersécurité qui piègent les PME
Une fiduciaire manipule ce qu'une PME peut détenir de plus sensible : comptabilité, salaires, données fiscales et bancaires de dizaines de clients. Le secret professionnel n'y est pas une option, c'est le cœur du métier. Pourtant, la sécurité y repose souvent sur deux certitudes héritées des années 2000, que les attaquants d'aujourd'hui savent parfaitement contourner. Les voici, décortiquées sans jargon.
« Un mot de passe compliqué, ça suffit »
L'idée paraît solide : un mot de passe long, avec des majuscules, des chiffres et des symboles, est difficile à deviner. C'est vrai. Le problème, c'est que la plupart des attaques modernes ne cherchent plus à le deviner — elles le contournent.
Le hameçonnage (phishing) — un faux e-mail qui imite votre banque, votre logiciel comptable ou Microsoft et vous invite à « confirmer votre accès » — récupère votre mot de passe à la seconde où vous le tapez, aussi compliqué soit-il. Le bourrage d'identifiants (credential stuffing, c'est-à-dire l'essai en masse de mots de passe déjà volés sur d'autres sites) exploite une habitude répandue : réutiliser le même mot de passe partout. Si celui de la messagerie sert aussi au logiciel comptable, une seule fuite ouvre les deux portes. Et un mot de passe noté sur un post-it ou envoyé dans un e-mail interne n'a, par définition, plus rien d'un secret.
Il y a même un effet pervers : plus on impose des mots de passe compliqués et changés souvent, plus les gens les écrivent quelque part pour ne pas les oublier. La règle censée protéger finit par affaiblir.
Un bon mot de passe reste utile. Mais seul, il n'est qu'une serrure sur une porte — efficace jusqu'au jour où quelqu'un obtient la clé. La vraie protection consiste à ajouter une seconde preuve : c'est le rôle de la double authentification (MFA, pour multi-factor authentication) — en plus du mot de passe, un code sur votre téléphone ou une validation dans une application. Même volé, le mot de passe ne suffit alors plus à entrer. Ce n'est pas un luxe d'expert : c'est l'un des tout premiers gestes que recommande l'OFCS (NCSC), l'Office fédéral de la cybersécurité, pour les PME suisses.
« Le cloud, c'est forcément plus risqué que mon serveur »
L'autre réflexe est inverse et tout aussi répandu : « mes données seraient plus en sécurité sur un serveur, chez moi, que dans le cloud ». Le cloud — l'informatique en nuage, c'est-à-dire des services et des fichiers hébergés chez un fournisseur plutôt que sur une machine dans vos locaux — inquiète parce qu'on ne le voit pas, qu'il est « ailleurs ».
Or l'expérience du secteur est constante : quand un incident touche un environnement cloud, il vient très rarement d'une faille de l'infrastructure du fournisseur. Il vient presque toujours de la manière dont le client l'a configuré et administré — un accès resté ouvert, un ancien collaborateur jamais désactivé, un dossier partagé rendu public par erreur, l'absence de double authentification. C'est le principe du modèle de responsabilité partagée : le fournisseur sécurise les fondations (les serveurs, les bâtiments, le réseau), et vous restez responsable de vos accès, de vos réglages et de qui peut voir quoi.
En clair, comme le résume Camille, notre conseillère : la bonne question n'est pas « cloud ou pas cloud », mais « qui fait quoi, et est-ce bien fait ? ». Le serveur « chez soi » a d'ailleurs ses propres angles morts : il faut quelqu'un pour le sauvegarder, le corriger et le surveiller — trois tâches qui, dans une fiduciaire sans informaticien interne, tombent vite aux oubliettes. Un disque qui lâche ou un local inondé, et c'est toute la comptabilité des clients qui disparaît.
Pour une fiduciaire équipée d'une suite bureautique en ligne, un cloud correctement paramétré, avec des accès maîtrisés et la double authentification, protège généralement mieux qu'un vieux serveur sous un bureau que plus personne ne met à jour. À condition de savoir où sont hébergées vos données : plusieurs fournisseurs permettent que vos données métier soient en Suisse, un argument utile face à un client attentif à la nLPD, la loi suisse sur la protection des données.
Ce qu'il faut retenir
- Le mot de passe n'est pas la dernière ligne de défense, c'est la première. Aussi complexe soit-il, il peut être hameçonné, réutilisé ou partagé. Ce qui change vraiment la donne, c'est la double authentification et le fait de ne jamais réutiliser le même mot de passe.
- Le cloud n'est pas le maillon faible ; c'est souvent votre paramétrage qui l'est. La sécurité dépend de la façon dont vous gérez les accès, pas du seul fait d'héberger vos données chez un fournisseur ou dans vos murs.
- Ces deux croyances ont un point commun : elles font reposer toute la sécurité sur un seul élément — un mot de passe, ou un lieu de stockage — alors qu'elle tient toujours à une combinaison de gestes simples et complémentaires.
Les gestes à installer cette semaine
1. Activer la double authentification sur vos accès critiques
Commencez par la messagerie et le logiciel comptable — les deux coffres-forts de la fiduciaire. La double authentification s'active en quelques minutes dans les réglages de la plupart des services professionnels. C'est la mesure qui, à elle seule, neutralise la grande majorité des vols de mot de passe.
2. Arrêter les mots de passe partagés
Un mot de passe connu de toute l'équipe n'est plus un secret. Chacun doit disposer de ses propres identifiants ; pour éviter le retour du post-it, un gestionnaire de mots de passe (un coffre-fort numérique qui retient et remplit les mots de passe à votre place) permet à chacun d'en avoir des uniques sans rien mémoriser. Bonus : le jour où un collaborateur part, on coupe son accès à lui, pas « le » mot de passe de tout le monde.
3. Faire le tour de vos accès cloud
Prenez trente minutes pour lister qui a accès à quoi dans vos outils en ligne : y a-t-il d'anciens comptes encore actifs ? Des dossiers partagés « à tout le monde » ? Des comptes sans double authentification ? Cette revue, simple et gratuite, corrige l'essentiel des erreurs de configuration à l'origine des incidents. Notez ce que vous trouvez : cette petite liste deviendra le point de départ de votre mise à niveau, et la preuve, le jour où un client vous le demande, que vous savez exactement qui accède à ses données.
Où en êtes-vous vraiment ?
Ces trois gestes ne relèvent ni du budget ni de la technique : ils demandent surtout une remise à plat honnête de vos habitudes. Le plus difficile n'est pas de les comprendre, mais de savoir par où commencer et ce qui compte vraiment pour une PME comme la vôtre.
C'est exactement ce que propose l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne vous déclare pas « conforme » : elle vous montre, question par question, où votre organisation est solide et où elle repose encore sur une fausse croyance en cybersécurité, puis vous oriente vers les priorités à traiter. De quoi transformer deux idées reçues en un plan clair.
