Sophie B. dirige une fiduciaire romande. Le mois dernier, un client lui a demandé, presque en passant : « Vous êtes en règle avec la protection des données, au moins ? » Elle a répondu oui, soulagée d'avoir remis son registre à jour l'an dernier. Puis une petite voix l'a rattrapée : et si « en règle » ne voulait pas dire « à l'abri » ? Pour clore cette série sur les fausses croyances en cybersécurité, voici les deux dernières idées reçues — les plus rassurantes en apparence, et donc les plus risquées.
Pourquoi ces deux fausses croyances en cybersécurité coûtent cher
Les huit premières idées reçues de la série tournaient autour d'un même réflexe : « ça n'arrive qu'aux autres ». Les deux dernières sont plus subtiles, parce qu'elles s'appuient sur quelque chose de vrai — une démarche déjà entamée — pour justifier de s'arrêter là.
La première, c'est de croire qu'être en ordre avec la loi équivaut à être protégé. En Suisse, la nLPD — la nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — demande à une PME qui détient des données personnelles de prendre des mesures de sécurité « appropriées » et d'annoncer une violation à l'autorité fédérale (le PFPDT, Préposé fédéral à la protection des données et à la transparence) dans les meilleurs délais. Si vos clients ont des activités dans l'Union européenne, le RGPD s'ajoute, avec son délai d'annonce de 72 heures.
Mais une loi décrit un cadre, pas une posture technique du jour. Un registre à jour et une politique de confidentialité bien rédigée ne bloquent pas un e-mail piégé, ne posent pas la double authentification (MFA — en plus du mot de passe, une deuxième preuve d'identité, par exemple un code sur le téléphone) et ne testent pas vos sauvegardes. La conformité et la sécurité sont deux chantiers voisins mais distincts : l'un répond à « respectons-nous nos obligations ? », l'autre à « qu'est-ce qui nous protège vraiment si quelqu'un essaie ce soir ? ». On peut cocher toutes les cases juridiques et rester vulnérable à cause d'un logiciel jamais mis à jour, d'un mot de passe partagé ou d'un collaborateur qui n'a jamais été sensibilisé. À l'inverse, la conformité impose un instantané : elle décrit une situation à une date, alors que les menaces, elles, évoluent chaque semaine.
Un exemple parlant : une fiduciaire peut avoir un registre des traitements impeccable et, le même jour, laisser plusieurs collaborateurs partager le même mot de passe pour accéder au logiciel comptable. Sur le papier, tout est carré ; dans les faits, il suffit qu'un seul de ces accès fuite pour ouvrir la porte à l'ensemble des dossiers clients. Le document juridique n'a jamais eu vocation à empêcher cela — c'est le rôle des mesures concrètes, celles qu'on n'écrit pas dans un classeur mais qu'on active dans les outils.
La seconde fausse croyance est plus discrète encore : « on s'en occupera si ça arrive ». C'est parier que l'improvisation suffira le jour J. Or l'improvisation est exactement ce qui coûte le plus cher pendant un incident. Pour Sophie B., un dossier client chiffré par un rançongiciel — un logiciel malveillant qui verrouille vos fichiers et réclame une rançon — un vendredi soir, c'est une cascade de questions sans réponse préparée : qui appelle-t-on en premier ? A-t-on une sauvegarde exploitable ? Qui prévient les clients concernés, et avec quels mots ? Faut-il annoncer au PFPDT, et sous quel délai ? Chaque minute passée à chercher qui décide est une minute où le problème grandit et où la confiance s'érode. La réponse à incident — la manière organisée de réagir quand quelque chose tourne mal — n'a de valeur que si elle est décidée avant l'incident, pas pendant.
En clair, comme le résume Camille, notre conseillère : la conformité et la sécurité répondent à deux juges différents. La première rend des comptes à un régulateur, sur papier, à une date donnée. La seconde rend des comptes à un attaquant, en conditions réelles, tous les jours. Une PME sereine travaille les deux de front, sans croire que l'une dispense de l'autre. C'est d'ailleurs ce que regardent de plus en plus vos propres clients : un donneur d'ordre qui vous confie ses données ne demande plus seulement « êtes-vous en règle ? », mais « qu'avez-vous réellement mis en place ? ».
Ce qu'il faut retenir
- Être en règle et être protégé, ce n'est pas la même chose. La nLPD fixe des obligations ; la sécurité, ce sont les mesures concrètes qui tiennent quand on vous attaque. L'une n'achète pas l'autre.
- La conformité est une photo, la sécurité est un film. Un audit décrit un instant ; les menaces, elles, ne s'arrêtent pas le lendemain. Ce qui était « en ordre » en janvier peut avoir un trou en juin.
- « On gérera » n'est pas un plan. Ce qui fait la différence le jour d'un incident, ce n'est pas le talent d'improvisation, c'est ce qui a été écrit et testé à froid : qui fait quoi, qui appelle qui, quelle sauvegarde on restaure.
Les gestes à installer cette semaine
1. Séparez, sur une page, « obligations » et « protections »
Prenez une feuille en deux colonnes. À gauche, ce que vous faites pour la loi : registre des traitements, information des clients, contrats avec vos prestataires. À droite, ce qui vous protège vraiment : double authentification activée, sauvegardes testées, postes à jour, collaborateurs sensibilisés. L'exercice prend une heure et révèle presque toujours une colonne de droite plus courte que prévu. C'est là qu'est le risque réel, pas dans le classeur juridique.
2. Écrivez votre « première demi-heure » d'incident
Pas un plan de crise complet — juste une fiche d'une page, affichée et connue de tous. Trois questions, trois réponses : qui prévient-on en interne en premier (une personne nommée, un numéro) ? Qui appelle-t-on à l'extérieur (votre prestataire informatique, éventuellement l'assurance) ? Et qu'est-ce qu'on ne fait surtout pas dans la panique (payer une rançon, éteindre les machines au hasard, effacer des traces) ? Cette demi-heure préparée vaut plus que n'importe quel outil acheté après coup.
3. Faites un test de restauration, une seule fois
Avoir des sauvegardes ne sert à rien tant qu'on n'a jamais vérifié qu'elles se restaurent. Choisissez un dossier sans importance, demandez à votre prestataire de le récupérer depuis la sauvegarde, et chronométrez. Si personne ne sait comment faire, ou si ça prend deux jours, vous venez d'apprendre quelque chose d'essentiel dans le calme plutôt que sous pression un lundi matin.
Où en êtes-vous vraiment ?
Ces deux dernières fausses croyances en cybersécurité ont un point commun : elles donnent l'impression d'avoir fait le nécessaire, alors qu'il reste un angle mort. La bonne nouvelle, c'est que le combler ne demande pas un gros budget — surtout dans une structure comme celle de Sophie B., sans informaticien interne : cela demande de regarder honnêtement où vous en êtes.
C'est exactement le rôle de l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne vous déclare pas « conforme » : elle vous montre, question par question, ce qui relève de vos obligations, ce qui relève de vos protections réelles, et où votre organisation repose encore sur la chance ou l'habitude. Un point de départ clair, partageable avec vos clients et vos auditeurs. Et pour transformer le constat « on gérera » en un vrai plan, le blueprint « Réponse à incident » déroule la marche à suivre, étape par étape.
