Un vendredi soir, Sophie B. relit une demande de changement de coordonnées bancaires envoyée par un fournisseur. Rien ne cloche à première vue : l'e-mail est soigné, le logo est le bon. Comme souvent, elle se rassure d'un « de toute façon, l'informatique, c'est le prestataire qui gère ». Deux idées reçues en cybersécurité se cachent dans ce réflexe très humain — et ce sont justement elles qui coûtent le plus cher aux PME suisses.
Deux idées reçues en cybersécurité qui exposent votre PME
Une fiduciaire manipule ce qu'une entreprise a de plus sensible : comptabilité, salaires, données fiscales et bancaires de dizaines de clients. Pourtant, la sécurité y repose souvent sur deux croyances confortables qui, mises bout à bout, laissent la porte entrouverte. Regardons-les en face, sans dramatiser.
« C'est le prestataire qui gère la sécurité »
Beaucoup de PME sans informaticien interne confient leur infrastructure à un prestataire externe, et concluent qu'elles n'ont plus à s'en soucier. C'est confondre deux choses différentes : déléguer une tâche n'est pas transférer une responsabilité.
Au sens de la nLPD — la loi suisse sur la protection des données, en vigueur depuis septembre 2023 — c'est vous, en tant qu'entreprise qui décide de l'usage des données de vos clients, qui restez le « responsable du traitement ». Autrement dit, si vos données fuitent, la responsabilité reste la vôtre, même quand la machine était administrée par quelqu'un d'autre. Le prestataire, lui, est un « sous-traitant » au sens de la loi : il exécute, mais il ne porte pas votre obligation de protéger.
La nLPD ne s'arrête pas là : elle attend de vous une sécurité « appropriée » aux risques, et prévoit qu'une fuite de données puisse devoir être annoncée au Préposé fédéral à la protection des données (le PFPDT). Concrètement, un client lésé ne demandera pas « qui administrait le serveur ? », mais « aviez-vous pris des mesures raisonnables ? ». Se reposer entièrement sur un tiers, sans jamais vérifier ce qu'il fait, n'est pas une mesure raisonnable : c'est une hypothèse. Et une hypothèse ne protège ni vos clients, ni votre responsabilité.
Le second angle mort est plus concret. Un prestataire mal cadré crée une fausse sécurité. On a vu de grandes organisations se faire percer non pas par une faille chez elles, mais par les accès d'un fournisseur mal protégé, utilisés comme porte d'entrée vers le réseau principal. Pour une PME, le raisonnement est le même à plus petite échelle : votre prestataire a des accès étendus à votre système. Si ces accès sont mal gérés, ils deviennent votre point faible — sans que vous l'ayez jamais décidé.
Le problème n'est pas d'avoir un prestataire : c'est parfaitement raisonnable, et souvent la meilleure option. Le problème, c'est de ne pas savoir ce qu'il couvre réellement. Qui vérifie que les sauvegardes fonctionnent ? Qui installe les mises à jour de sécurité, et à quel rythme ? Qui appelle-t-on, un dimanche soir, si quelque chose déraille ? Tant que ces réponses vivent dans un « je pensais que c'était géré », personne ne les porte.
« Une attaque, ça se verrait tout de suite »
La deuxième idée reçue est encore plus tenace : on imagine qu'une cyberattaque, c'est un écran rouge, un ordinateur qui refuse de démarrer, une alarme évidente. Dans les faits, les attaques les plus coûteuses sont silencieuses.
Un intrus qui parvient à voler un mot de passe ne casse rien. Il se connecte comme un utilisateur normal, lit des e-mails, observe qui parle à qui, repère les habitudes de paiement. Les spécialistes appellent « temps de présence » (en anglais dwell time) la durée pendant laquelle un attaquant reste dans un système avant d'être repéré. Elle se compte souvent en semaines, parfois en mois.
En clair, comme le résume Camille, notre conseillère cyber : le silence n'est pas une preuve que tout va bien. C'est même, très souvent, la signature d'une attaque bien menée. Le moment où « ça se voit » — un virement parti, des dossiers chiffrés, un client qui vous signale un e-mail bizarre venu de votre adresse — arrive à la fin de l'histoire, pas au début.
Pour une fiduciaire, ce délai invisible est particulièrement dangereux : il suffit à un attaquant de comprendre vos circuits de facturation pour glisser, au bon moment, une fausse demande de changement de coordonnées bancaires qui ne surprendra personne. La discrétion n'est pas un détail technique : c'est le cœur du modèle économique des fraudeurs.
Ce qu'il faut retenir
- La responsabilité de vos données ne se sous-traite pas. Vous pouvez confier l'exploitation technique, mais l'obligation de protéger reste la vôtre. Un prestataire est un partenaire à cadrer, pas un parapluie juridique.
- Le silence n'est pas la preuve que tout va bien. Les attaques efficaces sont conçues pour rester invisibles le plus longtemps possible. Ne pas voir d'incident ne veut pas dire qu'il n'y en a pas.
- Ces deux angles morts se cumulent. Croire que « le prestataire gère » et penser qu'« on verrait une attaque » revient à ne surveiller ni la porte, ni ce qui se passe une fois qu'elle est franchie.
Les gestes à installer cette semaine
1. Mettre à plat qui fait quoi avec votre prestataire
Prenez une page. Écrivez noir sur blanc, avec votre prestataire, ce qu'il couvre et ce qu'il ne couvre pas : sauvegardes et test de restauration, mises à jour de sécurité, surveillance des connexions, et surtout le numéro à appeler en cas d'incident. Trois questions suffisent à démarrer : « Que sauvegardez-vous exactement, et l'avez-vous déjà testé ? », « Qui a des accès chez nous, et depuis quand ? », « Que fait-on, concrètement, si je vous appelle un dimanche ? ». Le NCSC/OFCS, l'office fédéral de la cybersécurité, recommande précisément de cadrer par écrit ce que fait un prestataire.
2. Rendre les attaques silencieuses moins silencieuses
Vous utilisez sans doute déjà Microsoft 365 : il sait signaler une connexion inhabituelle (un pays lointain, une heure improbable). Demandez que ces alertes soient activées et, surtout, désignez qui les regarde. Activez aussi la double authentification (MFA) — en plus du mot de passe, une deuxième preuve, par exemple un code sur votre téléphone : c'est ce qui empêche un mot de passe volé de suffire. Un accès qui ne se limite plus au seul mot de passe, et des alertes que quelqu'un lit, réduisent d'un coup le temps pendant lequel un intrus passe inaperçu.
3. Installer un réflexe de vérification pour l'argent
Toute demande inhabituelle touchant à un paiement — un changement de coordonnées bancaires, un virement urgent — se vérifie sur un canal connu : on rappelle le fournisseur au numéro que vous avez déjà dans vos dossiers, jamais celui indiqué dans l'e-mail. Ajoutez un point trimestriel de cinq minutes : « qui a accès à quoi, chez nous et chez nos prestataires ? ». Ces deux réflexes ne coûtent rien et ferment la porte que les deux idées reçues laissaient ouverte.
Où en êtes-vous vraiment ?
Déconstruire ces idées reçues en cybersécurité, c'est déjà avancer — mais une conviction rassurante ne remplace pas un état des lieux. La question honnête n'est pas « suis-je protégé ? », c'est « qu'est-ce qui, chez moi, repose encore sur une hypothèse jamais vérifiée ? ».
C'est exactement ce que structure l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne vous déclare pas « conforme » : elle vous montre, question par question, où votre organisation tient debout et où elle repose sur un « je pensais que c'était géré ». De quoi transformer deux idées reçues en un plan clair.
