Un mardi matin, Sophie B. ouvre le logiciel comptable de son cabinet depuis le train, comme souvent. Un mot de passe, et la voilà à l'intérieur : salaires, déclarations fiscales, coordonnées bancaires de centaines de clients, tout est accessible d'un même geste. Ce confort, elle ne l'avait jamais vraiment questionné — jusqu'au jour où son prestataire informatique a lâché deux mots qui sonnaient comme un slogan : « Zero Trust ». Derrière l'expression un peu clinquante se cache pourtant une idée très simple, et très utile pour une fiduciaire.
Zero Trust : ne jamais faire confiance par défaut, toujours vérifier
Commençons par traduire l'expression. Zero Trust — littéralement « confiance zéro » — est un principe d'organisation de la sécurité qui tient en une phrase : ne jamais accorder sa confiance par défaut, et vérifier chaque accès. Ce n'est ni un logiciel qu'on achète, ni un bouton qu'on active. C'est une manière de penser qui remplace un réflexe hérité des années où tout tenait dans un bureau.
Pour comprendre ce que Zero Trust corrige, il faut voir le modèle qu'il remplace. Pendant longtemps, on a sécurisé une entreprise comme un château fort : un mur autour du réseau du bureau, une porte bien gardée, et à l'intérieur, une confiance quasi totale. Une fois entré — au bureau, ou à distance via un VPN (un tunnel chiffré qui relie votre ordinateur au réseau de l'entreprise comme si vous étiez sur place) — vous étiez considéré comme légitime, et vous aviez accès à presque tout.
Ce modèle reposait sur une hypothèse : « l'intérieur » existe, et il est sûr. Or, pour une fiduciaire d'aujourd'hui, cet intérieur a fondu. Les collaborateurs travaillent depuis chez eux, depuis le train, depuis un client. Les données ne sont plus dans une armoire au fond du couloir mais dans le nuage — messagerie, espace de partage, logiciel comptable en ligne. Chacun se connecte depuis son propre appareil, parfois personnel. Le mur du château n'entoure plus rien.
Le problème saute alors aux yeux : si la seule barrière est un mot de passe, il suffit qu'il soit deviné, réutilisé ou hameçonné pour qu'un inconnu se retrouve « à l'intérieur » — et hérite de la même confiance totale que Sophie B. Dans un cabinet qui manipule le secret fiscal et bancaire de ses clients, ce n'est pas un détail technique : c'est le cœur du métier qui est exposé.
Zero Trust renverse l'hypothèse. Plutôt que de faire confiance à tout ce qui est « dedans », on part du principe qu'aucune connexion n'est fiable tant qu'elle n'a pas été vérifiée. À chaque accès, on se pose trois questions : qui se connecte, depuis quel appareil, et pour accéder à quoi ? Un mot de passe correct ne suffit plus à ouvrir toutes les portes. C'est exactement ce qui manquait dans la scène du train : que le vol d'un seul mot de passe n'ouvre pas, à lui seul, l'ensemble du cabinet.
Ce qu'il faut retenir
Trois idées suffisent à s'approprier le sujet, sans devenir informaticien.
Zero Trust est une posture, pas un produit. Aucun fournisseur ne peut vous vendre « la boîte Zero Trust ». C'est une direction que l'on prend, faite de plusieurs petits réflexes qui, mis bout à bout, réduisent la surface d'un incident. Pour une PME, la bonne nouvelle, c'est que les premiers pas ne coûtent presque rien et ne demandent pas de projet informatique lourd.
Le principe vise l'incident le plus banal, pas l'attaque de film. La très grande majorité des intrusions dans une PME ne passent pas par un pirate génial, mais par un mot de passe faible, réutilisé ou obtenu par un e-mail piégé. Zero Trust s'attaque précisément à ce maillon-là : il fait en sorte qu'un identifiant volé n'ouvre pas tout, tout de suite.
Cela rejoint ce qu'on attend déjà de vous. La nLPD — la loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — demande à toute organisation qui traite des données personnelles de prendre des mesures de sécurité « appropriées ». Pour une fiduciaire qui détient des données particulièrement sensibles, limiter et vérifier les accès n'est pas un luxe technique : c'est une traduction très concrète de cette exigence. Et même si vos données métier sont en Suisse, ce qui protège l'accès à ces données — vos mots de passe, vos connexions — ne l'est pas forcément.
Les gestes à installer cette semaine
Voici la version PME de Zero Trust : trois réflexes que Sophie B. peut lancer sans budget ni compétence technique, en s'appuyant au besoin sur son prestataire.
1. Ajouter une deuxième preuve à chaque connexion
C'est le geste qui rapporte le plus. La double authentification (MFA) consiste à demander, en plus du mot de passe, une seconde preuve d'identité : un code à usage unique reçu sur le téléphone, ou une validation dans une application dédiée. Concrètement, même si quelqu'un devine ou vole votre mot de passe, il lui manque toujours votre téléphone.
Activez-la en priorité là où c'est le plus sensible : la messagerie professionnelle, l'espace de partage de documents et le logiciel comptable. L'office fédéral de la cybersécurité (OFCS, anciennement NCSC) place cette mesure en tête de ses recommandations pour les PME. C'est la pierre angulaire, la plus visible, du principe « toujours vérifier ».
2. Donner à chacun juste ce dont il a besoin
C'est le second pilier de Zero Trust : le moindre privilège. L'idée : chaque personne n'a accès qu'aux données et outils nécessaires à son travail, et à rien de plus. Une stagiaire à l'accueil n'a pas besoin d'ouvrir les dossiers de paie ; un collaborateur d'un portefeuille client n'a pas à consulter ceux des autres.
En pratique, faites l'inventaire : qui peut voir quoi aujourd'hui ? Vous découvrirez presque toujours des accès hérités d'anciens besoins que plus personne n'utilise. Refermer ces portes ne bride pas le travail — cela fait simplement en sorte qu'un compte compromis expose une pièce, pas tout le bâtiment.
3. Vérifier régulièrement qui entre, et avec quoi
Zero Trust n'est pas un réglage qu'on fait une fois pour toutes : c'est une vérification qui revient. Prenez l'habitude, chaque trimestre, de passer en revue la liste des comptes : les personnes parties ont-elles encore un accès actif ? Un ancien prestataire garde-t-il une entrée oubliée ? Repérez aussi les appareils qui se connectent à vos outils, et retirez ceux que vous ne reconnaissez pas.
Ce ménage régulier est peu spectaculaire, mais c'est lui qui empêche l'accumulation silencieuse de portes entrouvertes — celles que personne ne surveille, précisément parce qu'on avait « fait confiance » une bonne fois pour toutes.
Où en êtes-vous vraiment ?
Zero Trust n'est pas une case à cocher, et surtout pas un label que l'on décroche. C'est une direction : on la prend geste après geste, et on ne « termine » jamais vraiment. La vraie question n'est donc pas « sommes-nous Zero Trust ? » mais « où reposons-nous encore sur une confiance qu'on n'a jamais vérifiée ? ».
C'est exactement ce que l'auto-évaluation Cyber Passport aide à voir. Elle ne certifie rien et ne délivre aucun label : elle vous montre, question après question, où votre organisation est solide et où elle tient surtout par habitude et par confiance interpersonnelle. Pour aller plus loin et transformer ces réflexes en un plan clair — qui fait quoi, dans quel ordre, avec quel effort — notre blueprint dédié déroule la démarche pas à pas.
