Guide pratique · Suisse
Le minimum cyber d'une PME, cette semaine.
Pas un projet de sécurité. Les quelques gestes au meilleur retour sur effort, dans l'ordre. Environ 90 % du risque tombe avec des réglages gratuits, avant la première facture.
Le guide en 6 points
La réponse courte.
Vous n'avez pas besoin d'un projet de sécurité pour être raisonnablement protégé. Vous avez besoin de cinq gestes, dans le bon ordre, et la plupart sont gratuits : la double authentification partout, des sauvegardes réellement testées, les mises à jour, une règle pour vérifier les changements d'IBAN, et trente minutes de formation anti-phishing.
La bonne nouvelle est honnête : l'essentiel ne se paie pas, il se règle. Environ 90 % du risque d'une PME tombe avec des réglages gratuits, avant la première facture de matériel ou de licence. Le pare-feu coûteux, lui, vient après, pas avant.
« L'essentiel ne se paie pas. Il se règle. »
Ce n'est pas le hacker de cinéma.
La menace numéro un d'une PME suisse n'est pas un génie encapuchonné qui force votre réseau. C'est un e-mail. Un message qui imite un fournisseur et vous fait virer sur un faux IBAN, ou qui pousse quelqu'un à cliquer et livre votre messagerie. La fraude représente environ deux tiers des signalements à l'OFCS.
Ce qu'on imagine
Un pirate qui perce le pare-feu en pleine nuit. Spectaculaire, rare, et ce n'est presque jamais par là que ça arrive dans une PME.
Ce qui arrive vraiment
Un e-mail très crédible qui change un IBAN ou crée une urgence. La parade n'est pas du matériel : c'est une règle de vérification et un réflexe.
Cela change tout pour vos priorités. Si la porte d'entrée est un compte sans second facteur et un humain pressé, alors l'argent va d'abord à la MFA, à une règle de vérification des paiements et à une demi-heure de formation. Le réseau passe après. Sources : OFCS et OFCS, phishing.
Cinq gestes, par retour sur effort.
Ils sont classés du plus rentable au moins rentable, pas par ordre de prestige. On commence par le geste gratuit qui bloque le plus d'attaques, et on garde le matériel pour plus tard.
La double authentification (MFA), partout
Activez un deuxième facteur sur tout ce qui compte : messagerie, comptabilité, banque en ligne, espaces d'administration. C'est le geste au meilleur retour sur effort de toute la liste, gratuit dans la quasi-totalité des outils, et il bloque à lui seul l'écrasante majorité des attaques automatisées sur les comptes. Commencez par la messagerie : c'est la clé qui ouvre tout le reste, des réinitialisations de mot de passe aux paiements.
Des sauvegardes testées, pas seulement activées
Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde, c'est une supposition. Vérifiez que vous avez une copie hors ligne ou hors site, et faites au moins une restauration d'essai pour confirmer qu'elle s'ouvre vraiment. Le jour d'un rançongiciel, la seule question qui compte est : pouvez-vous repartir sans payer ? Si vous n'avez jamais testé, vous ne le savez pas.
Les mises à jour, sans attendre
La plupart des intrusions passent par une faille déjà connue et déjà corrigée, sur un logiciel que personne n'a mis à jour. Activez les mises à jour automatiques sur les postes, les téléphones et surtout le pare-feu et le routeur de l'entreprise. Ce n'est pas spectaculaire, mais c'est l'une des barrières les plus efficaces, et elle ne coûte que de l'attention.
Une procédure de vérification des changements d'IBAN
Posez une règle simple et non négociable : tout changement de coordonnées bancaires, tout nouvel IBAN, tout QR de paiement inhabituel se vérifie par un canal différent de celui qui l'a demandé. Un fournisseur change d'IBAN par e-mail ? On l'appelle au numéro connu, pas à celui de l'e-mail. Cette seule règle ferme la fraude qui coûte le plus cher à une PME, et elle ne coûte rien.
Une formation anti-phishing de 30 minutes
L'humain reste impliqué dans la majorité des incidents, presque toujours par un e-mail piégé. Trente minutes avec votre équipe suffisent pour montrer à quoi ressemble un faux message, le réflexe de douter d'une urgence, et qui prévenir au moindre doute. Refaites-le une fois par an. C'est la couche la moins technique de la liste, et l'une des plus rentables.
Repères : Office fédéral de la cybersécurité et son aide-mémoire pour PME.
Le minimum, en une semaine.
Voici les cinq gestes ramenés à des durées réelles. Comptez une demi-journée de travail concentré, pas un budget de projet.
- 1 h · Activez la MFA sur la messagerie, la comptabilité et la banque en ligne, en commençant par la messagerie.
- 1 h · Confirmez une sauvegarde hors site et faites une restauration d'essai pour vérifier qu'elle s'ouvre vraiment.
- 30 min · Activez les mises à jour automatiques sur les postes, les téléphones, le routeur et le pare-feu.
- 30 min · Écrivez la règle « tout changement d'IBAN se vérifie par un autre canal » et envoyez-la aux personnes qui paient.
- 30 min · Réunissez l'équipe trente minutes pour montrer un vrai faux e-mail et le réflexe à avoir au moindre doute.
Durées indicatives, pour une PME de structure simple. Une activité plus exposée, avec beaucoup de comptes et de paiements, demandera davantage.
Ce qu'il ne faut pas payer en premier.
Soyons honnêtes : ce sont souvent les premières choses qu'on vous propose de vendre. Elles ne sont pas inutiles, mais elles arrivent après les gestes gratuits, pas avant. Acheter dans le désordre, c'est payer cher pour combler les mauvais trous.
- Le pare-feu nouvelle génération. Utile, mais plus tard. Il protège mal si la messagerie n'a pas de MFA et si vos équipes cliquent sur tout. La porte d'entrée d'une PME n'est presque jamais le réseau : c'est un compte sans second facteur et un e-mail bien tourné.
- L'audit de sécurité complet. Un rapport de cent pages avant d'avoir activé la MFA, c'est payer pour décrire des trous que vous pouviez fermer gratuitement la même semaine. L'audit a sa place une fois les bases en place, pas avant.
- L'assurance cyber, en premier réflexe. Une bonne idée pour le risque résiduel, une mauvaise comme première dépense. La plupart des polices exigent de toute façon la MFA et des sauvegardes pour vous couvrir. Faites les gestes d'abord, assurez ensuite ce qui reste.
- La suite de sécurité « tout-en-un » la plus chère. Le haut de gamme ne compense pas une base absente. Mieux vaut un outil simple correctement configuré, gratuit pour l'essentiel, qu'une licence coûteuse activée à moitié et que personne ne surveille.
Aucune de ces dépenses n'est une erreur en soi. L'erreur, c'est l'ordre : les payer avant d'avoir activé la MFA et testé vos sauvegardes.
Questions fréquentes.
Quelle est la première chose à faire, cette semaine ?
Activer la double authentification (MFA), en commençant par la messagerie. C'est gratuit dans presque tous les outils, ça prend une heure, et ça bloque à soi seul l'écrasante majorité des attaques automatisées sur les comptes. Aucune autre dépense n'a un meilleur retour sur effort. La messagerie d'abord, parce que c'est la clé qui ouvre le reste.
La vraie menace, pour une PME, c'est le hacker ?
Non, presque jamais le hacker de cinéma. La menace numéro un d'une PME suisse, c'est l'e-mail qui vous fait virer de l'argent sur un faux IBAN, ou le message piégé qui ouvre votre messagerie. La fraude représente environ deux tiers des signalements à l'Office fédéral de la cybersécurité. La parade n'est pas un pare-feu : c'est une règle de vérification et trente minutes de formation.
Faut-il un pare-feu nouvelle génération pour être protégé ?
Pas en premier. Un pare-feu nouvelle génération est utile, mais il vient après les bases. Tant que la messagerie n'a pas de MFA, que les sauvegardes ne sont pas testées et que personne ne vérifie les changements d'IBAN, payer le réseau, c'est blinder la fenêtre en laissant la porte ouverte. Les gestes gratuits d'abord, le matériel ensuite.
Une sauvegarde activée suffit-elle ?
Non. Une sauvegarde qui n'a jamais été restaurée est une supposition, pas une protection. Le jour d'un rançongiciel, la seule question qui compte est : pouvez-vous repartir sans payer ? Vous ne le savez qu'en ayant fait au moins une restauration d'essai. Vérifiez aussi qu'une copie est hors ligne ou hors site, hors d'atteinte d'une attaque.
Combien ça coûte de faire l'essentiel ?
Presque rien en argent, surtout du temps. La MFA, les mises à jour, la règle de vérification des IBAN et la formation de trente minutes sont gratuites ou déjà incluses dans vos outils. Comptez une demi-journée de travail concentré. En clair : environ 90 % du risque tombe avec des réglages gratuits, avant la première facture de matériel ou de licence.
Une grande partie de ce guide, vous pouvez la mener vous-même cette semaine. La MFA, les sauvegardes, la règle sur les IBAN et la formation de trente minutes ne demandent ni budget ni prestataire. Nous le disons franchement : pour l'essentiel, vous n'avez besoin de personne.
Faites appel à nous quand l'essentiel est en place mais que l'exposition reste forte, quand vous voulez relier ces gestes au reste de vos outils sans tout réinventer, ou quand un incident a déjà eu lieu. Derrière notre façon de prioriser, il y a le Hub Map. La bonne première question n'est pas « quel outil acheter », c'est « par où une attaque entrerait-elle chez vous en premier ».
Une heure pour faire le tour ?
Pas de présentation, pas de barrière. Une séance de travail sur votre exposition réelle, avec les opérateurs qui la mettraient en ordre.