Quand quelque chose de sérieux casse dans votre entreprise, vous appelez un spécialiste. Malade → médecin. Impôts → fiduciaire. Litige contractuel → avocat. Machine arrêtée → technicien. Vous ne le faites pas parce que vous seriez incapable. Vous le faites parce que vous savez ce que vous savez faire vous-même – et ce qu'il vaut mieux confier à quelqu'un qui ne fait que cela.

Et puis il y a ce domaine où, soudain, la même logique ne s'applique plus. Cybersécurité → « c'est notre informaticien qui s'en charge ».

Confieriez-vous votre comptabilité à votre informaticien ? Le laisseriez-vous plaider pour vous au tribunal ? Pourquoi alors est-il votre dernière ligne de défense face à une attaque capable d'arrêter votre entreprise en une semaine ?

Demander un check de risque gratuit de 15 minutes →

Externaliser à des spécialistes, c'est exactement ce que font les dirigeants avisés. Le problème n'est pas votre jugement. Le problème, c'est qu'à un moment donné, la cybersécurité a discrètement été rangée sous « affaires IT » – plutôt que sous « discipline propre avec ses propres spécialistes ».

Un bon prestataire IT fait tourner la maison : serveurs, imprimantes, Microsoft 365, nouveaux ordinateurs portables. C'est un autre métier que : anticiper les attaques, durcir l'environnement, contenir un incident dans les premières 24 heures, parler simultanément à l'autorité, à l'assureur et à l'avocat.

Les deux sont importants. Ce ne sont pas le même métier.

Imaginez le lundi matin. Personne n'accède à sa messagerie. Le système de commande ne répond plus. Tous les écrans affichent le même message : un montant en bitcoin et un délai de 72 heures. Vos sauvegardes sont chiffrées aussi.

Ce n'est pas un scénario catastrophe sorti d'une plaquette commerciale. C'est la forme la plus courante d'un incident ransomware dans une PME suisse, telle que l'Office fédéral de la cybersécurité (OFCS) la documente régulièrement. Ce qui suit :

• Une semaine d'arrêt – trois, de manière réaliste.
• Notification au PFPDT dans les 72 heures si des données personnelles sont concernées (art. 24 LPD).
• Notification à l'OFCS dans les 24 heures si vous relevez d'une infrastructure critique (art. 74a LSI, en vigueur depuis le 1er janvier 2025).
• Des clients dont les données apparaissent sur le dark web.
• Responsabilité personnelle de la direction selon l'art. 754 CO pour violation du devoir de diligence.

La question n'est pas de savoir si cela peut arriver. La question est : qui sera assis à côté de vous mardi à 06h30 ?

L'analogie la plus simple est aussi la plus honnête.

• Votre prestataire IT, c'est le médecin de famille. Il maintient la maison en bonne santé au quotidien. Il connaît vos systèmes. Il règle les problèmes courants. Indispensable.
• Un spécialiste en sécurité, c'est le chirurgien. Il anticipe ce qui peut mal tourner. Il durcit les choses avant qu'on n'appuie dessus. Quand c'est sérieux, il est à table dès la première heure – avec la forensique, le plan de communication et les bons numéros d'autorité déjà en poche.

Demander à votre médecin de famille de vous opérer n'est pas irrespectueux. C'est simplement la mauvaise question.

Nous évitons sciemment de dire ici SIEM, EDR, zero-trust ou SOC. Ces termes appartiennent à la boîte à outils, pas à la conversation de direction. Ce que vous, dirigeante ou propriétaire, en retirez tient en quatre lignes :

• Vous continuez à travailler. Même quand d'autres s'arrêtent.
• Vos données restent les vôtres. Ni sur le dark web, ni chez la concurrence, ni dans la presse.
• Vous dormez la nuit. Parce que quelqu'un a la charge de résoudre cela à 02h00 sans vous appeler d'abord.
• Vous êtes couvert quand l'autorité demande. PFPDT, OFCS, votre assureur, FINMA – la documentation existe avant qu'on ne l'exige.

Un réflexe fréquent : « Il faudrait alors tout refaire. » Non. La première étape n'est pas un grand projet, un nouveau contrat, ni un changement de prestataire.

La première étape, c'est un assessment : une à deux demi-journées pendant lesquelles nous nous asseyons avec votre IT, regardons ce qui est réellement en place, où se trouvent les quelques lacunes véritablement importantes, et les cinq choses à faire dans les 90 prochains jours. C'est tout. Vous déciderez ensuite si quelque chose en découle.

Votre IT reste votre IT. Nous ne lui marchons pas sur les pieds – nous lui apportons une seconde paire d'yeux pour un domaine dans lequel elle ne travaille de toute façon pas tous les jours.

C'est la phrase que nous entendons le plus souvent – généralement après l'incident, parfois avant. Quelques extraits de conversations avec des clients de 30 à 250 collaborateurs :

• « Nous avions un pare-feu et une sauvegarde. Nous pensions que c'était suffisant. Après le ransomware, les deux étaient inutilisables – la sauvegarde était sur le même réseau. » – Directeur, industrie, Argovie.
• « Notre partenaire IT était excellent dans ce qu'il faisait. Mais quand l'incident est arrivé, lui non plus n'en avait jamais vécu. Nous avons perdu six jours avant que quelqu'un d'expérimenté ne soit à table. » – Propriétaire, fiduciaire, Zurich.
• « Avec le recul, l'assessment a été l'audit le moins cher que nous ayons jamais payé. Il a mis au jour trois choses qui nous auraient coûté l'entreprise en six mois. » – Directeur, hôpital, Suisse centrale.

SIDD est un institut suisse de cybersécurité et de protection des données. Nous travaillons avec des PME, des hôpitaux, des communes et des prestataires financiers – et avec leurs prestataires IT en place, non contre eux.

Si vous voulez simplement savoir où vous en êtes aujourd'hui sans que cela ne devienne un projet : 15 minutes au téléphone, gratuites, sans engagement. Nous parcourons avec vous trois ou quatre questions et vous disons honnêtement si un assessment a du sens pour vous – ou non.

Demander un check de risque · Prendre contact

Plus sur notre travail : CISO/RSSI en service, SMSI selon ISO 27001, Test d'intrusion, Atelier de sécurité IT pour PME.