Rançongiciels, ingénierie sociale dopée à l’intelligence artificielle, obligations légales en cas de fuite de données : les petites et moyennes entreprises de Suisse romande ne peuvent plus ignorer la cybersécurité. Un séminaire regroupant des dirigeants et employés de PME régionales a mis en lumière l’étendue du défi, mais aussi les solutions concrètes pour y faire face.
L’interruption d’activité, risque numéro un selon les experts
Pour Jean-Frédéric Lasserre, directeur sécurité et conformité chez AWSMTECH, le vrai cauchemar n’est pas tant la perte de données en elle-même que l’arrêt brutal de toute une organisation. « L’interruption de vos services, de votre activité, à la suite d’un problème informatique majeur, quel qu’il soit – paralysie, chantage, rançongiciel –, représente le risque numéro un », résume-t-il. Une paralysie de quelques jours peut suffire à mettre en péril la trésorerie d’une PME, voire sa survie.
Les recommandations de base restent pourtant accessibles à tous : analyser attentivement ses courriels avant tout clic, se méfier systématiquement des demandes présentées comme urgentes, et maintenir plusieurs sauvegardes sécurisées stockées hors réseau. Des gestes simples, mais encore trop peu ancrés dans la culture quotidienne des entreprises.
L’IA entre les mains des escrocs : un cap franchi
Si la menace n’est pas nouvelle, les outils dont disposent les cybercriminels ont radicalement changé. Mathieu Aubry, employé chez K.A.B. Protection incendie, en témoigne sans détour : même les entreprises qui se croient préparées peuvent être prises de court. « On a beau se dire que cela ne nous arrivera jamais, avec l’arrivée de l’intelligence artificielle, on voit aussi qu’ils arrivent à copier notre visage et notre voix. » Une réalité que la RTS a documentée auprès de plusieurs acteurs économiques romands, mettant en évidence des attaques toujours plus personnalisées et crédibles.
Cette évolution impose une vigilance accrue à tous les niveaux de l’entreprise. Un collaborateur peut désormais recevoir un appel vocal apparemment émis par son directeur financier, lui demandant d’effectuer un virement en urgence. La technique du deepfake audio n’est plus réservée aux films de science-fiction.
Briser le tabou : parler des cyberattaques pour mieux les combattre
L’un des freins les plus insidieux reste le silence. Alain Munir, expert indépendant en gouvernance, pointe une réalité souvent sous-estimée : « C’est un peu tabou, on a un peu honte de se faire avoir. Plus on va en parler, plus on va pouvoir affronter correctement le problème. » Derrière cette honte, un réflexe contre-productif : les entreprises victimes hésitent à partager leur expérience, privant d’autres structures des informations qui pourraient les protéger.
Le séminaire a justement cherché à créer ce dialogue. Les participants, de retour dans leurs entreprises, ont ensuite relayé les règles de prudence à leurs collègues. La formation ne s’arrête pas à la salle de réunion : elle doit infuser toute la culture d’entreprise.
Anticiper l’après : cellule de crise et obligations légales
La prévention ne suffit pas. Yannick Morand, responsable du développement chez Loyco, insiste sur la nécessité de préparer aussi la réponse à une attaque réussie : « Si effectivement l’entreprise est hackée, alors il y a la mise en place d’une cellule de crise pour la récupération de données de backup. » Autrement dit, avoir un plan B (testé, documenté, connu des équipes) est aussi crucial que d’installer un bon antivirus.
Les conséquences d’une attaque non maîtrisée sont lourdes : perte de données critiques, atteinte à la réputation sur le marché, sans oublier les pertes financières directes. Et la dimension légale s’ajoute à la pression opérationnelle. Mauricio Rocha, conseiller en personnel chez Pemsa, le rappelle clairement : en cas de vol de données, l’obligation est d’informer les personnes concernées le plus rapidement possible. Pourquoi ? Parce qu’elles peuvent à leur tour devenir victimes, notamment si des coordonnées bancaires ou des données personnelles ont été compromises.
Une assurance pour absorber l’imprévisible
L’entreprise Pemsa a d’ailleurs franchi un pas supplémentaire en souscrivant une assurance couvrant ce type de sinistre, à hauteur d’environ 50 000 francs suisses. Une somme qui illustre à la fois l’ampleur des coûts potentiels et la volonté de ne pas rester démuni face à un risque que, désormais, aucune entreprise ne peut totalement écarter.
Questions fréquentes
Pourquoi les PME sont-elles particulièrement vulnérables aux cyberattaques ?
Les PME disposent souvent de ressources limitées en matière de sécurité informatique, sans équipe dédiée ni budget conséquent. Les cybercriminels le savent et les ciblent précisément pour cela, en misant sur des attaques personnalisées rendues plus faciles par l’intelligence artificielle.
Quelles sont les premières mesures de protection à mettre en place ?
L’analyse rigoureuse des courriels, la méfiance face aux demandes urgentes, la mise en place de sauvegardes régulières stockées hors réseau et la sensibilisation de l’ensemble des collaborateurs sont les fondamentaux recommandés par les experts.
Qu’est-ce qu’une cellule de crise en cas de cyberattaque ?
Il s’agit d’un groupe de personnes désignées en amont, chargées de coordonner la réponse à une attaque : identifier l’étendue des dégâts, restaurer les données depuis les sauvegardes, communiquer en interne et en externe, et remplir les obligations légales d’information.
Une PME a-t-elle l’obligation de déclarer une fuite de données ?
Oui. En cas de vol ou d’exposition de données personnelles, l’entreprise doit informer les personnes concernées dans les meilleurs délais, notamment si des informations sensibles comme des coordonnées bancaires ont été compromises. Des sanctions peuvent s’appliquer en cas de manquement.
