Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat revient régulièrement : les organisations investissent sérieusement dans leur propre sécurité, pare-feu, MFA, sauvegardes, sensibilisation, puis donnent à un prestataire externe un accès large à leur infrastructure, sans jamais vérifier le niveau de sécurité de ce prestataire. Le maillon faible n'est plus à l'intérieur. Il est chez celui à qui vous avez ouvert la porte.

Une part croissante des incidents de cybersécurité ne provient pas de l'organisation elle-même, mais d'un tiers ayant accès à ses systèmes, prestataire IT, éditeur logiciel, sous-traitant métier. Vous pouvez avoir une sécurité irréprochable et être compromis par la faille de quelqu'un d'autre.

Le problème : la sécurité que vous ne maîtrisez pas

Aucune organisation ne fonctionne seule. Vous avez un prestataire informatique qui accède à vos serveurs à distance. Un éditeur de logiciel métier qui pousse des mises à jour sur vos postes. Un comptable ou une fiduciaire qui manipule vos données financières. Un prestataire de maintenance qui intervient sur vos équipements. Chacun de ces acteurs dispose d'un accès, et chacun de ces accès est une extension de votre surface d'attaque.

Le problème est simple : vous contrôlez votre propre niveau de sécurité, mais pas le leur. Si le prestataire qui accède à votre réseau utilise un ordinateur compromis, si l'éditeur de votre logiciel métier se fait pirater et que le canal de mise à jour est détourné, si les identifiants d'accès de votre fiduciaire fuitent, c'est votre organisation qui en subit les conséquences.

Les attaquants l'ont compris depuis longtemps. Plutôt que d'attaquer frontalement une cible bien protégée, il est souvent plus efficace de passer par un fournisseur moins bien défendu qui, lui, dispose d'un accès légitime. C'est la logique de l'attaque par la chaîne d'approvisionnement, et elle vise particulièrement les PME, qui ne vérifient presque jamais la sécurité de leurs prestataires.

Ce qu'on observe sur le terrain

Lors d'un audit pour une PME romande de 55 collaborateurs, nous avons constaté que le prestataire informatique historique disposait d'un accès administrateur permanent à l'ensemble du réseau, via un outil de prise en main à distance actif en continu, sans MFA, avec un compte partagé entre plusieurs techniciens. Aucun de ces accès n'était journalisé côté client. La PME faisait confiance à son prestataire, mais n'avait aucun moyen de savoir qui accédait à quoi, ni quand.

Dans une commune vaudoise, un logiciel de gestion fourni par un éditeur tiers se mettait à jour automatiquement depuis les serveurs de l'éditeur. Personne, côté commune, ne pouvait vérifier l'intégrité de ces mises à jour. Une compromission de l'éditeur aurait pu se propager à la commune sans aucun signal d'alerte.

Les 3 points à corriger en priorité

1. Inventorier qui a accès, et à quoi

La première étape est de savoir précisément quels tiers disposent d'un accès à vos systèmes et à vos données : prestataire IT, éditeurs logiciels, fiduciaire, maintenance, cloud. Pour chacun : quel type d'accès, quelle étendue, quelle authentification, quelle traçabilité. La plupart des organisations n'ont jamais dressé cette liste, et découvrent lors de l'audit des accès dont elles avaient oublié l'existence.

2. Encadrer contractuellement la sécurité des prestataires

L'accès d'un tiers à vos systèmes doit être encadré : exigences de sécurité minimales, MFA obligatoire, journalisation des interventions, contrat de sous-traitance (DPA) pour tout traitement de données personnelles. Faire confiance ne suffit pas, la confiance doit être formalisée et vérifiable. Un bon prestataire acceptera sans difficulté ces exigences ; un prestataire qui les refuse est lui-même un signal d'alerte.

3. Appliquer le moindre privilège aux accès tiers

Un prestataire ne devrait disposer que des accès strictement nécessaires à sa mission, pas d'un accès administrateur permanent "par confort". Accès temporaires activés à la demande, comptes nominatifs plutôt que partagés, révocation immédiate en fin de mission, journalisation systématique. Le moindre privilège s'applique à vos fournisseurs autant qu'à vos collaborateurs.

L'approche Computis

La gestion des risques fournisseurs n'est pas une remise en cause de vos prestataires, c'est une discipline de sécurité qui protège tout le monde, vous comme eux. Et elle se met en place sans friction excessive, à l'échelle de votre organisation.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie des accès tiers, revue des contrats existants, identification des accès excédentaires ou non journalisés, évaluation de votre exposition nLPD via vos sous-traitants. Ensuite, la mise en conformité : encadrement contractuel, application du moindre privilège aux accès tiers, mise en place de la journalisation. Enfin, le suivi : revue périodique des accès fournisseurs, procédure d'entrée et de sortie de prestataires.

Ce qu'il faut retenir

Votre sécurité vaut celle de votre maillon le plus faible, et ce maillon est souvent un tiers à qui vous avez ouvert la porte en toute confiance. La confiance n'est pas une mesure de sécurité. Inventorier, encadrer, limiter : trois disciplines simples qui transforment vos fournisseurs de risque invisible en partie maîtrisée de votre infrastructure.

FAQ

Nous faisons confiance à nos prestataires depuis des années, pourquoi remettre ça en cause ?
Il ne s'agit pas de remettre en cause la relation, mais de la sécuriser. La confiance humaine et la sécurité technique sont deux choses distinctes. Un prestataire de confiance peut, sans mauvaise intention, avoir un poste compromis ou des identifiants qui fuitent. Encadrer les accès protège les deux parties.

Comment vérifier la sécurité d'un fournisseur sans être nous-mêmes experts ?
Vous n'avez pas besoin d'auditer techniquement chaque prestataire. Vous avez besoin d'exiger contractuellement des garanties de base (MFA, journalisation, DPA), de limiter les accès au strict nécessaire, et de savoir qui accède à quoi. C'est précisément ce que nous mettons en place lors de l'audit — un cadre simple et vérifiable.

La nLPD nous rend-elle responsables des failles de nos sous-traitants ?
Oui. Lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable de garantir un niveau de protection approprié. Un contrat de sous-traitance (DPA) est attendu. En cas d'incident chez le sous-traitant, votre organisation peut être tenue pour responsable de ne pas avoir encadré ce traitement.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, l'encadrement, la mise en conformité et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès tiers, revue des contrats, identification des accès excédentaires, évaluation de votre exposition nLPD via vos sous-traitants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine auprès de PME romandes, de communes et d'institutions publiques pour sécuriser leur infrastructure réseau. Mais il existe un angle mort que même les organisations bien équipées négligent : le réseau qui n'est pas le leur. Dès qu'un collaborateur quitte le bureau et se connecte depuis un hôtel, un aéroport ou un café, votre périmètre de sécurité s'arrête, et le sien commence, souvent sans aucune protection.

Un réseau WiFi public n'est pas conçu pour vous protéger. Il est conçu pour être facile d'accès. Sur un réseau ouvert, un attaquant présent sur le même point d'accès peut, dans certaines conditions, intercepter le trafic non chiffré, détourner des sessions, ou présenter un faux portail de connexion. Ce ne sont pas des scénarios théoriques, ce sont des techniques documentées et automatisées.

Le problème : votre sécurité s'arrête à la porte du bureau

Vous avez investi dans un pare-feu, une segmentation réseau, un WiFi d'entreprise sécurisé. Tout cela protège vos collaborateurs tant qu'ils sont dans vos locaux. Mais le travail moderne est mobile. Déplacements clients, conférences, télétravail depuis un café, attente à l'aéroport, vos équipes se connectent en permanence à des réseaux que vous ne contrôlez pas.

Sur ces réseaux, les protections que vous avez déployées ne s'appliquent plus. Le collaborateur est seul face à un environnement dont il ne connaît ni la configuration, ni les autres utilisateurs, ni les intentions de celui qui a mis le réseau à disposition.

Le risque n'est pas que le WiFi public soit "dangereux" en soi. C'est qu'il est neutre, et que cette neutralité profite à quiconque sait l'exploiter. Un réseau ouvert ne fait pas de différence entre un client légitime et un attaquant assis deux tables plus loin.

Ce qu'on observe sur le terrain

Lors d'une sensibilisation menée pour une PME romande de 45 collaborateurs, nous avons réalisé une démonstration contrôlée dans un espace de coworking. En quelques minutes, sur un réseau ouvert, il était possible d'identifier quels appareils tentaient de se connecter automatiquement à des réseaux "connus", et de présenter un point d'accès portant le même nom. Plusieurs appareils s'y sont connectés seuls, sans intervention de leur propriétaire.

Dans une commune dont plusieurs employés se déplaçaient régulièrement, nous avons constaté qu'aucun d'eux n'utilisait de VPN lors de leurs connexions extérieures. Les accès à la messagerie et aux outils métier se faisaient en clair sur des réseaux hôteliers partagés. La commune pensait ces usages anodins, ils étaient en réalité le maillon le plus exposé de toute son infrastructure.

Les 3 mesures à mettre en place en priorité

1. Un VPN d'entreprise, utilisé systématiquement
La mesure la plus efficace et la plus simple : un VPN d'entreprise qui chiffre tout le trafic entre l'appareil du collaborateur et votre infrastructure, quel que soit le réseau utilisé. Sur un WiFi public, le VPN rend le trafic illisible pour quiconque tenterait de l'intercepter. La clé, c'est l'usage systématique, un VPN qu'on active "quand on y pense" ne protège pas.

2. La désactivation de la connexion automatique aux réseaux
La plupart des appareils se reconnectent automatiquement aux réseaux WiFi déjà utilisés, un comportement pratique, mais exploitable. Un attaquant peut créer un faux point d'accès portant un nom courant ("WiFi_Gratuit", le nom d'une chaîne d'hôtels) et capter les appareils qui s'y connectent seuls. Désactiver la reconnexion automatique et supprimer les réseaux enregistrés inutiles réduit fortement ce risque.

3. La sensibilisation des collaborateurs
La technique ne suffit pas si l'usage ne suit pas. Vos collaborateurs doivent savoir reconnaître un réseau douteux, comprendre pourquoi activer le VPN systématiquement, et adopter les bons réflexes : éviter les opérations sensibles sur WiFi public, vérifier le chiffrement (HTTPS), se méfier des portails de connexion inhabituels. La sensibilisation est ce qui transforme des outils en protection réelle.

L'approche Computis SwissFi

La sécurité en mobilité n'est pas un produit qu'on installe — c'est une combinaison d'outils et d'usages qui se met en place à l'échelle de votre organisation, sans complexité inutile.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : état des accès en mobilité, présence et configuration d'un VPN, analyse des usages réels de vos collaborateurs en déplacement. Ensuite, la mise en place : déploiement ou configuration d'un VPN d'entreprise, durcissement des appareils mobiles, politiques de connexion. Enfin, la sensibilisation : formation courte et concrète de vos équipes aux bons réflexes en déplacement.

Ce qu'il faut retenir

Votre infrastructure peut être parfaitement sécurisée et rester vulnérable par sa périphérie mobile. Le WiFi public n'est pas l'ennemi, l'absence de protection l'est. Un VPN utilisé systématiquement, des appareils bien configurés et des équipes sensibilisées suffisent à transformer le maillon le plus faible en maillon maîtrisé. C'est exactement ce que nous mettons en place.

FAQ

Un WiFi public avec mot de passe est-il sécurisé ?
Pas nécessairement. Un mot de passe partagé (affiché au comptoir d'un café ou d'un hôtel) ne protège pas votre trafic des autres utilisateurs du même réseau, qui disposent tous du même mot de passe. Le mot de passe limite l'accès au réseau, pas l'interception entre utilisateurs connectés. Seul le chiffrement de votre trafic, via un VPN, vous protège réellement.

Utiliser la 4G/5G plutôt que le WiFi public suffit-il ?
C'est effectivement plus sûr : les réseaux mobiles sont chiffrés et vous n'y partagez pas le point d'accès avec des inconnus. Pour des usages sensibles ponctuels, le partage de connexion mobile est une bonne alternative au WiFi public. Mais pour une protection systématique et complète, le VPN reste la mesure de référence, quel que soit le réseau.

La nLPD s'applique-t-elle quand nos collaborateurs sont en déplacement ?
Oui. La protection des données personnelles ne dépend pas du lieu de connexion. Dès qu'un collaborateur accède à des données personnelles, clients, administrés, collègues, depuis un réseau non sécurisé, votre organisation reste responsable de la protection appropriée de ces données. La mobilité ne suspend pas vos obligations.

Nous n'avons pas d'équipe IT, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : état des accès en mobilité, configuration VPN, analyse des usages réels, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous, chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes et des institutions publiques dans leurs choix d'infrastructure cloud. Et depuis l'entrée en vigueur de la nLPD, une phrase revient partout — chez les fournisseurs, dans les argumentaires commerciaux, dans les esprits : "Il faut héberger vos données en Suisse." Séduisante. Rassurante. Et pas tout à fait exacte.

La nLPD n'impose pas l'hébergement en Suisse. Elle impose que les transferts de données vers l'étranger soient encadrés par des garanties appropriées. La nuance n'est pas juridique, elle est stratégique. Elle change ce que vous devez réellement faire, et ce que vous payez pour.

Ce que la loi impose réellement

La nLPD, entrée en vigueur le 1er septembre 2023, ne contient aucune obligation générale d'héberger les données en Suisse. Ce qu'elle impose, c'est un cadre pour les transferts de données personnelles vers l'étranger.

Concrètement : vous pouvez transférer des données vers un pays tiers si ce pays offre un niveau de protection adéquat reconnu par le Conseil fédéral, ou si des garanties appropriées sont en place, clauses contractuelles types, règles d'entreprise contraignantes, ou autres mécanismes reconnus.

L'Union européenne, par exemple, bénéficie d'une reconnaissance d'adéquation. Héberger des données dans un datacenter allemand ou irlandais soumis au RGPD est donc possible sous nLPD, à condition que le cadre contractuel soit correctement établi.

Le mythe de "l'hébergement suisse obligatoire" vient d'une confusion entre ce qui est prudent et ce qui est requis. Héberger en Suisse simplifie la conformité. Cela ne la garantit pas, et cela ne la remplace pas.

Ce qu'on observe sur le terrain

Dans une PME de services de 30 collaborateurs, nous avons rencontré une situation fréquente : l'organisation avait payé un surcoût significatif pour une offre "100% suisse", en pensant régler définitivement sa conformité nLPD. Mais aucun registre des traitements n'existait, aucun contrat de sous-traitance n'avait été formalisé, et les
sauvegardes partaient vers un service tiers hors de Suisse. L'hébergement suisse ne compensait pas l'absence des mesures de base.

À l'inverse, une commune vaudoise utilisait Microsoft 365 hébergé en Europe, avec un DPA correctement signé, une configuration de résidenc des données activée, et un registre des traitements à jour. Elle était plus solide, en termes de conformité réelle, que la PME "100% suisse" sans documentation.

Les 3 questions à se poser avant de payer

1. Où sont réellement traitées vos données ?
Avant de choisir où héberger, cartographiez où vos données vont aujourd'hui. Beaucoup d'organisations paient pour un hébergement suisse principal tout
en laissant des flux secondaires — sauvegardes, outils SaaS annexes, analytics, partir hors de Suisse sans le savoir. La localisation du serveur principal ne dit rien des flux périphériques.

2. Le cadre contractuel est-il en place ?
Que vous hébergiez en Suisse ou en Europe, la question du contrat de traitement (DPA) reste centrale. Un hébergement suisse sans DPA formalisé n'est pas plus conforme qu'un hébergement européen sans DPA. Le contrat prime souvent sur la géographie.

3. Quel est votre besoin réel de souveraineté ?
Certaines données, santé, données sensibles d'administrés, secrets professionnels, justifient pleinement un hébergement suisse. D'autres non. Payer un surcoût de souveraineté sur des données qui ne l'exigent pas est une dépense mal orientée. La bonne question n'est pas "suisse ou pas", mais "quelles données, quel niveau de protection".

L'approche Computis

La souveraineté des données n'est pas une case à cocher, c'est une décision qui se prend données par données, en fonction de leur sensibilité réelle et de vos obligations effectives.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie de vos flux de données, localisation effective, analyse des contrats existants, évaluation de votre exposition nLPD réelle. Ensuite, les recommandations : quelles données justifient un hébergement suisse, lesquelles sont conformes en Europe avec le bon cadre, où formaliser des DPA. Enfin, la mise en œuvre : migration ciblée quand
c'est justifié, mise en place des garanties contractuelles, registre des traitements conforme.

L'objectif n'est pas de tout migrer en Suisse à tout prix. C'est de payer pour la souveraineté là où elle est nécessaire, et pas là où elle ne l'est pas.

Ce qu'il faut retenir

L'hébergement suisse n'est ni un mythe inutile, ni une obligation universelle. C'est un outil de conformité, pertinent pour certaines données, superflu pour d'autres. La vraie compétence n'est pas de tout héberger en Suisse — c'est de savoir ce qui doit l'être, et pourquoi. C'est exactement là que nous intervenons.

FAQ

La nLPD nous oblige-t-elle à héberger nos données en Suisse ?
Non. La nLPD n'impose pas l'hébergement suisse. Elle impose que les transferts de données vers l'étranger soient encadrés par des garanties appropriées, reconnaissance d'adéquation, clauses contractuelles types, ou autres mécanismes reconnus. L'hébergement suisse est une option qui simplifie la conformité, pas une obligation.

Alors pourquoi tant de fournisseurs insistent sur "l'hébergement 100% suisse" ?
Parce que c'est un argument de vente efficace et rassurant. Il n'est pas faux, un hébergement suisse simplifie effectivement certains aspects de la conformité. Mais il est souvent présenté comme une solution complète alors qu'il ne remplace ni le DPA, ni le registre des traitements, ni la cartographie des flux.

Peut-on être conforme nLPD avec Microsoft 365 ou Google Workspace hébergés en Europe ?
Oui, sous conditions. Avec un DPA correctement signé, une configuration de résidence des données appropriée et un registre des traitements à jour, un hébergement européen peut être parfaitement conforme nLPD. Le cadre contractuel et documentaire prime souvent sur la seule géographie du serveur.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure l'audit, la cartographie, la mise en conformité et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie de vos flux de données, localisation effective, analyse des contrats et DPA existants, évaluation de votre exposition nLPD, recommandations priorisées sur ce qui justifie un hébergement suisse et ce qui ne l'exige pas. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous, chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et l'une des idées les plus tenaces que nous rencontrons est celle-ci : "Nous sommes trop petits pour intéresser les pirates." C'est exactement l'inverse. Les petites structures ne sont pas ignorées, elles sont préférées. Parce qu'elles correspondent au profil de cible le plus rentable pour un attaquant.

En 2025, la majorité des victimes de ransomware ne sont pas de grandes entreprises, ce sont des PME de moins de 100 collaborateurs. Pas parce qu'elles ont plus de valeur, mais parce qu'elles sont plus faciles à atteindre et plus susceptibles de payer rapidement pour reprendre leur activité.

Le profil de la cible idéale

Les groupes de ransomware modernes fonctionnent comme des entreprises. Ils ont des processus, des outils automatisés, et des critères de sélection. Ils ne choisissent pas leurs victimes une par une, ils scannent Internet en permanence à la recherche de signaux qui indiquent une cible facile et rentable.

Le profil recherché est précis : une organisation suffisamment grande pour avoir des données critiques et de quoi payer une rançon, mais suffisamment petite pour ne pas disposer d'une équipe de sécurité dédiée. Une PME de 20 à 100 collaborateurs, une commune, une institution, c'est exactement le cœur de cible.

Les signaux qu'ils recherchent sont techniques : un port RDP exposé sur Internet, un VPN sans MFA, un logiciel non mis à jour avec une vulnérabilité connue, des identifiants présents dans une fuite de données antérieure. Chacun de ces signaux est détectable automatiquement, à grande échelle, sans aucune intervention humaine. Vous n'êtes pas visé personnellement, vous êtes détecté par un script.

Ce qu'on observe sur le terrain

Lors d'un audit pour une PME industrielle vaudoise de 70 collaborateurs, nous avons constaté que l'organisation présentait simultanément trois des signaux les plus recherchés : un port RDP exposé, un serveur Windows non mis à jour depuis 14 mois avec une vulnérabilité critique connue, et des identifiants d'employés présents dans
des fuites publiques. Du point de vue d'un attaquant automatisé, cette PME était une cible de premier choix.

Dans une commune romande, le constat était similaire : un accès distant configuré en 2020 sans MFA, jamais audité depuis. La commune pensait être protégée parce qu'elle "n'avait rien d'intéressant à voler". Mais un ransomware ne vole pas, il chiffre. Et il rend l'administration communale incapable de fonctionner jusqu'au paiement.

Les 3 façons de sortir de leur liste

1. Réduire votre surface d'exposition externe
La première chose qu'un attaquant voit, c'est ce qui est exposé sur Internet. Fermer les ports inutiles, mettre le RDP derrière un VPN, activer le MFA partout, maintenir les systèmes à jour, chacune de ces mesures vous retire des résultats de leurs scans automatisés. Vous ne devenez pas invulnérable : vous devenezmoins rentable à attaquer que la cible d'à côté.

2. Rendre une attaque non rentable
Le modèle économique du ransomware repose sur votre incapacité à récupérer vos données sans payer. Une stratégie de sauvegarde testée, isolée et restaurable change radicalement le calcul : si vous pouvez restaurer en quelques heures, la rançon perd tout son pouvoir. La sauvegarde n'est pas qu'une protection, c'est votre meilleur levier de négociation, celui de ne pas avoir à négocier.

3. Détecter avant que ça ne se propage
Un ransomware ne chiffre pas tout instantanément. Il y a souvent un délai entre l'intrusion initiale et le déclenchement du chiffrement, des heures, parfois des jours. Une détection précoce (activité réseau anormale, connexions inhabituelles, alertes sur les accès) permet d'intervenir avant que les dégâts ne soient irréversibles. C'est la différence entre un incident contenu et une catastrophe.

L'approche Computis

Sortir de la liste des cibles faciles n'est pasun projet de grande envergure. C'est une série de mesures ciblées qui, ensemble, vous rendent significativement moins rentable à attaquer que la moyenne, ce qui, face à des attaquants opportunistes, fait toute la différence.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : vue de l'extérieur (ce qu'un attaquant voit), test d'exposition, revue des accès et des mises à jour, vérification de votre capacité de restauration. Ensuite, la réduction de surface : fermeture des expositions, MFA, mises à jour, durcissement des accès. Enfin, la résilience : sauvegardes testées et isolées, détection des anomalies, plan de réponse en cas d'incident.

Ce qu'il faut retenir

Vous n'avez pas besoin d'être imprenable. Vous avez besoin d'être moins rentable à attaquer que la cible d'à côté. Les attaquants opportunistes suivent le chemin de moindre résistance, et quelques mesures ciblées suffisent à vous faire sortir de leur liste. C'est précisément ce que nous faisons.

FAQ

Nous sommes une petite structure, sommes-nous vraiment une cible pour les ransomwares ?
Oui, et c'est même l'inverse de ce qu'on croit. Les PME sont préférées par les attaquants : assez de valeur pour payer, pas assez de moyens pour se défendre. La majorité des victimes de ransomware en 2025 sont des structures de moins de 100 personnes.

Si nous sommes attaqués, payer la rançon ne règle-t-il pas le problème ?
Payer ne garantit rien : ni la récupération des données, ni l'absence de seconde attaque. Cela finance et encourage le modèle. Et en droit suisse, le paiement soulève
des questions juridiques complexes. La seule stratégie fiable est de pouvoir restaurer sans payer, donc des sauvegardes testées et isolées.

Un ransomware déclenche-t-il une obligation nLPD même sans vol de données ?
Oui. Le chiffrement de données personnelles les rend indisponibles, et l'indisponibilité est une forme de violation au sens de la nLPD. L'obligation de notification peut s'appliquer même si aucune donnée n'a été exfiltrée vers l'extérieur.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : vue externe de votre exposition, test des accès, état des mises à jour, vérification de votre capacité de restauration, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et un moment revient régulièrement dans nos interventions : l'emménagement dans de nouveaux locaux. L'entreprise hérite d'un réseau déjà câblé, par le propriétaire, par le locataire précédent, par un installateur dont personne n'a gardé les coordonnées. Et ce qu'elle hérite, elle ne le comprend pas toujours.

Dans la majorité des emménagements que nous auditons, l'entreprise ne dispose d'aucun plan de câblage, d'aucune documentation du réseau hérité, et d'aucune certification des prises. Le jour de la première panne, ce manque d'information transforme une intervention de 30 minutes en une journée entière de diagnostic.

Le problème : un réseau qu'on hérite sans le comprendre

Le câblage structuré, c'est l'épine dorsale physique de votre infrastructure : les câbles, les prises, les baies de brassage, les chemins de câbles qui relient vos postes de travail, vos serveurs, vos équipements réseau. C'est invisible au quotidien, jusqu'au jour où ça ne fonctionne plus.

Quand vous emménagez dans des locaux déjà câblés, vous héritez d'une infrastructure dont vous ne connaissez ni l'âge, ni la qualité, ni l'organisation. Les câbles sont peut-être de catégorie 5e datant de quinze ans, inadaptés aux débits actuels. Les prises ne sont peut-être pas certifiées. La baie de brassage est peut-être un enchevêtrement non documenté où personne ne sait quelle prise correspond à quel bureau.

Ce n'est pas un problème tant que tout fonctionne. Mais le câblage est précisément ce qui détermine la fiabilité, les performances et la capacité d'évolution de tout le reste, votre WiFi, vos serveurs, votre téléphonie, vos caméras. Un mauvais câblage plafonne
toute votre infrastructure, quelle que soit la qualité des équipements que vous y branchez.

Ce qu'on observe sur le terrain

Lors d'un emménagement pour une PME de 35 collaborateurs dans des bureaux du centre de Lausanne, nous avons découvert que le câblage hérité mélangeait des catégories 5e et 6, sans aucune logique apparente. Certaines prises n'étaient raccordées à rien. D'autres étaient raccordées à des prises voisines de façon non documentée. Le client avait signé son bail en supposant que "le réseau était déjà là". Il l'était, mais inutilisable en l'état pour ses besoins.

Dans une commune qui rénovait son administration, la baie de brassage héritée comptait plus de 60 câbles non étiquetés. Identifier quelle prise desservait quel bureau a nécessité une journée complète de test prise par prise — un travail qui aurait pris une heure avec une documentation à jour.

Les 3 points à vérifier avant et après l'emménagement

1. Faire auditer le câblage hérité avant de signer
Idéalement, l'état du câblage devrait être évalué avant la signature du bail, ou au minimum avant le déménagement effectif. Un audit révèle la catégorie réelle des câbles, l'état des prises, et la conformité de l'infrastructure à vos besoins. Découvrir un câblage inadapté après l'emménagement coûte beaucoup plus cher qu'une vérification préalable.

2. Exiger ou reconstituer la documentation
Plan de câblage, repérage des prises, schéma de la baie de brassage, certification des liens. Si cette documentation n'existe pas, ce qui est fréquent, il faut la reconstituer. C'est elle qui transforme une future panne en intervention rapide plutôt qu'en enquête. Une infrastructure documentée est une infrastructure maintenable.

3. Vérifier la capacité d'évolution
Le câblage hérité supporte-t-il vos besoins actuels ET futurs ? Débits, nombre de prises, alimentation PoE pour vos téléphones IP, points d'accès WiFi et caméras. Un câblage dimensionné pour l'occupant précédent n'est pas nécessairement adapté au vôtre. Anticiper évite de devoir recâbler dans deux ans.

L'approche Computis SwissFi

L'infrastructure de câblage n'est pas le sujet le plus visible de votre IT, mais c'est sa fondation. Et comme toute fondation, elle se vérifie avant de construire dessus, pas après.

Chez Computis, notre département SwissFi accompagne les PME et communes romandes lors de leurs emménagements et rénovations. Notre approche fonctionne en trois temps. D'abord, un audit du câblage existant : test et certification des liens, identification de la catégorie réelle, repérage et documentation des prises, état de la baie de brassage. Ensuite, les recommandations : ce qui est exploitable en l'état, ce qui doit être remplacé, ce qui doit être ajouté pour vos besoins actuels et futurs. Enfin, le déploiement si nécessaire : câblage structuré certifié, baie organisée et documentée,
repérage complet, une infrastructure dont vous comprenez chaque prise.

Ce qu'il faut retenir

Le câblage est la seule partie de votre infrastructure que vous ne pouvez pas mettre à jour par un clic. Mal dimensionné ou non documenté, il plafonne tout le reste et transforme la moindre panne en enquête. Vérifié et documenté, il devient une fondation fiable sur laquelle tout le reste peut être construit sereinement.

FAQ

Le réseau fonctionne dans nos nouveaux locaux — pourquoi auditer le câblage ?
Un câblage qui "fonctionne" aujourd'hui peut être sous-dimensionné, non certifié ou non documenté. Ces trois éléments ne se voient pas tant que tout va bien, ils se révèlent le jour de la panne, de l'extension ou de la montée en débit. Auditer maintenant, c'est éviter de découvrir le problème au pire moment.

La différence entre catégorie 5e, 6 et 6a, c'est vraiment important pour une PME ?
Oui. La catégorie détermine le débit maximal et la distance supportée. Un câblage 5e plafonne à des débits qui peuvent suffire aujourd'hui mais limiter vos évolutions futures, visioconférence, sauvegardes réseau, montée en charge. Connaître la catégorie réelle de votre câblage hérité est la base de toute décision d'infrastructure.

La documentation du câblage est-elle vraiment nécessaire pour une petite structure ?
Absolument. C'est même là qu'elle a le plus de valeur : sans équipe IT dédiée, une panne réseau dans une petite structure peut paralyser toute l'activité. Une documentation à jour transforme un diagnostic d'une journée en une intervention d'une heure. C'est un investissement minime pour un gain considérable.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : test et certification des liens, identification de la catégorie réelle du câblage, repérage et documentation des prises, état de la baie de brassage, recommandations d'évolution. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Abonnez-vous chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Röservez 15 minutes avec notre öquipe

S'abonner maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes, des communes et des institutions publiques dans la sécurisation de leur infrastructure. Et lors de nos audits, une question fait presque systématiquement tomber le silence dans la pièce : "Quand avez-vous testé la restauration de vos sauvegardes pour la dernière fois ?"

La plupart du temps, les sauvegardes existent. C'est leur restauration qui n'a jamais été vérifiée. Et le jour où on en a besoin, c'est rarement le bon moment pour découvrir qu'elles ne fonctionnent pas.

60% des PME victimes d'une perte de données majeure sans plan de reprise testé ne reprennent jamais une activité normale. La sauvegarde n'est pas le sujet. La capacité à restaurer, dans un délai acceptable, l'est.

Une sauvegarde n'est pas un plan de reprise

Il existe une confusion fréquente entre deux notions distinctes : la sauvegarde et le plan de reprise d'activité. La sauvegarde, c'est la copie de vos données. Le plan de reprise, c'est votre capacité à redémarrer votre activité après un incident, dans un délai défini, avec une perte de données maîtrisée.

Avoir des sauvegardes ne suffit pas. La vraie question est : combien de temps vous faut-il pour redémarrer après un sinistre, panne matérielle, ransomware, incendie, erreur humaine ? Et combien de données pouvez-vous vous permettre de perdre ?

Ces deux questions ont des noms techniques : le RTO (Recovery Time Objective, le temps de redémarrage acceptable) et le RPO (Recovery Point Objective, la quantité de données que vous pouvez perdre). La plupart des PME que nous auditons n'ont jamais défini ni l'un ni l'autre. Elles découvrent leur RTO réel le jour de l'incident, et il est presque toujours bien plus long que ce qu'elles auraient pu supporter.

Ce qu'on observe sur le terrain

Dans une PME de négoce de 40 collaborateurs, les sauvegardes tournaient automatiquement chaque nuit sur un disque réseau. Tout semblait en ordre. Lors de notre test de restauration, nous avons découvert que les sauvegardes échouaient silencieusement depuis 7 mois — le disque était plein. Personne n'avait vérifié les logs. La dernière sauvegarde exploitable datait de l'automne précédent.

Dans une commune vaudoise, les sauvegardes étaient stockées sur un serveur situé dans le même local technique que les serveurs de production. Un dégât des eaux, un incendie, ou un ransomware se propageant sur le réseau aurait détruit les données ET leur sauvegarde simultanément. La règle de l'isolation n'était pas respectée.

Les 3 points à corriger en priorité

1. La règle 3-2-1 n'est pas appliquée
La règle de référence est simple : 3 copies de vos données, sur 2 supports différents, dont 1 hors site. La majorité des PME que nous auditons ont une seule copie, sur un seul support, dans le même bâtiment que les données d'origine. Un seul incident physique détruit tout. L'isolation d'au moins une copie, hors site ou dans le cloud, déconnectée du réseau principal, est la mesure fondamentale.

2. Les sauvegardes ne sont jamais testées
Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une protection. Les échecs silencieux sont fréquents : disque plein, processus interrompu, fichiers corrompus, droits d'accès modifiés. Sans test de restauration régulier, au minimum
trimestriel, vous ne savez pas si vos sauvegardes sont exploitables. Le jour de l'incident est le pire moment pour le découvrir.

3. Aucun RTO ni RPO défini
Sans objectif de temps de reprise et de point de reprise définis, vous ne pouvez pas dimensionner votre solution de sauvegarde correctement. Combien d'heures d'interruption votre activité peut-elle supporter ? Combien de données pouvez-vous perdre ? Ces deux réponses déterminent toute votre architecture de sauvegarde — et elles doivent être des décisions de direction, pas des paramètres techniques par défaut.

L'approche Computis

La sauvegarde et le plan de reprise ne sont pas des sujets techniques réservés aux grandes entreprises. Ce sont des décisions de continuité d'activité qui concernent toute organisation et qui se dimensionnent à la taille de votre structure.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : état des sauvegardes existantes, test de restauration réel, vérification de l'isolation, analyse des logs. Ensuite, la définition des objectifs : RTO et RPO décidés avec la direction, en fonction de la réalité de votre activité. Enfin, la mise en place : architecture 3-2-1, automatisation, alertes en cas
d'échec, et surtout, tests de restauration planifiés et documentés.

Ce qu'il faut retenir

Une sauvegarde n'a de valeur que si vous pouvez la restaurer dans un délai acceptable, sans avoir perdu trop de données. La seule façon de le savoir, c'est de tester avant d'en avoir besoin. Tout le reste est une hypothèse. Et le jour de l'incident est le pire moment pour vérifier une hypothèse.

FAQ

Nos sauvegardes tournent automatiquement, ne sommes-nous pas protégés ?
Une sauvegarde automatique peut échouer silencieusement : disque plein, processus interrompu, fichiers corrompus. Sans test de restauration régulier, vous ne savez pas si elles sont exploitables. L'automatisation gère la copie mais pas la garantie de pouvoir restaurer.

C'est quoi concrètement la règle 3-2-1 ?
Trois copies de vos données, sur deux types de supports différents, dont une copie conservée hors site. C'est la règle de référence de l'industrie. Elle garantit qu'aucun incident unique, physique ou logique, ne peut détruire simultanément vos données et toutes leurs sauvegardes.

La nLPD nous impose-t-elle d'avoir un plan de reprise ?
La nLPD impose la disponibilité des données personnelles comme objectif de protection. Une perte définitive de données faute de sauvegarde restaurable constitue
un manquement. La perte de disponibilité peut aussi déclencher une obligation de notification, au même titre qu'une fuite.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : état des sauvegardes, test de restauration réel, vérification de l'isolation, définition des objectifs RTO/RPO, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et lors de l'examen des accès, le même constat revient presque systématiquement : tout le monde peut accéder à presque tout. Pas par décision mais par accumulation. Des droits ajoutés au fil des ans, jamais retirés, jamais revus.

Dans la majorité des PME que nous auditons, un collaborateur moyen a accès à 3 à 5 fois plus de ressources que son rôle ne l'exige. Chaque accès excédentaire est une surface d'attaque supplémentaire et une donnée de plus exposée en cas de compromission d'un seul compte.

Le problème : l'accumulation silencieuse des droits

Dans la plupart des organisations, la gestion des accès suit une logique d'ajout, jamais de retrait. Un collaborateur change de poste : on lui donne les accès du nouveau rôle, on oublie de retirer ceux de l'ancien. Un projet temporaire nécessite un accès : il est accordé, puis jamais révoqué. Une demande urgente passe par un accès administrateur
"juste pour cette fois" : il reste actif des années.

Le résultat est une accumulation silencieuse. Au bout de quelques années, plus personne ne sait réellement qui a accès à quoi ni pourquoi. Et chaque accès excédentaire est un risque : si le compte est compromis, l'attaquant hérite de tous ces droits accumulés.

C'est précisément ce que le principe du moindre privilège vise à corriger : chaque utilisateur, chaque application, chaque service ne devrait disposer que des accès strictement nécessaires à sa fonction ni plus, ni moins.

Ce qu'on observe sur le terrain

Dans une PME de services de 50 collaborateurs, nous avons découvert que 32 comptes sur 50 disposaient de droits d'administrateur local sur leur poste souvent hérités d'une configuration initiale jamais révisée. Un seul de ces postes compromis offrait à un attaquant un point d'appui privilégié pour se propager sur le réseau.

Dans une commune vaudoise, le compte d'un stagiaire parti depuis huit mois était toujours actif — avec un accès complet au système de gestion des administrés, incluant des données personnelles sensibles. Personne n'avait pensé à le désactiver
à la fin du stage.

Les 3 points à corriger en priorité

1. Trop de comptes administrateurs
Le compte administrateur ne devrait être utilisé que pour les tâches qui l'exigent réellement et jamais pour le travail quotidien. Dans la majorité des PME, des collaborateurs travaillent en permanence avec des droits administrateur, par confort. Un poste administrateur compromis donne à l'attaquant les clés du royaume. La séparation entre compte quotidien et compte administrateur est une mesure
fondamentale et souvent absente.

2. Aucune revue périodique des accès
Les accès s'accumulent parce que personne ne les revoit. Une revue trimestrielle ou semestrielle qui a accès à quoi, est-ce toujours justifié et permet de retirer les droits excédentaires avant qu'ils ne deviennent un risque. Sans ce processus,
l'accumulation est inévitable. Cette revue n'a pas besoin d'être complexe : elle a besoin d'être régulière.

3. Pas de procédure d'offboarding systématique
Chaque départ de collaborateur doit déclencher une révocation immédiate et complète de tous ses accès, messagerie, VPN, outils cloud, applications métier et accès physiques. Pas "quand l'IT aura le temps". Immédiatement. Les comptes orphelins d'anciens collaborateurs sont parmi les vecteurs d'intrusion les plus exploités et précisément parce que personne ne les surveille.

L'approche Computis

La gestion des identités et des accès n'est pas un projet de grande entreprise. C'est une discipline qui se met en place progressivement, à la taille de votre structure, avec des outils adaptés à votre environnement Microsoft 365, Google Workspace ou infrastructure on-premise.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie complète des comptes et des droits, identification des comptes orphelins, détection des privilèges excédentaires, revue des comptes administrateurs. Ensuite, la mise en conformité : application du moindre privilège, séparation des comptes administrateurs, mise en place des procédures d'onboarding et d'offboarding. Enfin, le suivi : revue périodique des accès, alerte sur les changements de droits sensibles, intégration dans votre routine de gestion IT.

Ce qu'il faut retenir

La sécurité ne se mesure pas au nombre de comptes que vous gérez, mais à la précision avec laquelle chacun est limité à ce dont il a besoin. Le moindre
privilège n'est pas une contrainte, c'est la façon la plus simple de réduire l'impact d'un incident avant même qu'il ne se produise.

FAQ

Le moindre privilège, ça ne va pas compliquer le travail de nos équipes ?
Non, si c'est bien fait. Le moindre privilège ne consiste pas à restreindre arbitrairement, il consiste à donner à chacun exactement ce dont il a besoin pour travailler. Bien configuré, il est invisible au quotidien. C'est uniquement en cas d'incident que sa valeur apparaît.

Nous sommes une petite structure — avons-nous vraiment besoin de gérer les accès aussi finement ?
Oui. Une petite structure a souvent moins de comptes, mais une plus forte concentration de droits par compte, parce que les rôles se cumulent. Le risque par compte compromis est donc plus élevé, pas moins. La gestion des accès est aussi pertinente pour 10 personnes que pour 1000.

La nLPD nous impose-t-elle de gérer les accès aux données ?
La nLPD impose le principe de minimisation et exige que l'accès aux données personnelles soit limité aux personnes qui en ont besoin. Un système où chacun
accède à tout va à l'encontre de cet esprit. En cas de contrôle, démontrer une gestion structurée des accès est un élément de conformité attendu.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe et vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des comptes et des droits, comptes orphelins identifiés, privilèges excédentaires détectés, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous intervenons chaque semaine dans des PME vaudoises, des communes romandes et des institutions publiques. Et depuis que nous publions Computis Insights, une question revient régulièrement de la part de nos lecteurs :
"Concrètement, comment ça se passe, un audit chez vous ?"

C'est l'objet de cette série Coulisses. Non pas pour nous vendre — mais parce que comprendre ce que nous faisons, c'est souvent comprendre pourquoi ça vaut la peine de le faire.

Chaque audit révèle au moins une vulnérabilité critique que le client ne soupçonnait pas. Pas une fois sur deux. Pas sept fois sur dix. Chaque fois. Sans exception, depuis trois ans.

Avant d'entrer : ce qu'on ne sait pas encore

Un audit Computis commence avant d'arriver dans vos locaux. La phase de préparation — généralement la veille ou le matin même — consiste à faire ce qu'un attaquant ferait depuis l'extérieur : chercher ce qui est visible sans avoir aucun accès.

Ports ouverts sur Internet. Certificats SSL expirés ou mal configurés. Sous-domaines oubliés. Adresses email exposées dans des bases de données de fuites. Présence de vos équipements dans des moteurs de recherche spécialisés comme Shodan par exemple...

Cette phase dure entre 30 et 60 minutes. Ce qu'elle révèle fixe souvent le ton du reste
de la journée. Dans plus de la moitié des cas, nous arrivons avec déjà une liste de points à vérifier de l'intérieur.

Les 4 heures sur site

Nous arrivons avec un ordinateur portable, un switch réseau portable, et une série de
questions précises. Pas de questionnaire générique à remplir ensemble — nous regardons l'infrastructure réelle, pas la documentation qui la décrit.

La première heure est consacrée à la cartographie. Scan réseau exhaustif : combien d'appareils sont connectés, quels sont-ils, dans quels segments, quelles versions de firmware, quels ports ouverts en interne. Dans la quasi-totalité des PME que nous visitons, ce scan révèle des appareils que personne ne savait qu'il existaient encore sur le réseau.

La deuxième heure se concentre sur les accès. Qui a accès à quoi, avec quels droits, avec quelle authentification. Comptes actifs d'anciens collaborateurs. Comptes administrateurs partagés entre plusieurs personnes. MFA absent sur les accès critiques. Mots de passe d'usine sur les équipements réseau. Ces situations ne sont pas rares — elles sont la norme.

La troisième heure examine les flux sortants et les configurations critiques. Ce que votre réseau envoie à l'extérieur. Vers quels pays. Via quels services. Avec quels contrôles. Et une vérification rapide de vos sauvegardes — existent-elles, sont-elles testées, sont-elles isolées du réseau principal.

La quatrième heure est une conversation. Nous vous présentons ce que nous avons trouvé, dans quel ordre vous devriez y répondre, et pourquoi. Pas un rapport de 80 pages que vous n'ouvrirez jamais — une discussion ancrée dans ce que nous avons vu ensemble ce matin-là.

Ce qu'on trouve dans la quasi-totalité des cas

10 ans d'audits dans les PME et communes romandes ont produit une liste de constantes. Pas d'exceptions — des récurrences. Voici ce que nous trouvons presque
systématiquement, indépendamment de la taille de la structure ou du secteur d'activité.

Des comptes actifs d'anciens collaborateurs.
Pas un audit sur cinq. La majorité. Des accèsà la messagerie, au VPN, aux outils cloud — de personnes qui ne travaillent plus là depuis des mois, parfois des années. Ce n'est pas de la négligence. C'est l'absence d'une procédure d'offboarding formalisée. Et c'est l'une desvulnérabilités les plus exploitées dans les incidents que nous observons.

Des appareils IoT non inventoriés sur le réseau principal.
Imprimantes, caméras, pointeuses, écrans — tous sur le même segment que les serveurs et les postes de travail. Souvent avec des firmwares qui n'ont pas été mis à jour depuis l'installation. Souvent avec le mot de passe d'usine. Toujours sans VLAN dédié.

Des sauvegardes qui ne sont pas testées.
Elles existent, dans la plupart des cas. Mais quand nous demandons "quand avez-vous testé la restauration pour la dernière fois ?", la réponse est presque toujours le silence. Une sauvegarde non testée n'est pas une sauvegarde — c'est une espérance.

Ce que l'audit change concrètement

L'audit préliminaire change quelque chose de fondamental dans la relation entre nos clients et leur infrastructure IT : il transforme une zone d'inconnu anxiogène en une liste de points documentés, priorisés, et actionnables.

La plupart des dirigeants que nous rencontrons savent intuitivement qu'ils ont des lacunes de sécurité. Ce qu'ils ne savent pas, c'est lesquelles, dans quel ordre les adresser, et ce que ça coûterait concrètement. L'audit répond à ces trois questions
en une demi-journée.

Ce n'est pas rassurant au sens où tout irait bien. C'est rassurant au sens où vous savez maintenant exactement où vous en êtes — et vous n'êtes plus seul face à un risque que vous ne pouvez pas nommer.

Chez Computis, notre audit préliminaire est payant et sérieux. Il produit un rapport documenté, des recommandations priorisées par niveau de risque réel, et une conversation honnête sur ce qui est urgent et ce qui peut attendre. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous par la suite.

Ce qu'il faut retenir

Un audit Computis ne vous dira pas que tout va bien. Il vous dira exactement ce qui ne va pas, pourquoi, et dans quel ordre y remédier. C'est différent. Et c'est la seule façon honnête de commencer à sécuriser une organisation.

FAQ

En quoi l'audit Computis est-il différent d'un questionnaire de sécurité ?
Un questionnaire de sécurité mesure ce que vous pensez avoir mis en place. Notre audit mesure ce qui existe réellement. La différence est systématiquement significative. Nous regardons l'infrastructure — pas la documentation
qui la décrit.

4 heures, c'est suffisant pour avoir un vrai diagnostic ?
Pour les PME de 10 à 150 collaborateurs, oui. La majorité des vulnérabilités critiques se révèlent dans les deux premières heures. Ce n'est pas un audit de conformité exhaustif — c'est un diagnostic des risques réels, priorisé par niveau de gravité.

Que contient le rapport produit à l'issue de l'audit ?
Le rapport documente : l'inventaire des équipements et des accès, les vulnérabilités identifiées classées par niveau de risque, les recommandations priorisées avec estimation d'effort, et un plan de remédiation à 90 jours. Il est exploitable immédiatement — par vous, ou avec nous.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Pourquoi l'audit est-il payant ?
Parce qu'il produit un travail réel — une demi-journée d'expertise, un rapport documenté, des recommandations actionnables. Un audit gratuit est un audit bâclé
ou un argumentaire commercial déguisé. Le nôtre est une prestation sérieuse. Et son coût est intégralement déduit si vous travaillez avec nous.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et depuis 2022, nous trouvons
systématiquement le même angle mort dans leurs infrastructures : les accès distants. Mis en place rapidement lors de la période COVID, souvent par un prestataire qui n'est plus là, configurés avec les outils disponibles à l'époque — et jamais audités depuis.

En 2025, le protocole RDP (Bureau à distance Windows) est impliqué dans 54% des incidents de ransomware dans les PME européennes. Le VPN sans MFA reste le vecteur d'attaque numéro un pour les intrusions sur les réseaux d'entreprise en Suisse romande. Ces deux vulnérabilités coexistent dans la majorité des organisations que nous auditons.

Le problème : ce qui a été fait vite en 2020 n'a pas été revu depuis

Le télétravail généralisé de 2020 a forcé des milliers de PME à déployer des accès distants en quelques jours. VPN, Bureau à distance Windows (RDP), solutions de bureau virtuel — tout a été mis en place dans l'urgence, avec les ressources disponibles, sans le recul nécessaire pour en évaluer les implications de sécurité.

La configuration de 2020 n'est plus une solution d'urgence temporaire. Elle est devenue votre surface d'attaque permanente.

Ce qu'on observe sur le terrain

Dans une PME de services financiers de 22 collaborateurs, nous avons identifié lors d'un audit que le port RDP (3389) était directement exposé sur Internet depuis 4 ans. Aucun MFA. Le compte administrateur utilisé pour les connexions distantes avait le même mot de passe depuis 2019. Ce compte avait tenté de se connecter depuis 14 pays différents au cours des 30 derniers jours — sans qu'aucune alerte ne soit jamais remontée.

Dans une commune vaudoise de 5'000 habitants, le VPN déployé en 2020 ne disposait d'aucune authentification à deux facteurs. Le certificat SSL du VPN avait expiré depuis 18 mois. Les logs de connexion n'étaient pas conservés au-delà de 7 jours.

Les 3 erreurs de configuration à corriger en priorité

1. RDP exposé directement sur Internet sans VPN
Le Bureau à distance Windows (RDP) ne doit jamais être accessible directement depuis Internet. C'est l'erreur la plus courante et la plus dangereuse que nous trouvons. Un port 3389 exposé est scanné en permanence par des outils automatisés qui testent des millions de combinaisons d'identifiants par heure. La correction est simple : RDP ne doit être accessible qu'après connexion VPN authentifiée. Pas de compromis.

2. VPN sans MFA — un identifiant suffit pour entrer
Un VPN sans authentification à deux facteurs offre une protection illusoire. Un identifiant compromis dans une fuite de données externe — LinkedIn, un forum, un service tiers — suffit pour accéder à l'intégralité de votre réseau interne. Le MFA sur le VPN est la mesure de sécurité au meilleur ratio coût/protection qui existe. Elle prend une demi-journée à déployer et réduit le risque d'intrusion via ce vecteur de 99%.

3. Absence de politique de session et de journalisation
Pas de déconnexion automatique après inactivité. Pas de limitation des horaires d'accès. Pas de logs conservés suffisamment longtemps. Ces trois absences transforment un accès distant en porte ouverte permanente. Et en cas d'incident, l'absence de journalisation vous prive de tout moyen de comprendre ce qui s'est passé — et de le démontrer aux autorités ou à votre assureur.

L'approche Computis

La sécurisation des accès distants n'est pas un projet complexe. C'est un projet de quelques jours, sur une infrastructure que vous avez déjà, avec des mesures dont l'impact est immédiat et mesurable.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps.

D'abord, un audit préliminaire : cartographie complète des accès distants actifs, test d'exposition des ports, analyse de la configuration VPN et RDP, vérification des politiques MFA en place, revue des logs existants.

Ensuite, la mise en conformité : fermeture des ports exposés, déploiement MFA sur tous les accès distants critiques, configuration des politiques de session (timeout, restriction horaire, restriction géographique si pertinent), mise en place de la journalisation.

Enfin, le suivi : alerte sur les connexions anormales, revue trimestrielle des accès actifs, procédure de révocation immédiate en cas de départ collaborateur.

Ce que ça donne concrètement pour votre organisation :

Ce qu'il faut retenir

L'accès distant que vous avez mis en place en 2020 pour traverser une crise est devenu votre infrastructure permanente. Les attaquants le savent. La bonne nouvelle : trois corrections ciblées — fermer le RDP, activer le MFA, journaliser — réduisent le risque d'intrusion via ce vecteur de façon spectaculaire. C'est précisément ce que nous faisons.

FAQ

Notre VPN fonctionne bien depuis 4 ans — pourquoi s'en préoccuper maintenant ?
Un VPN qui "fonctionne bien" et un VPN qui est sécurisé sont deux choses distinctes. Un VPN sans MFA fonctionne parfaitement — et reste une porte ouverte pour quiconque dispose d'un identifiant compromis. La question n'est pas si votre VPN fonctionne, mais si quelqu'un d'autre que vos collaborateurs peut l'utiliser.

Le MFA, c'est compliqué à déployer pour une PME sans IT ?
Non. Pour une PME de 10 à 100 collaborateurs, le déploiement MFA sur un VPN prend une demi-journée. Les solutions modernes (Microsoft Authenticator,
Duo, etc.) sont transparentes pour l'utilisateur — une notification push sur le smartphone, acceptée en 3 secondes. La friction est réelle les premiers jours,
puis elle disparaît.

La nLPD nous oblige-t-elle à sécuriser nos accès distants ?
La nLPD exige des mesures techniques appropriées pour protéger les données personnelles. Un accès distant sans MFA sur des systèmes traitant des données
personnelles est explicitement considéré comme une mesure inadéquate. En cas d'intrusion via ce vecteur, l'absence de protection appropriée aggrave
significativement votre exposition légale.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : exposition des ports, analyse VPN et RDP, état du MFA, revue des logs, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et depuis deux ans, un nouveau sujet s’impose dans nos audits que nous ne voyions pas avant : la convergence OT/IT. Des PME industrielles dont les machines de production parlent désormais directement à leur réseau bureautique —sans que personne n’ait réellement décidé que c’était une bonne idée.

Selon les données sectorielles 2025, les incidents de cybersécurité sur les réseaux OT ont augmenté de 87% en un an. Dans les PME industrielles sans équipe IT dédiée, la quasi-totalité des équipements OT partagent le même réseau que les postes de travail. Aucun n’est surveillé.

Le problème : deux mondes qui ne devaient pas fusionner

Pendant des décennies, les réseaux OT (Operational Technology) et les réseaux IT (Information Technology) vivaient séparément.

Les machines de production — tours CNC, robots industriels, automates programmables, systèmes SCADA, capteurs de process — communiquaient sur des protocoles propriétaires, dans des réseaux fermés, physiquement isolés du reste de l’entreprise.

Ce temps est révolu. La digitalisation de la production, les exigences de supervision à distance, la maintenance prédictive, les mises àjour firmware en ligne, les ERP connectés aux machines — tout cela a progressivement ouvert les réseaux OT vers l’IT. Et dans la majorité des PME industrielles romandes que nous auditons, cette ouverture s’est faite sans architecture de sécurité pensée en conséquence.

Le résultat : vos machines de production partagent souvent le même réseau que vos postes de travail, votre messagerie, votre NAS. Un attaquant qui compromet un poste RH peut, dans certaines configurations, pivoter vers votre automate de production.

L’inverse est également vrai.

Ce qu’on observe sur le terrain

Lors d’un audit réseau pour une PME industrielle vaudoise de 60 collaborateurs, nous avons découvert que trois automates programmables (PLC) pilotant une ligne de conditionnement étaient directement accessibles depuis le réseau bureautique.

Pas de VLAN dédié. Pas de règle de filtrage. Les PLC tournaient sur un firmware de 2018 — aucune mise à jour n’avait été appliquée depuis l’installation.

Dans une commune du canton de Fribourg gérant ses propres installations techniques (chauffage, ventilation, accès bâtiment), le système de supervision BMS (Building Management System) partageait le segment réseau de l’administration communale.

Un accès compromis au BMS aurait permis de couper le chauffage de l’école primaire ou de déverrouiller les accès bâtiment.

Les 3 points à corriger en priorité

1. Absence totale de segmentation OT/IT
Le premier réflexe est de supposer que les machines industrielles “ne sont pas sur Internet” — donc protégées. C’est faux dès lors qu’elles partagent un réseau avec des postes qui, eux, le sont. La segmentation via VLAN dédié OT, avec règles de filtrage strict vers le réseau IT, est la mesure fondamentale. Elle n’empêche pas la supervision à distance ni la maintenance — elle la contrôle.

2. Protocoles industriels sans authentification native
Modbus, PROFINET, BACnet, DNP3 — les protocoles qui font tourner vos machines ont été conçus pour des réseaux fermés. Ils n’ont pas d’authentification native. N’importe quel équipement sur le même segment réseau peut leur envoyer des commandes. Dès lors que votre réseau OT est accessible depuis votre réseau IT, ces protocoles deviennent des vecteurs d’attaque directs.

3. Accès distant aux machines sans contrôle dédié
La maintenance à distance par le constructeur, la supervision par l’intégrateur, les mises à jour firmware — tous ces accès passent souvent par des VPN génériques ou des accès RDP partagés. Sans segmentation et sans journalisation dédiée, vous ne savez pas qui accède à quoi sur votre réseau OT, ni quand.

L’approche Computis SwissFi

La convergence OT/IT n’est pas un problème qu’on résout avec un antivirus supplémentaire ou une règle firewall. C’est un problème d’architecture réseau — et c’est précisément le domaine d’expertise de SwissFi, notre département réseau et WiFi chez Computis.

Notre approche pour les PME industrielles et institutions romandes fonctionne en trois temps.

D’abord, un audit préliminaire de l’existant : cartographie complète des équipements OT connectés, identification des flux entre réseaux OT et IT, analyse des protocoles en présence, évaluation des accès distants existants.

Ensuite, la mise en place de l’architecture de segmentation : création d’un VLAN OT dédié, règles de filtrage inter-VLAN, déploiement d’une zone DMZ industrielle si nécessaire, sécurisation des accès distants avec authentification forte.

Enfin, la politique de gestion dans le temps : inventaire maintenu, procédure de mise à jour firmware, journalisation des accès OT, intégration dans votre routine de maintenance IT.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La convergence OT/IT est silencieuse — elle ne fait pas de bruit tant que rien ne se passe. Quand quelque chose se passe, c’est trop tard. L’architecture réseau est la seule réponse durable. Et elle se déploie sur votre infrastructure existante, sans arrêter la production.

FAQ

Nos machines de production ne sont pas connectées à Internet — pourquoi seraient-elles un risque ?

Vos machines ne sont peut-être pas directement exposées à Internet. Mais si elles partagent un réseau avec des postes qui le sont, un attaquant qui compromet un poste bureautique peut atteindre vos automates. L’isolation physique n’existe plus dès lors que les deux réseaux se touchent quelque part.

Nous sommes une PME de 30 personnes — la convergence OT/IT nous concerne vraiment ?

Oui. La tendance à croire que les petites structures sont moins ciblées est documentée comme fausse. Les attaquants automatisés ne font pas de discrimination par taille. Et une PME industrielle sans IT dédié est précisément le profil de victime le plus fréquent dans les incidents OT recensés en Suisse romande.

La nLPD s’applique-t-elle à nos machines de production ?

La nLPD s’applique aux données personnelles — mais les incidents sur les réseaux OT produisent souvent des fuites de données personnelles en cascade (données RH sur le même réseau, données d’accès bâtiment, données de supervision). Par ailleurs, les assureurs cyber intègrent la convergence OT/IT dans leurs questionnaires. Une infrastructure non segmentée peut affecter votre couverture d’assurance.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d’une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l’audit préliminaire Computis sur ce sujet ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des équipements OT connectés, analyse des flux OT/IT, évaluation des accès distants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

Abonnez-vous maintenant

Chez Computis, nous auditons chaque semaine des infrastructures cloud de PME romandes, de communes et d'institutions publiques. Et chaque semaine, la même question revient — posée différemment, mais identique dans sa nature : "Nos données sont-elles vraiment protégées dans Microsoft 365 ou Google Workspace ?"

La réponse honnête : ça dépend. Pas de la plateforme — mais de comment elle est configurée, de ce que dit votre contrat, et de ce que vous avez effectivement mis en place. La bonne nouvelle : c'est corrigeable.

Les deux plateformes ne sont pas vos gardiennes

Microsoft 365 et Google Workspace sont des plateformes de productivité — pas des solutions de conformité nLPD prêtes à l'emploi. 68% des PME suisses hébergent des données personnelles hors Suisse sans en être conscientes. La configuration par défaut n'est pas la configuration la plus protectrice.

Ce que "hébergement en Europe" veut vraiment dire

Les deux plateformes proposent des options d'hébergement "en Europe" ou "en Suisse" selon les plans souscrits. Mais l'hébergement des données au repos ne représente qu'une partie de l'équation. Ce que vos contrats ne précisent pas toujours : où les données sont traitées lors des opérations de support, de maintenance ou d'analyse de performance.

Microsoft 365 propose depuis 2022 l'option "EU Data Boundary" — un périmètre de traitement européen. Mais cette option n'est pas activée par défaut et
n'est disponible que sur certains plans. Sans activation explicite, vos données peuvent transiter vers des datacenters américains lors d'opérations de support.

Google Workspace propose une option similaire avec "Données en Europe" pour les plans Enterprise. Les plans Business standard ne garantissent pas la même granularité de contrôle géographique.

Dans les deux cas, la configuration par défaut d'une PME qui a souscrit en ligne sans accompagnement IT est rarement la configuration la plus protectrice au sens de la nLPD.

Ce qu'on observe sur le terrain

Dans nos audits cloud dans les PME et communes romandes, trois situations reviennent systématiquement.

Première situation : la PME utilise Microsoft 365 Business Basic ou Google Workspace Business Starter — les plans les plus accessibles en prix — sans avoir évalué les implications en matière de localisation des données et de droits d'accès tiers.

Deuxième situation : aucun contrat de traitement des données (DPA) n'a été formalisé avec le fournisseur. Or la nLPD exige que tout sous-traitant traitant des données personnelles pour votre compte soit encadré contractuellement. Un abonnement en ligne n'est pas un contrat de traitement conforme.

Troisième situation : les journaux d'audit (qui a accédé à quoi, depuis où, quand)
ne sont pas activés ou ne sont pas conservés suffisamment longtemps pour répondre aux exigences de traçabilité nLPD en cas d'incident.

Les 3 points à corriger en priorité

1. Localisation des données non configurée
Vérifiez dans les paramètres administrateur si l'option de résidence des données en Europe ou en Suisse est activée. Sur Microsoft 365, cherchez "EU Data Boundary" dans l'admin center. Sur Google Workspace, vérifiez les paramètres "Regions" dans la console d'administration. Si l'option n'existe pas sur votre plan actuel,
c'est une décision à prendre maintenant.

2. Absence de DPA formalisé avec le fournisseur
Microsoft et Google proposent tous deux des DPA (Data Processing Agreements) adaptés au RGPD et à la nLPD. Ces documents doivent être signés et conservés. Un simple abonnement en ligne ne constitue pas un encadrement contractuel suffisant au sens de la loi suisse.

3. Journaux d'audit désactivés ou insuffisants
Microsoft 365 propose des journaux d'audit dans le Centre de conformité Microsoft Purview. Google Workspace propose des journaux d'activité dans la console d'administration. Ces journaux doivent être activés, configurés pour une conservation suffisante, et exportés régulièrement. En cas d'incident, ce sont eux qui permettent
de démontrer votre conformité.

L'approche Computis

Chez Computis, nous réalisons un audit cloud pour les PME et communes romandes qui utilisent Microsoft 365 ou Google Workspace — que vous soyez en place depuis 3 mois ou 5 ans.

Nous vérifions la configuration de localisation des données, nous examinons les contrats en place, nous activons et configurons les journaux d'audit, et nous produisons un rapport documenté qui répond à la question : "Que pouvons-nous démontrer aujourd'hui si la nLPD nous en demande la preuve ?"

Cybersécurité, cloud ou réseau — une seule équipe chez Computis. Pas de consultant cloud séparé, pas de transfert de dossier entre spécialistes.

Ce que ça donne concrètement pour votre organisation :

Ce qu'il faut retenir

Microsoft 365 et Google Workspace sont d'excellentes plateformes. Mal configurées au regard de la nLPD, elles deviennent une vulnérabilité documentable. La bonne nouvelle : trois ajustements ciblés suffisent dans la grande majorité des cas. C'est précisément ce que nous faisons.

FAQ

Notre fournisseur cloud est certifié ISO 27001 — sommes-nous conformes nLPD ?

La certification ISO 27001 atteste des pratiques de sécurité du fournisseur — elle ne garantit pas votre conformité nLPD en tant que responsable du traitement. La nLPD vous impose des obligations indépendantes de celles de votre fournisseur : DPA signé, journaux d'audit, localisation des données.

Nous sommes une PME de 15 personnes — la nLPD s'applique-t-elle vraiment à notre échelle ?

Oui. La nLPD s'applique à toute organisation établie en Suisse qui traite des données personnelles, quelle que soit sa taille. Les PME de moins de 20 collaborateurs traitent des données de clients, de fournisseurs et d'employés — toutes concernées.

La nLPD nous oblige-t-elle à choisir un hébergeur suisse ?

Non. La nLPD permet les transferts de données vers des pays offrant une protection adéquate, sous conditions contractuelles appropriées.
L'hébergement suisse simplifie la conformité — mais un DPA correctement signé avec Microsoft ou Google, combiné à une configuration appropriée, peut suffire dans la plupart des cas.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi. Vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne l'audit préliminaire Computis ?

L'audit préliminaire est une prestation payante qui produit un rapport documenté sur votre configuration cloud actuelle, vos contrats de traitement, et vos journaux d'audit. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

Abonnez-vous maintenant

Chez Computis, nous auditons chaque semaine des infrastructures réseau de PME romandes, de communes et d'institutions publiques. Et depuis trois ans, le même angle mort revient sans exception : le réseau WiFi invités.

Pas parce qu'il n'existe pas — il existe, dans la plupart des structures que nous visitons. Mais parce qu'il est mal configuré. Isolé en apparence. Connecté en réalité.

Le problème : un réseau "séparé" qui ne l'est pas vraiment

Créer un SSID "Invités" ne suffit pas à isoler le trafic. C'est l'erreur la plus fréquente que nous rencontrons.

Un réseau WiFi invités mal configuré, c'est un réseau qui porte un nom différent —mais qui transite par le même équipement, partage la même table de routage, et peut accéder aux mêmes segments réseau que vos postes de travail, vos serveurs, vos imprimantes et votre NAS.

La séparation visuelle — deux noms de réseau différents sur l'écran de votre téléphone — ne crée pas de séparation technique. Elle crée une fausse impression de sécurité. Ce qui est infiniment plus dangereux que l'absence de réseau invités.

Ce qu'on observe dans les PME et communes romandes

Dans une PME de services de 28 collaborateurs, nous avons identifié lors d'un test de pénétration simulé qu'un appareil connecté au réseau WiFi invités pouvait atteindre le serveur de fichiers interne en moins de 4 minutes. Le réseau "Invités" était actif depuis deux ans. Personne ne l'avait testé depuis sa mise en place.

Dans une commune vaudoise, le réseau WiFi mis à disposition du public dans la salle d'attente de l'administration partageait le même segment réseau que les postes de travail des employés. Un visiteur patient et bien équipé aurait pu capturer du trafic administratif sensible sans bouger de son siège.

Ces situations ne sont pas des cas extrêmes. Elles sont représentatives de ce que nous observons dans la majorité des structures sans équipe IT dédiée.

Les trois angles morts à corriger en priorité

• Un SSID séparé sans VLAN dédié.
  Le nom de réseau est différent — la séparation technique, elle, n'existe pas. Sans VLAN dédié avec règles de filtrage inter-segment, votre réseau invités est une extension de votre réseau interne avec un autre nom.

• Aucun contrôle de bande passante ni de durée.
  Un réseau invités sans limitation expose votre connexion principale à une saturation volontaire ou accidentelle. Et une session ouverte sans limite de durée est une invitation à une reconnaissance réseau prolongée.

• Pas de portal captif ou d'authentification minimale.
  L'absence d'identification — même basique — rend toute traçabilité impossible en cas d'incident. En Suisse, la question de la responsabilité du propriétaire du réseau pour les usages qui en émanent est un sujet juridique non trivial.

L'approche Computis : isoler vraiment, pas en apparence

Un réseau WiFi invités correctement configuré n'est pas un projet complexe. C'est un projet qui demande une expertise réseau précise et une compréhension des flux de données de votre organisation.

Chez Computis, nous déployons systématiquement une architecture en trois couches pour les PME et communes que nous accompagnons :

Un “VLAN invités dédié” avec règles de filtrage strictes — aucun accès possible aux segments internes, accès Internet uniquement, isolation complète des flux entre visiteurs.

Un “portal captif” adapté à votre contexte — identification simple pour les visiteurs, traçabilité des connexions, limitation de durée et de bande passante.

Un “audit de la configuration existante” avant tout déploiement — parce que modifier un réseau WiFi sans comprendre l'architecture en place peut créer autant de problèmes qu'il en résout.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

Un réseau WiFi invités mal configuré n’est pas une erreur bénigne. C’est une porte entrouverte sur votre infrastructure — avec un paillasson “Bienvenue” devant. La bonne nouvelle : c’est l’une des vulnérabilités les plus simples à corriger, dès lors qu’on sait exactement ce qu’on cherche. C’est précisément ce que nous faisons.

FAQ

Nous avons déjà un réseau WiFi invités séparé — sommes-nous protégés ?

Pas nécessairement. La séparation en nom de réseau ne garantit pas la séparation technique. Sans audit de la configuration VLAN et des règles de filtrage, vous ne pouvez pas savoir ce que votre réseau invités peut réellement atteindre. C'est exactement ce que nous vérifions lors de l'audit préliminaire.

Un portal captif, ça ne ralentit pas trop l'expérience de nos visiteurs ?

Un portal captif moderne prend 15 secondes à traverser. Il peut afficher vos conditions d'utilisation, recueillir un email, ou simplement demander un clic de validation. La friction est minimale. La traçabilité et la responsabilité juridique qu'il vous apporte, elles, sont substantielles.

La nLPD nous oblige-t-elle à sécuriser notre réseau WiFi invités ?

La nLPD exige des mesures techniques appropriées pour protéger les données personnelles traitées par votre organisation. Si votre réseau invités permet — même indirectement — l'accès à des données personnelles, l'absence de séparation
technique constitue une mesure inadéquate au sens de la loi.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur qui assure le déploiement, la configuration, la formation et le suivi. Vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne l'audit préliminaire Computis ?

L'audit préliminaire est une prestation payante qui produit un rapport documenté : analyse de votre configuration WiFi existante, test de segmentation VLAN, évaluation des règles de filtrage, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et depuis trois ans, le même angle mort revient sans exception : les appareils IoT — imprimantes, caméras IP, pointeuses, écrans d’affichage, capteurs de bâtiment… — sont branchés sur le réseau de l’entreprise comme s’ils étaient des postes de travail. Sans segmentation. Sans politique de mise à jour. Sans surveillance. Invisibles pour les outils de sécurité. Parfaitement visibles pour un attaquant.

En 2026, plus de 57 % des appareils IoT en entreprise présentent des vulnérabilités critiques non corrigées. Dans les PME sans équipe IT dédiée, ce chiffre dépasse 70 %. Ces appareils ne sont pas protégés par votre antivirus. Ils ne figurent pas dans votre inventaire de sécurité. Mais ils sont sur votre réseau — et ils parlent à vos serveurs.

Le problème : l’IoT a grandi plus vite que vos politiques réseau

Il y a dix ans, le réseau d’une PME comprenait des ordinateurs, des serveurs et peut-être une imprimante. Aujourd’hui, le même espace héberge des dizaines d’appareils connectés dont personne ne tient vraiment la liste : caméras de surveillance IP, systèmes de contrôle d’accès, thermostats intelligents, écrans d’affichage dynamique, caisses enregistreuses, pointeuses biométriques, capteurs de consommation énergétique. Chacun de ces appareils a une adresse IP. Chacun communique sur votre réseau. Et la quasi-totalité d’entre eux tourne sur des firmwares qui n’ont pas été mis à jour depuis leur installation.

Le problème n’est pas que ces appareils sont dangereux en eux-mêmes. C’est qu’ils sont traités comme des équipements passifs alors qu’ils sont des points d’entrée actifs. Un attaquant qui compromet une caméra IP bon marché ne cherche pas à regarder vos locaux — il cherche un point de pivot vers votre réseau interne, vos serveurs de fichiers, votre messagerie.

Ce qu’on observe dans les PME et communes romandes

Lors d’un audit réseau pour une commune vaudoise de 8’000 habitants, nous avons identifié 34 appareils IoT actifs sur le réseau principal — dont 12 caméras de surveillance, 6 systèmes de contrôle d’accès et plusieurs bornes de recharge pour véhicules électriques. Aucun n’était isolé dans un VLAN dédié. Tous communiquaient librement avec les postes de travail administratifs et le serveur de fichiers communal. Trois appareils tournaient sur des firmwares présentant des vulnérabilités critiques connues et documentées publiquement depuis plus de 18 mois.

Dans une PME industrielle de 45 collaborateurs, une imprimante multifonction installée en 2019 servait de point d’entrée lors d’un test de pénétration simulé. En moins de 40 minutes, notre équipe avait accès au réseau partagé, aux documents RH et à la messagerie du dirigeant. L’imprimante n’avait jamais reçu de mise à jour firmware. Son mot de passe d’administration était celui d’usine.

Les trois angles morts à corriger en priorité

• Aucun inventaire des appareils connectés.

  Vous ne pouvez pas sécuriser ce que vous ne connaissez pas. Dans la majorité des structures que nous auditons, personne n’est capable de lister avec certitude tous les appareils actifs sur le réseau. Un scan réseau réalisé lors de l’audit révèle systématiquement des appareils oubliés, des équipements de précédents prestataires, des appareils personnels des collaborateurs — tous potentiellement vecteurs de risque.

• Absence de segmentation réseau pour les appareils IoT.

  Mettre vos caméras, imprimantes et capteurs sur le même réseau que vos postes de travail et vos serveurs, c’est construire une maison sans portes intérieures. La segmentation via VLAN dédiés isole chaque catégorie d’appareils : un appareil IoT compromis ne peut pas communiquer avec votre infrastructure critique. C’est la mesure technique la plus efficace — et souvent la moins mise en œuvre.

• Firmwares jamais mis à jour, mots de passe d’usine conservés.

  Les fabricants d’appareils IoT publient régulièrement des correctifs de sécurité. Ces correctifs ne s’appliquent pas automatiquement — ils nécessitent une procédure manuelle que personne ne fait parce que personne n’en est responsable. Résultat : des vulnérabilités connues, documentées, exploitables, qui restent ouvertes pendant des années sur votre réseau.

L’approche SwissFi × Computis : sécuriser le réseau jusqu’au dernier appareil

La sécurité IoT ne se règle pas avec un antivirus supplémentaire. Elle se règle au niveau de l’architecture réseau — et c’est précisément là qu’intervient SwissFi le département WiFi et réseau de Computis.

Notre approche combine trois niveaux. D’abord, un audit préliminaire de l’existant : scan complet du réseau, inventaire exhaustif des appareils connectés, identification des firmwares obsolètes et des configurations à risque, cartographie des flux entre les segments. Ensuite, la mise en place de l’architecture de segmentation : création de VLAN dédiés par catégorie d’appareils (IoT, invités, postes de travail, serveurs), configuration des règles de filtrage inter-VLAN, déploiement sur l’infrastructure réseau existante ou refondue. Enfin, une politique de gestion des appareils dans le temps : procédure de mise à jour firmware, inventaire maintenu, intégration dans votre routine de maintenance IT.

Le résultat : votre imprimante, vos caméras et vos capteurs restent fonctionnels — mais ils ne peuvent plus servir de porte d’entrée vers votre infrastructure critique.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

L’IoT en entreprise n’est pas un sujet réservé aux grandes infrastructures industrielles. C’est une réalité quotidienne dans la moindre PME romande et la plus petite commune vaudoise. Chaque appareil connecté non maîtrisé est une surface d’attaque offerte gratuitement à quiconque sait la chercher. La bonne nouvelle : une architecture réseau bien segmentée résout l’essentiel du problème — et elle se déploie sur votre infrastructure existante, sans tout reconstruire.

FAQ

Nous avons un firewall — nos appareils IoT ne sont-ils pas déjà protégés ?

Un firewall protège votre périmètre externe — il filtre ce qui entre et sort d’Internet. Mais si un appareil IoT est compromis depuis l’intérieur du réseau (via une vulnérabilité firmware, un accès physique ou une connexion Wi-Fi non sécurisée), le firewall ne voit rien. Seule la segmentation interne — VLAN dédiés avec règles de filtrage inter-segment — empêche un appareil compromis de communiquer avec votre infrastructure critique.

La segmentation VLAN, ça ne va pas casser le fonctionnement de nos appareils ?

Non, si elle est correctement configurée. La segmentation isole les flux non nécessaires — elle ne coupe pas les communications légitimes. Une caméra de surveillance doit pouvoir envoyer ses flux vers votre NVR, pas vers votre serveur de fichiers RH. Nos déploiements SwissFi sont précisément calibrés pour maintenir la fonctionnalité de chaque appareil tout en supprimant les flux non justifiés.

Qui est responsable de mettre à jour les firmwares des appareils IoT dans une PME sans IT interne ?

C’est précisément le vide organisationnel que nous observons le plus souvent. Personne n’est explicitement responsable — donc personne ne le fait. Dans le cadre d’un contrat de managed services Computis, la gestion des firmwares des appareils en périmètre fait partie du suivi proactif. Pour les structures sans IT dédiée, c’est l’une des premières choses que nous structurons.

SwissFi, c’est différent de Computis ? Comment ça fonctionne ensemble ?

Chez Computis, notre pôle réseau et WiFi — que nous appelons SwissFi en interne — couvre la conception, le déploiement et la gestion des infrastructures réseau. La cybersécurité (SwissForts), le cloud (SwissFarms) et les réseaux (SwissFi) sont trois domaines de spécialisation d'une même équipe. Vous avez un interlocuteur unique.

Comment fonctionne concrètement l’audit préliminaire réseau IoT ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : inventaire complet des appareils connectés, identification des firmwares obsolètes et des configurations à risque, cartographie des flux réseau, évaluation de votre segmentation existante et recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes et des institutions publiques dans leurs choix d'infrastructure. Et depuis l'entrée en vigueur de la nLPD, une question revient systématiquement lors de nos audits : "Nos données sont-elles vraiment en Suisse ?" La réponse honnête, dans la majorité des cas, est : vous ne le savez pas avec certitude. Et votre contrat a été rédigé précisément pour que vous ne le demandiez pas.

68 % des PME suisses utilisent au moins un service cloud dont les données sont susceptibles d'être traitées hors de Suisse — souvent sans en avoir connaissance. La conformité nLPD ne se joue pas sur la bonne volonté. Elle se joue sur les clauses contractuelles.

Le problème : “Europe” ne veut pas dire “Suisse”

La Suisse n’est pas membre de l’Union européenne. Cette évidence juridique a des conséquences pratiques que beaucoup de PME ignorent encore. Quand votre fournisseur cloud mentionne un “hébergement en Europe”, il fait généralement référence à des datacenters situés en Irlande, aux Pays-Bas ou en Allemagne — soumis au RGPD européen, mais pas à la nLPD suisse.

Ce n’est pas qu’un détail de conformité. C’est une différence de régime juridique. Le RGPD et la nLPD partagent des principes communs, mais divergent sur des points concrets : délais de notification, droits des personnes concernées, obligations du responsable du traitement. Si vos données clients, vos données RH ou vos données financières sont hébergées hors de Suisse, vous opérez dans un cadre légal que votre contrat ne vous a probablement pas expliqué.

Ce qu’on observe dans les PME et communes romandes

Lors d’un audit récent pour une commune vaudoise de taille moyenne, nous avons identifié que trois outils métiers utilisés quotidiennement — messagerie, gestion documentaire, outil RH — hébergeaient leurs données dans des régions AWS ou Azure situées hors de Suisse. Les contrats avaient été signés sans que la localisation des données soit vérifiée. Aucun registre des traitements ne mentionnait ces flux transfrontaliers.

Dans une PME de services financiers de 20 collaborateurs, l’outil de comptabilité SaaS utilisé depuis trois ans transférait automatiquement des sauvegardes vers des serveurs situés aux États-Unis — une clause enfouie à la page 34 des conditions générales. Résultat : un transfert de données vers un pays tiers sans mécanisme de protection adéquat au sens de la nLPD.

Les trois angles morts à corriger en priorité

• Aucun registre des traitements à jour.

  La nLPD exige que les organisations d’une certaine taille tiennent un registre des activités de traitement — incluant la localisation des données et les sous-traitants impliqués. Dans la réalité des PME que nous accompagnons, ce registre est absent dans la majorité des cas, ou daté de plusieurs années. C’est le premier document demandé lors d’un contrôle.

• Des contrats cloud signés sans clause de localisation.

  La plupart des contrats SaaS grand public ne garantissent pas la localisation des données en Suisse par défaut. Il faut l’exiger explicitement — souvent via un avenant, une Data Processing Agreement (DPA) spécifique, ou en optant pour une offre “Swiss hosted” quand elle existe. Sans cette clause, votre fournisseur peut déplacer vos données librement.

• Confusion entre conformité RGPD et conformité nLPD.

  Vos fournisseurs européens sont conformes RGPD — ils vous le rappellent à chaque opportunité. Mais la conformité RGPD ne garantit pas la conformité nLPD. Ce sont deux régimes distincts, avec des obligations distinctes. Faire confiance au badge “RGPD compliant” de votre fournisseur ne vous protège pas en droit suisse.

L’approche Computis : cartographier avant de migrer

La souveraineté des données ne se règle pas en changeant de fournisseur cloud du jour au lendemain. Elle se construit avec une cartographie précise de l’existant, une analyse contractuelle rigoureuse, et un plan de mise en conformité réaliste — calibré à la taille et aux moyens de votre structure.

Chez Computis, notre approche commence par un audit préliminaire de vos flux de données : identification de tous les outils SaaS et services cloud en usage, localisation effective des données, analyse des contrats et des DPA existants, évaluation des risques nLPD par catégorie de données. Nous produisons ensuite une cartographie documentée et des recommandations priorisées — migration vers des offres Swiss hosted quand c’est justifié, mise en place de garanties contractuelles quand la migration n’est pas nécessaire, registre des traitements conforme nLPD.

L’objectif n’est pas de vous faire migrer vers le cloud suisse à tout prix. C’est de vous donner une vision claire de votre exposition réelle — et de vous permettre de prendre des décisions éclairées.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La souveraineté des données n’est pas un argument marketing réservé aux grandes entreprises. C’est une obligation légale qui s’applique à votre PME, à votre commune, à votre institution — dès lors que vous traitez des données personnelles. Et dans neuf cas sur dix, l’exposition commence non pas par une cyberattaque, mais par un contrat signé sans lire la clause sur la localisation des données.

FAQ

Notre fournisseur est certifié ISO 27001 et conforme RGPD — sommes-nous couverts côté nLPD ?

Pas automatiquement. La certification ISO 27001 couvre la sécurité de l’information, pas la conformité au droit suisse. La conformité RGPD ne vaut que dans l’espace juridique européen. Pour être conforme nLPD, vous devez vérifier indépendamment que les obligations spécifiques à la loi suisse sont respectées — notamment sur les transferts vers des pays tiers et les droits des personnes concernées.

Faut-il absolument migrer vers un hébergeur suisse pour être conforme nLPD ?

Non. La nLPD autorise les transferts de données vers des pays tiers sous certaines conditions — notamment si le pays offre un niveau de protection adéquat reconnu par le Conseil fédéral, ou si des garanties contractuelles appropriées sont en place (clauses contractuelles types, règles d’entreprise contraignantes). La migration vers un hébergeur suisse est une option, pas une obligation systématique.

Le registre des traitements est-il obligatoire pour une PME de moins de 50 collaborateurs ?

La nLPD prévoit une exemption pour les entreprises de moins de 250 employés, mais uniquement si le traitement ne présente pas de risque élevé pour les personnes concernées. Dès lors que vous traitez des données sensibles — données de santé, données financières, données RH — l’exemption ne s’applique plus. Dans la pratique, la très grande majorité des PME romandes que nous accompagnons ont intérêt à tenir ce registre, ne serait-ce que pour leur propre visibilité.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer la mise en conformité nLPD à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Nous assurons l’audit, la cartographie, la rédaction des documents de conformité et le suivi dans le temps — vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne concrètement l’audit préliminaire Computis sur ce sujet ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : inventaire de vos outils SaaS et services cloud, localisation effective des données, analyse des contrats et DPA existants, évaluation de votre exposition nLPD par catégorie de données, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Qu’est-ce qu’un Secure Email Gateway (SEG) ? Le gardien à l’entrée

Commençons par les bases. Un SEG, c’est comme un portier à l’entrée de votre immeuble : il vérifie tous les emails entrants et sortants avant qu’ils n’atteignent votre boîte mail. Il se place au “périmètre” de votre réseau, c’est-à-dire à la frontière. Comment ça marche ? Il utilise des signatures (comme des empreintes digitales de virus connus) et des réputations (par exemple, si un site web est déjà signalé comme malveillant). Résultat : il bloque les menaces évidentes, comme les malwares ou les liens phishing basiques, avant qu’ils n’arrivent sur votre serveur.

Mais attention, les SEG ont leurs limites. Ils ne voient pas les emails internes (ceux échangés entre collègues dans la même entreprise), sauf si on configure des règles spéciales. Et face à des attaques avancées, comme les “Business Email Compromise” (BEC) – ces emails qui imitent parfaitement un collègue sans virus dedans – ils patinent. Pourquoi ? Parce que ces attaques reposent sur de la manipulation psychologique, pas sur des payloads (charges malveillantes) connues. De plus, installer un SEG demande de changer les enregistrements MX (une sorte d’adresse postale pour les emails), ce qui peut causer des interruptions.

Exemple concret : Si un hacker envoie un email sans virus, juste avec un texte convaincant pour vous faire cliquer ou transférer de l’argent, le SEG pourrait le laisser passer. Et pour le nettoyer après ? C’est manuel et long, augmentant les risques.

ICES : la sécurité intégrée dans le cloud, plus intelligente et agile

Passons maintenant à l’ICES, un terme inventé par Gartner en 2021. Pensez à l’ICES comme un détective high-tech qui vit directement dans votre environnement cloud, comme Microsoft 365. Au lieu de bloquer à l’entrée, il analyse les emails une fois qu’ils sont arrivés, via des API (des connexions simples et rapides).

Ce qui rend l’ICES génial ? Il utilise l’IA, l’apprentissage automatique, le traitement du langage naturel (NLP) et l’analyse comportementale. Ça veut dire qu’il repère les anomalies : un email qui n’a pas le style habituel de votre patron, ou une demande bizarre dans une conversation. Il protège contre les attaques sans payload, comme les BEC, les prises de contrôle de comptes (ATO) ou même les ransomwares. Bonus : il ajoute des bannières dynamiques dans l’email pour alerter l’utilisateur en temps réel, comme un petit rappel “Attention, ça sent le phishing !”.

Déploiement ? Facile comme bonjour : pas de changement MX, juste une connexion API en quelques minutes. Et contrairement aux SEG, l’ICES surveille aussi les emails internes, empêchant les hackers de se balader latéralement dans votre réseau.

D’après des données citées dans l’article, plus de 50 % des emails phishing passent à travers les SEG ou Microsoft 365 seuls. L’ICES comble ces trous en détectant ce qui est “anormal”, pas juste “connu comme mauvais”.

Pourquoi tant d’entreprises passent des SEG aux ICES ?

Le monde change ! Microsoft a boosté sa sécurité native dans 365, ce qui rend les SEG redondants pour beaucoup. Résultat : 80 % des organisations abandonnent leur SEG pour se concentrer sur Microsoft + ICES. Pourquoi ? Moins de duplication, plus d’efficacité contre les attaques évoluées (phishing ciblé, spear phishing). Les cybercriminels utilisent maintenant l’IA pour créer des emails ultra-personnalisés, et les SEG statiques ne suivent pas.

Mais on peut mixer les deux : utiliser un SEG pour le blocage initial et un ICES pour l’analyse fine. C’est une approche “en couches” pour une défense maximale. Cependant, pour les boîtes full-cloud, l’ICES seul suffit souvent, avec des économies à la clé.

Conclusion : vers une sécurité email plus intelligente et accessible

En résumé, les SEG sont des gardiens solides mais old-school, parfaits pour les menaces connues, tandis que les ICES sont les super-héros de l’IA, idéaux pour les attaques sournoises d’aujourd’hui. Avec l’évolution des cybermenaces, miser sur l’ICES semble être le choix malin pour protéger vos données sans compliquer la vie. Chez Computis, on croit que la sécurité doit être simple et efficace – pas une usine à gaz.

FAQ : vos questions courantes sur ICES vs SEG

• Quelle est la différence principale ? Un SEG bloque les menaces connues à l’entrée via signatures, tandis qu’un ICES analyse en profondeur avec IA dans le cloud pour détecter les anomalies sociales.

• Les ICES remplacent-ils complètement les SEG ? Pas toujours ; beaucoup les combinent, mais pour les environnements cloud comme Microsoft 365, l’ICES suffit souvent et évite les redondances.

• Est-ce compliqué à installer ? Les SEG demandent des changements techniques risqués, les ICES se connectent en minutes sans downtime.

• Protègent-ils contre les emails internes ? Les SEG non (sauf config spéciale), les ICES oui, en surveillant tout le trafic.

• Pourquoi choisir l’un ou l’autre ? Si vous gérez des archives ou du journaling, gardez un SEG. Sinon, optez pour ICES pour une protection avancée et facile.

Appel à l’action

Prêt à booster la sécurité de vos emails ? Contactez-nous chez Computis via le site web computis.ch ou via notre formulaire de contact pour un audit de votre setup email. Ou abonnez-vous à notre newsletter pour plus d’insights pédagogiques sur la cybersécurité. Partagez cet article si ça vous a aidé, et dites-nous en commentaires : utilisez-vous déjà un ICES ?

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME vaudoises, des administrations communales et des institutions publiques romandes. Et chaque semaine, le même constat revient, têtu comme un mauvais mot de passe : la gestion des accès est le point de rupture que personne ne veut regarder en face. Pas parce que les gens sont négligents. Parce que le problème est structurellement mal posé depuis vingt ans.

En 2026, 81 % des violations de données liées au piratage impliquent un mot de passe faible, réutilisé ou volé. La technologie n'est pas en cause. Ce sont les comportements — et la façon dont on a appris aux gens à les gérer.

Le vrai problème : ce n’est pas la complexité, c’est la fatigue

Depuis vingt ans, la réponse au problème des mots de passe a été la même : rendez-les plus complexes, changez-les plus souvent, n’utilisez jamais le même deux fois. Le résultat ? Des collaborateurs qui écrivent leurs mots de passe sur un Post-it collé sous le clavier, qui ajoutent un suffixe 01, 02, 03 d’un compte à l’autre, ou qui choisissent un mot de passe “fort” une fois par an — et le réutilisent partout.

Ce n’est pas de la mauvaise volonté. C’est de la surcharge cognitive. Et les attaquants le savent parfaitement. Les techniques modernes ne cherchent plus à “craquer” par force brute — elles exploitent les bases de données issues de violations précédentes. On dénombre aujourd’hui plus de 15 milliards de combinaisons identifiants/mots de passe disponibles sur le darkweb. Si votre collaborateur utilise le même mot de passe sur LinkedIn que sur votre VPN, une fuite chez un tiers devient une intrusion chez vous.

Ce qu’on observe dans les PME et communes romandes

Dans une administration communale de taille moyenne, nous avons récemment identifié trois comptes administrateurs actifs appartenant à d’anciens collaborateurs — dont un parti depuis plus de deux ans. Les accès n’avaient jamais été révoqués. Aucun système d’alerte n’existait. Ce type de situation n’est pas une exception. C’est la norme dans les structures sans équipe IT dédiée.

Dans une PME de 35 collaborateurs, plus de 40 % des mots de passe recensés lors d’un test de compromission simulé étaient présents dans des bases de données publiques connues. La moitié des comptes concernés avaient accès à des données clients sensibles soumises à la nLPD.

Les trois pratiques à corriger en priorité

• Aucune politique de révocation des accès.Chaque départ de collaborateur doit déclencher une procédure immédiate et systématique. Pas “dès que l’IT a le temps”. Immédiate. C’est une règle d’hygiène numérique de base — et l’une des plus fréquemment ignorées dans les structures que nous accompagnons.

• L’authentification à un seul facteur sur les accès critiques.En 2026, un mot de passe seul ne protège plus les accès à votre messagerie, votre VPN, votre outil de comptabilité ou votre ERP. Le MFA n’est plus une option premium — c’est le minimum attendu par vos assureurs, vos partenaires et bientôt vos autorités de contrôle.

• Pas de gestionnaire de mots de passe déployé.Demandez à votre équipe comment elle gère ses mots de passe aujourd’hui. Si la réponse n’est pas “un gestionnaire centralisé”, vous opérez avec un risque non maîtrisé. Les solutions d’entreprise résolvent 80 % du problème comportemental à coût maîtrisé — souvent moins de 5 CHF par utilisateur et par mois.

L’approche Computis : construire une hygiène des accès durable

La sécurité des accès ne se règle pas avec une note de service et une formation d’une heure. Elle se construit avec une architecture claire, des outils adaptés à la réalité de votre structure, et un suivi dans le temps. Chez Computis, notre approche pour les PME et institutions publiques romandes fonctionne en trois temps.

D’abord, un audit préliminaire : cartographie complète des accès actifs, détection des comptes orphelins, test de compromission des identifiants, analyse des politiques en place. Ensuite, la mise en place des fondamentaux : déploiement MFA sur les accès critiques, intégration d’un gestionnaire de mots de passe adapté à votre environnement (Microsoft 365, Google Workspace, infrastructure on-premise), procédures d’onboarding et d’offboarding. Enfin, une sensibilisation ciblée : formation pratique par équipe, simulant les scénarios réels de votre secteur, en français, avec des indicateurs mesurables.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La gestion des mots de passe est ennuyeuse — c’est précisément pour ça que les attaquants l’adorent. Mais c’est aussi l’un des rares domaines où des mesures simples, bien déployées, produisent des résultats immédiats et mesurables. Vous n’avez pas besoin d’un budget de grande entreprise. Vous avez besoin d’un diagnostic honnête et d’un plan de 90 jours. C’est exactement ce que nous faisons.

FAQ

Nos collaborateurs utilisent déjà des mots de passe “forts” — sommes-nous protégés ?

Un mot de passe fort mais réutilisé reste vulnérable. Si ce mot de passe a été exposé dans une violation chez un service tiers — LinkedIn, une boutique en ligne, un forum — les attaquants l’ont déjà et vont l’essayer sur vos systèmes. La force d’un mot de passe ne vaut que si chaque compte en a un unique.

Le MFA, ça ne va pas ralentir et frustrer nos équipes au quotidien ?

Le MFA moderne — notifications push sur smartphone, passkeys — est transparent pour l’utilisateur dans 95 % des cas. La friction est réelle les premiers jours, puis elle disparaît. Le coût d’une intrusion est incomparablement plus élevé que quelques secondes par connexion.

La nLPD nous oblige-t-elle à avoir une politique de gestion des accès documentée ?

La nLPD exige des mesures organisationnelles et techniques appropriées pour protéger les données personnelles. Une politique d’accès documentée est considérée comme une mesure de base par le Préposé fédéral. En cas d’incident, l’absence de politique documentée aggrave significativement votre exposition.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Nous assurons le déploiement, la configuration, la formation et le suivi — vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne concrètement l’audit préliminaire Computis ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès, comptes orphelins identifiés, test de compromission, évaluation MFA et recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Ce changement de nature n’est pas cosmétique. Il est structurel. Et il change fondamentalement la réponse que vous devez lui apporter.

L'IA n'a pas seulement amélioré les attaques — elle a supprimé les indices qui permettaient de les repérer.

L’IA au service des attaquants : la menace qui s’est industrialisée

Pendant des années, le phishing était limité par les capacités humaines des attaquants : rédiger des centaines d’e-mails convaincants prenait du temps, et les erreurs trahissaient l’arnaque. Ce temps est révolu.

L’intelligence artificielle a rendu les attaques de phishing plus rapides, plus convaincantes et plus faciles à déployer à grande échelle. Les campagnes modernes utilisent l’automatisation et l’analyse de données pour créer des messages d’apparence légitime et adapter leurs tactiques en temps réel, améliorant continuellement leur taux de réussite.

Concrètement, un attaquant peut aujourd’hui demander à un modèle de langage d’analyser votre site web, votre page LinkedIn, les publications de votre équipe dirigeante — et générer en quelques secondes un e-mail personnalisé, sans faute, dans le bon registre, avec le bon objet. Ces campagnes générées par IA ont éliminé les indicateurs traditionnels de communication frauduleuse — mauvaise grammaire, fautes d’orthographe évidentes — rendant la détection bien plus difficile, tant pour les utilisateurs que pour les outils de sécurité.

Le résultat ? Plus de 95 % des professionnels de la cybersécurité estiment que le contenu généré par l’IA rend la détection du phishing sensiblement plus difficile. Ce n’est pas une alerte marginale : c’est le nouveau plancher.

Les filtres ne voient plus ce qu’ils cherchaient

La réponse traditionnelle au phishing a longtemps été technologique : passerelles e-mail sécurisées, règles DMARC/SPF/DKIM, filtres anti-spam. Ces outils restent nécessaires. Mais ils sont conçus pour détecter des signaux que l’IA attaquante a précisément appris à effacer.

Les outils de détection IA analysent les comportements des expéditeurs, la structure des messages et les activités suspectes sur les liens pour identifier des anomalies que les filtres traditionnels ne voient pas. Mais cette course technologique a une limite claire : le rapport 2025 de KnowBe4 sur le phishing par industrie révèle une augmentation de 47 % des attaques qui contournent les défenses natives de Microsoft et les passerelles e-mail sécurisées.

Près d’une attaque sur deux passe. Et ce qui attend de l’autre côté, c’est un collaborateur — fatigué, pressé, conditionné à répondre vite. C’est précisément là que les attaquants dirigent leurs efforts.

Le vrai vecteur d’attaque, c’est l’humain

C’est le paradoxe inconfortable de notre époque : plus les outils progressent, plus l’humain devient la cible prioritaire. De nombreuses attaques reposent sur une interaction humaine. Même les messages de phishing les plus sophistiqués nécessitent qu’un collaborateur clique sur un lien, ouvre une pièce jointe ou partage des informations — ce qui fait des employés la cible principale des attaquants.

Les cyberattaques exploitent la façon dont les collaborateurs communiquent au travail : en se faisant passer pour des collègues, en créant un sentiment d’urgence, ou en imitant des demandes parfaitement légitimes. Ce ne sont pas des failles techniques. Ce sont des failles humaines, et aucun firewall ne les comble.

Pour une PME romande, une commune vaudoise ou une institution publique cantonale, la conséquence est directe : un seul clic sur un lien malveillant peut compromettre des données sensibles, paralyser un système de gestion ou déclencher une procédure de rançon. La taille de la structure ne protège pas — elle conditionne simplement la forme du prétexte utilisé par l’attaquant.

Répondre à l’IA par l’IA : la stratégie HRM nouvelle génération

Face à des attaques qui s’adaptent en permanence, les défenses statiques — formation annuelle, règles fixes, campagnes de sensibilisation génériques — ne suffisent plus. La formation classique à la sensibilisation peine à combattre des attaques d’ingénierie sociale hautement convaincantes. Les équipes sécurité sont débordées, les utilisateurs désengagés, et les organisations peinent à mesurer des résultats tangibles de leurs programmes de formation.

C’est pour répondre à cette réalité que KnowBe4 a développé AIDA — Artificial Intelligence Defense Agents — une suite d’agents IA qui automatise et personnalise la gestion du risque humain de façon continue. AIDA apprend et s’adapte en permanence aux besoins spécifiques de votre organisation, créant une formation personnalisée, adaptative et réellement efficace — qui change les comportements, pas seulement les scores de quiz.

Concrètement, trois agents travaillent en parallèle :

L’agent de formation automatisé analyse l’historique d’apprentissage, le poste, le score de risque et les comportements de chaque utilisateur à partir de 316 indicateurs répartis sur 7 domaines de connaissance, pour attribuer automatiquement les contenus les plus pertinents — quelle que soit la position ou la localisation du collaborateur.

L’agent de génération de templates exploite l’IA générative pour créer des simulations de phishing très réalistes, basées sur les vecteurs d’attaque actuels, avec des indicateurs d’ingénierie sociale fondés sur le cadre NIST Phish Scale.Ce sont les mêmes méthodes que les attaquants — retournées contre eux.

L’agent de rappel de connaissances délivre des micro-formations à des intervalles optimaux déterminés par l’analyse comportementale, pour que les bons réflexes soient réellement ancrés dans le quotidien des équipes — pas seulement mémorisés le temps d’un module.

L’analyse Computis : ce que cela change selon votre contexte

En Suisse, la question n’est pas uniquement sécuritaire — elle est aussi réglementaire. La nLPD impose une responsabilité accrue à toute organisation qui traite des données personnelles. Une violation causée par un clic sur un e-mail de phishing peut rapidement devenir une obligation de notification aux autorités, avec les conséquences réputationnelles et financières qui s’ensuivent.

Cette réalité concerne des profils très différents, et c’est précisément ce que nous observons sur le terrain :

Les PME — souvent bien équipées en outils, mais avec des équipes IT limitées. Une approche adaptative de la sécurité e-mail aide à réduire le risque humain en renforçant les bons réflexes et en signalant les comportements potentiellement dangereux. Sans programme structuré, chaque nouvel employé est une porte potentiellement ouverte.

Les institutions publiques et administrations — offices cantonaux, services fédéraux, établissements de soins — gèrent des données citoyennes hautement sensibles et sont soumises à des obligations de continuité de service strictes. Une attaque réussie ne touche pas seulement l’organisation : elle affecte directement les citoyens. Et les acteurs malveillants le savent.

Les communes — souvent sous-dimensionnées en ressources IT, elles représentent pourtant des cibles de choix. Un seul collaborateur communal trompé par un faux e-mail de l’AFC ou du SECO peut ouvrir une brèche dans des systèmes qui gèrent l’état civil, les finances publiques ou les données sociales.

Ce que nous constatons dans tous ces contextes : les modèles de détection IA s’améliorent en permanence en analysant de nouvelles tentatives et les patterns d’attaque évolutifs — mais la protection efficace contre le phishing ne se limite pas à bloquer les e-mails malveillants. Elle passe aussi par la façon dont les collaborateurs reconnaissent, signalent et réagissent aux messages suspects. L’outil le plus sophistiqué ne vaut rien si personne ne l’utilise correctement.

Notre conviction chez Computis : faire de vos collaborateurs une ligne de défense active — pas un maillon faible passif — est le seul investissement à effet durable.

Ce qu’il faut retenir

L’IA ne disparaîtra pas des arsenaux des attaquants. Elle va s’affiner, se diversifier, et cibler des contextes toujours plus précis. Dans cette course en avant, la seule variable sur laquelle vous avez un contrôle durable, c’est le comportement de vos équipes.

Lutter contre le phishing dopé à l’IA exige des stratégies en couches combinant des outils de sécurité IA et des défenses centrées sur l’humain. Aucune de ces deux dimensions ne peut fonctionner seule. Ensemble, elles forment la seule défense réellement robuste.

Former, simuler, mesurer, corriger. En continu. Avec des données réelles. C’est la seule stratégie qui transforme votre maillon le plus vulnérable en première ligne de défense.

Prêt à mesurer la vulnérabilité réelle de votre équipe ?

Lancez votre test phishing gratuit — les résultats en 24 heures.

Avant que les cybercriminels ne testent vos collaborateurs pour de vrai, découvrez votre Phish-prone Percentage™ grâce à notre test de phishing gratuit et sans engagement, propulsé par KnowBe4.

Voici comment cela fonctionne :

• Démarrez immédiatement jusqu’à 100 utilisateurs — aucun contact préalable, aucune installation requise.

• Choisissez parmi plus de 20 langues (français inclus) et personnalisez le template selon votre environnement : faux e-mail urgent de votre direction, reset de mot de passe, facture impayée.

• Sélectionnez la page de destination après clic : une page pédagogique expliquant les signaux d’alerte manqués, ou une page neutre discrète.

• En 24 heures, recevez un rapport PDF détaillé : votre Phish-prone % global, des graphiques clairs, et une comparaison avec les benchmarks de votre secteur et de la Suisse romande.

Ces chiffres concrets — souvent plus élevés que prévu — constituent un levier puissant pour obtenir un budget formation ou outils auprès de votre direction.

Pourquoi choisir Computis pour ce test ?

En tant que partenaire certifié KnowBe4 en Suisse romande, nous allons plus loin qu’un simple rapport :

• Interprétation personnalisée des résultats et plan d’action adapté à votre taille, votre secteur et votre contexte — PME, institution publique ou commune.

• Transition fluide vers des campagnes récurrentes, des formations sur mesure et des protections renforcées.

• Conformité nLPD et RGPD garantie — test anonyme au niveau individuel dans la version gratuite.

Cliquez ici pour démarrer votre test phishing gratuit

Test Phishing Security Gratuit

Ou préférez-vous une prise en main guidée ?

Contactez-nous directement :

📞 +41 21 804 69 00
ou via
💻 notre formulaire de contact

Ne laissez pas les cybercriminels tester vos collaborateurs en premier. Obtenez vos résultats concrets et bâtissez une stratégie gagnante – commencez maintenant.

FAQ — Questions fréquentes

Q1 : L’IA change-t-elle vraiment quelque chose si nos filtres sont à jour ? Oui, fondamentalement. Les filtres détectent des signatures connues. L’IA attaquante génère des contenus inédits à chaque campagne, sans signature reconnaissable. En 2025, près d’une attaque sur deux contourne les défenses natives des grandes plateformes e-mail.

Q2 : Nos collaborateurs sont déjà sensibilisés — est-ce suffisant ? Une sensibilisation ponctuelle réduit le risque, mais ne le supprime pas. Les approches modernes — simulations régulières calées sur les techniques IA actuelles, micro-learning contextualisé, signalement facilité — sont significativement plus efficaces pour réduire le risque réel et durablement.

Q3 : AIDA de KnowBe4, c’est pour les grandes entreprises uniquement ? Non. La plateforme s’adapte à partir de quelques dizaines d’utilisateurs. Chez Computis, nous la déployons aussi bien dans des PME de 20 collaborateurs que dans des administrations cantonales. Le dimensionnement est adapté à chaque structure.

Q4 : Combien de temps faut-il pour mettre en place une stratégie HRM chez Computis ? Pour une PME, notre méthodologie permet une mise en place opérationnelle en 4 à 6 semaines, avec un retour sur investissement mesurable dès le premier trimestre — notamment via la réduction du Phish-prone Percentage observé en simulation.

Q5 : Le test phishing gratuit est-il conforme à la protection des données suisse ? Oui. Dans sa version gratuite, le test est anonyme au niveau individuel. Aucune donnée personnelle n’est transmise à des tiers, et le processus est conforme aux exigences de la nLPD.

Ce n’est pas une question de budget. Ce n’est pas non plus une question de taille ou de secteur. C’est une question de méthode.

Le filtre ne suffit plus : la preuve par les chiffres

Pendant des années, la réponse au phishing a été technologique : passerelles e-mail sécurisées (SEG), règles DMARC/SPF/DKIM, filtres anti-spam. Ces outils restent nécessaires. Mais ils sont désormais insuffisants face à une menace qui a fondamentalement changé de nature.

Le rapport KnowBe4 2025 Phishing By Industry Benchmarking est sans appel : 47 % des attaques par phishing parviennent désormais à contourner les défenses natives de Microsoft et les passerelles e-mail sécurisées.

Pourquoi ? Parce que ces attaques ne cherchent plus à tromper une machine. Elles cherchent à tromper un être humain. Et les êtres humains — même attentifs, même bien intentionnés — ont des biais cognitifs que les cybercriminels exploitent avec une précision chirurgicale.

Un seul clic. Un identifiant partagé trop vite. Une facture validée sous pression. Et c’est l’ensemble du système d’information qui peut basculer.

Les 4 P du phishing : comprendre la mécanique de la manipulation

Pour contrer une attaque, il faut d’abord en comprendre la structure. Les professionnels de la cybersécurité parlent des « 4 P » du phishing :

• Prétendre — L’attaquant se fait passer pour une source de confiance : votre banque, votre direction, un fournisseur connu, Microsoft.

• Problème — Il crée une situation fausse mais alarmante : facture impayée, compte bloqué, accès expiré, colis en attente.

• Pression — Il impose une urgence artificielle pour court-circuiter le raisonnement critique : « Agissez dans les 24 heures », « Votre compte sera suspendu ».

• Profit — Il obtient ce qu’il cherche : identifiants, virement, accès VPN, données RH.

Ce schéma, simple en apparence, est aujourd’hui amplifié par l’intelligence artificielle générative. Les e-mails de phishing sont rédigés sans faute d’orthographe, dans un français parfait, avec le bon logo, le bon ton, et parfois même le bon prénom. L’IA a supprimé les indices visuels qui permettaient autrefois de repérer les faux messages.

Chez Computis, nous observons cette évolution au quotidien : les attaques que nous simulons dans nos campagnes de test sont de plus en plus difficiles à distinguer de vrais e-mails internes. C’est délibéré. C’est le point.

L'erreur classique : traiter le phishing comme un problème IT

La plupart des organisations abordent encore le phishing comme un problème purement technique. On investit dans des outils, on configure des règles, on met à jour les signatures. Mais on néglige l’essentiel : le dernier filtre avant le clic, c’est un humain.

Et les humains ne fonctionnent pas comme des firewalls. Ils sont fatigués en fin de journée. Ils font confiance à leur hiérarchie. Ils sont conditionnés à répondre vite aux demandes urgentes. Les attaquants le savent, et ils exploitent exactement ces moments-là.

La conséquence est directe : selon le dernier rapport du FBI sur la cybercriminalité, les arnaques de type Business Email Compromise (BEC) — ces e-mails qui usurpent l’identité d’un dirigeant ou d’un fournisseur — ont généré 2,77 milliards de dollars de pertes déclarées en 2024.

Ce chiffre ne concerne pas uniquement les grandes entreprises. Les PME sont des cibles privilégiées précisément parce qu’elles disposent de moins de ressources dédiées à la cybersécurité et que leurs processus internes sont souvent moins formalisés.

Ce que vos collaborateurs doivent faire — et éviter

La réduction du risque humain commence par des comportements concrets, applicables dès aujourd’hui. Cinq habitudes font une différence réelle :

1. Vérifier l’expéditeur — Pas seulement le nom affiché, mais l’adresse e-mail complète. Un espace, une lettre transposée, un domaine proche suffisent à tromper.

2. Ne jamais cliquer sans réfléchir — Passer la souris sur un lien avant de cliquer révèle souvent l’URL réelle. En cas de doute, accéder directement au site concerné.

3. Repérer les messages qui créent de l’urgence — L’urgence artificielle est le signe le plus fiable d’une tentative de manipulation. Plus un e-mail presse, plus il faut ralentir.

4. Signaler sans attendre — Un collaborateur qui signale un e-mail suspect protège potentiellement toute l’organisation. Un seul signalement peut permettre de neutraliser une campagne en cours.

5. Se former régulièrement — Non pas une fois par an lors d’un module obligatoire, mais de façon continue, à travers des simulations réalistes et un micro-learning adapté.

À l’inverse, certains réflexes aggravent la situation : répondre à un e-mail suspect pour « en savoir plus », transférer un message douteux à un collègue, ou simplement le déplacer dans le dossier spam sans le signaler. Ces comportements, bien intentionnés, retardent la réponse de l’équipe sécurité et propagent la menace.

La réponse stratégique : la Human Risk Management (HRM)

Les organisations les plus matures en cybersécurité ne cherchent plus seulement à bloquer les menaces. Elles cherchent à mesurer et réduire le risque humain de manière systématique.

C’est ce qu’on appelle la Human Risk Management (HRM) — une approche structurée qui va bien au-delà de la sensibilisation traditionnelle. Là où une formation annuelle mesure la présence, la HRM mesure le comportement.

Concrètement, cela repose sur trois piliers que nous déployons chez Computis :

1. Des simulations de phishing régulières et réalistes Envoyer de faux e-mails malveillants en interne pour mesurer la réactivité des équipes, identifier les profils à risque, et adapter les formations en conséquence. Les résultats sont souvent surprenants — et toujours utiles.

2. Une formation continue et personnalisée Plus question de cocher une case une fois par an. Les programmes efficaces utilisent du micro-learning ciblé, déclenché par les comportements observés. Un collaborateur qui a cliqué sur un lien suspect reçoit immédiatement une formation courte et contextualisée — pas six mois plus tard.

3. Un mécanisme de signalement intégré Permettre aux collaborateurs de signaler facilement les messages suspects depuis leur boîte mail — en un clic — transforme chaque employé en capteur actif de la menace. Les équipes sécurité peuvent ainsi détecter des campagnes en temps réel et réagir avant que d’autres victimes ne cliquent.

Chez Computis, nous aidons les PME, les institutions publiques et les communes suisses à mettre en place cette approche de A à Z, en veillant à ce qu’elle soit conforme aux exigences de la nLPD (Loi fédérale sur la protection des données) et adaptée aux réalités opérationnelles de chaque structure — qu’il s’agisse d’une équipe de 10 personnes ou d’une administration de plusieurs centaines d’agents.

L'analyse Computis : ce que cela change selon votre contexte

En Suisse, la question n’est pas seulement sécuritaire — elle est aussi réglementaire. La nLPD impose une responsabilité accrue à toute organisation qui traite des données personnelles. Une violation causée par un clic sur un e-mail de phishing peut rapidement devenir une obligation de notification aux autorités, avec les conséquences réputationnelles et financières qui s’ensuivent.

Cette réalité concerne des profils très différents, et c’est précisément ce que nous observons sur le terrain :

Les PME — souvent bien équipées en outils, mais avec des équipes IT limitées et des processus de validation moins formalisés. Elles sont des cibles privilégiées car elles traitent des données sensibles (clients, fournisseurs, finances) sans toujours disposer d’une expertise dédiée à la cybersécurité.

Les institutions publiques et administrations — collectivités, offices cantonaux, services fédéraux — gèrent des données citoyennes hautement sensibles et sont soumises à des obligations de continuité de service strictes. Une attaque réussie n’t’impacte pas seulement l’organisation : elle affecte directement les citoyens. Et les acteurs malveillants le savent.

Les communes — souvent sous-dimensionnées en ressources IT, elles représentent pourtant des cibles de choix. Un seul employé communal trompé par un faux e-mail de l’AFC ou du SECO peut ouvrir une brèche dans des systèmes qui gèrent l’état civil, les finances publiques ou les données sociales.

Ce que nous constatons dans tous ces contextes : les attaquants n’adaptent pas leur sophistication à la taille de la cible. Ils adaptent leur prétexte. L’e-mail qui usurpe la direction d’une PME deviendra un faux message de la Chancellerie d’État ou d’un syndicat intercommunal. La mécanique, elle, reste identique.

Notre conviction chez Computis : la sécurité e-mail efficace n’est pas un projet IT. C’est un projet organisationnel. Elle implique la direction, les RH, les managers, et chaque collaborateur — que vous soyez une entreprise de 15 personnes, une commune de 3 000 habitants ou une institution publique cantonale.

Ce qu'il faut retenir

Le phishing ne disparaîtra pas. Les filtres continueront de s’améliorer, et les attaquants continueront de les contourner. Dans cette course en avant, l’unique variable sur laquelle vous avez un contrôle durable, c’est le comportement de vos équipes.

Former, simuler, mesurer, corriger. En continu. Avec des données réelles. C’est la seule stratégie qui transforme votre maillon le plus vulnérable en première ligne de défense.

Prêt à mesurer la vulnérabilité réelle de votre équipe ?

Lancez votre test phishing gratuit — les résultats en 24 heures.

Avant que les cybercriminels ne testent vos collaborateurs pour de vrai, découvrez votre Phish-prone Percentage™ grâce à notre test de phishing gratuit et sans engagement, propulsé par KnowBe4.

Voici comment cela fonctionne :

• Démarrez immédiatement jusqu’à 100 utilisateurs — aucun contact préalable, aucune installation requise.

• Choisissez parmi plus de 20 langues (français inclus) et personnalisez le template selon votre environnement : faux e-mail urgent de votre direction, reset de mot de passe, facture impayée.

• Sélectionnez la page de destination après clic : une page pédagogique expliquant les signaux d’alerte manqués, ou une page neutre discrète.

• En 24 heures, recevez un rapport PDF détaillé : votre Phish-prone % global, des graphiques clairs, et une comparaison avec les benchmarks de votre secteur et de la Suisse romande.

Ces chiffres concrets — souvent plus élevés que prévu — constituent un levier puissant pour obtenir un budget formation ou outils auprès de votre direction.

Pourquoi choisir Computis pour ce test ?

En tant que partenaire certifié KnowBe4 en Suisse romande, nous allons plus loin qu’un simple rapport :

• Interprétation personnalisée des résultats et plan d’action adapté à votre taille, votre secteur et votre contexte — PME, institution publique ou commune.

• Transition fluide vers des campagnes récurrentes, des formations sur mesure et des protections renforcées.

• Conformité nLPD et RGPD garantie — test anonyme au niveau individuel dans la version gratuite.

Cliquez ici pour démarrer votre test phishing gratuit

Test Phishing Security Gratuit

Ou préférez-vous une prise en main guidée ?

Contactez-nous directement :

📞 +41 21 804 69 00
ou via
💻 notre formulaire de contact

Ne laissez pas les cybercriminels tester vos collaborateurs en premier. Obtenez vos résultats concrets et bâtissez une stratégie gagnante – commencez maintenant.

FAQ — Questions fréquentes

Q1 : Simplement ouvrir un e-mail de phishing est-il dangereux ? Non, dans la grande majorité des cas. Le risque réel commence lorsque vous cliquez sur un lien, ouvrez une pièce jointe, ou saisissez des identifiants. Si cela arrive, signalez immédiatement l’incident à votre équipe IT ou à votre responsable sécurité.

Q2 : Nos filtres anti-spam ne suffisent-ils pas à nous protéger ? Ils restent utiles, mais insuffisants. En 2025, près d’une attaque sur deux contourne les filtres natifs des grandes plateformes e-mail. La protection technique doit être complétée par une approche centrée sur le comportement humain.

Q3 : Les formations annuelles obligatoires ont-elles encore une valeur ? Elles sensibilisent, mais elles ne changent pas durablement les comportements. Les approches modernes — simulations régulières, micro-learning contextualisé, signalement facilité — sont significativement plus efficaces pour réduire le risque réel.

Q4 : Combien de temps faut-il pour mettre en place une stratégie HRM chez Computis ? Pour une PME, notre méthodologie permet une mise en place opérationnelle en 4 à 6 semaines, avec un retour sur investissement mesurable dès le premier trimestre.

Q5 : Le test phishing gratuit est-il conforme à la protection des données suisse ? Oui. Dans sa version gratuite, le test est anonyme au niveau individuel. Aucune donnée personnelle n’est transmise, et le processus est conforme aux exigences de la nLPD.

L’intelligence artificielle n’est pas seulement un outil de productivité. Elle transforme radicalement le paysage des risques en entreprise. Dans un récent webinaire animé par des experts comme Bryan Palma et Jinan Budge, directrice de recherche chez Forrester, un constat clair s’est imposé : l’essor des IA génératives et des agents autonomes redessine complètement les frontières entre risques humains et risques technologiques.

Chez Computis, entreprise suisse spécialisé dans la cybersécurité pour les PME, nous observons au quotidien cette évolution. Les incidents liés à l’IA ont augmenté de 44 % en une seule année, et les systèmes « agentiques » fonctionnent 24 h/24 sans jamais se reposer. Le résultat ? Une surface d’attaque élargie où humains et machines interagissent en permanence. Ignorer cette réalité, c’est exposer votre organisation à des menaces que les approches traditionnelles ne peuvent plus contenir.

L’IA accélère l’ampleur, la vitesse et la sophistication des attaques

L’IA agit comme un amplificateur double :

• Risques involontaires : vos collaborateurs utilisent des outils IA (ChatGPT, Copilot, etc.) avec de bonnes intentions, mais partagent parfois des données sensibles sans le savoir.

• Exploitation malveillante : les cybercriminels créent des deepfakes ultra-réalistes, des appels vishing sophistiqués ou des attaques par injection de prompts pour contourner les défenses.

Jinan Budge l’explique parfaitement : « Les agents IA sont entraînés pour avoir une volonté infinie… c’est ce qui les rend extraordinaires, mais aussi ce qui rend indispensable de placer des garde-fous autour d’eux. »

Contrairement aux humains, un agent IA ne dort jamais, ne doute jamais et n’hésite jamais. Cela crée une fenêtre d’attaque permanente que les attaquants exploitent déjà activement. Chez Computis, nous poussons l’analyse plus loin : en Suisse, où la Loi fédérale sur la protection des données (nLPD) impose une responsabilité accrue, ces fuites involontaires peuvent rapidement devenir des violations réglementaires coûteuses.

Le Shadow AI remplace le Shadow IT

Jusqu’à 40 % des employés ont déjà partagé des informations sensibles avec un grand modèle de langage, souvent sans en avoir conscience. Ce n’est plus un problème technique : c’est un enjeu culturel.

Lorsque la sécurité devient un frein plutôt qu’un facilitateur, les collaborateurs contournent les règles pour « simplement faire leur travail ». Dans l’ère de l’IA, ces contournements se propagent à une vitesse fulgurante.

Chez Computis, nous aidons les PME suisses à transformer cette culture. Au lieu de dire « non », nous mettons en place des solutions de gouvernance qui rendent la sécurité invisible et fluide, tout en maintenant un contrôle total.

Les agents IA : votre nouvelle main-d’œuvre non encadrée

De nombreuses entreprises déploient des agents IA sans aucun processus équivalent à celui appliqué aux employés humains : pas d’onboarding, pas de vérification, pas de gouvernance.

« Nous avons des processus pour les humains – vérifications, formations, supervision. Nous n’en avons pas encore pour les agents », résume Bryan Palma.

Ce vide crée un risque réel. La plupart des organisations ne disposent même pas d’un inventaire simple des agents IA en activité, des données auxquelles ils accèdent ou des tâches qu’ils exécutent.

Analyse approfondie de Computis : ce manque de visibilité est particulièrement critique pour les PME suisses qui travaillent avec des données clients sensibles (banques, santé, industrie). Sans gouvernance, un agent IA mal configuré peut devenir une porte dérobée pour les attaquants.

La gouvernance : la base indispensable (et encore trop souvent absente)

La bonne nouvelle ? Il est encore temps d’agir. Une gouvernance IA efficace repose sur quatre piliers que nous déployons chez Computis :

• Gouvernance, risque et conformité (GRC)

• Gestion des identités et des accès

• Sécurité et confidentialité des données

• Principes Zero Trust appliqués aux agents IA

Ce n’est pas une solution ponctuelle : c’est une transformation organisationnelle que nous accompagnons de A à Z.

5 enseignements clés pour les responsables sécurité et IT

1. L’IA n’élimine pas le risque humain, elle l’amplifie Les collaborateurs restent au centre des décisions. L’IA accélère simplement la vitesse et l’impact de leurs actions.

2. Traitez les agents IA comme des employés à part entière Onboarding, contrôles d’identité, monitoring continu et garde-fous sont obligatoires.

3. La visibilité est la première étape Réalisez un inventaire complet des outils IA, des agents déployés et des données partagées.

4. Mesurez le risque au lieu de l’estimer Les approches modernes de HRM (comme celles que nous utilisons chez Computis) calculent des scores de risque comportemental en temps réel, pour les humains et pour les agents.

5. La culture de sécurité doit évoluer Il ne s’agit plus seulement de former les humains, mais de créer une culture où humains et IA collaborent en toute sécurité.

Le mot de la fin chez Computis

L’IA représente une opportunité immense… à condition de l’aborder avec discipline et expertise. Vous ne pouvez ni l’ignorer, ni la bloquer, ni la sécuriser avec les méthodes d’hier.

Chez Computis, nous plaçons la gestion des risques humains au cœur de notre accompagnement. Nous aidons les PME suisses à transformer l’IA en véritable atout concurrentiel tout en protégeant leur patrimoine le plus précieux : leurs données et leurs collaborateurs.

Prêt à mesurer la vulnérabilité réelle de votre équipe ? Lancez votre test phishing gratuit

Avant que les cybercriminels ne testent vos collaborateurs pour de vrai, découvrez votre Phish-prone Percentage™ grâce à notre test de phishing gratuit et sans engagement, propulsé par KnowBe4.

Voici comment cela fonctionne en toute simplicité :

• Démarrez immédiatement jusqu’à 100 utilisateurs (aucun contact préalable ni installation requise).

• Choisissez parmi plus de 20 langues (français inclus) et personnalisez le template selon votre environnement (ex. : faux email urgent de votre direction, reset mot de passe, facture impayée).

• Sélectionnez la page de destination après clic : une page pédagogique expliquant les red flags manqués, ou une page 404 discrète.

• Les emails partent automatiquement.

• En 24 heures, recevez un rapport PDF détaillé par email : votre Phish-prone % global, graphiques clairs, comparaison avec les benchmarks de votre industrie et de votre région.

Ces chiffres concrets (souvent plus élevés que prévu) constituent un excellent levier pour obtenir un budget formation ou outils auprès de votre direction.

Pourquoi choisir Computis pour ce test ?

En tant que partenaire certifié KnowBe4 en Suisse romande, nous allons plus loin :

• Interprétation personnalisée des résultats et plan d’action adapté à votre taille et secteur.

• Transition fluide vers des campagnes récurrentes, formations sur mesure et protections renforcées.

• Conformité RGPD et normes suisses garantie (test anonyme au niveau individuel dans la version gratuite).

Découvrez dès aujourd’hui le Phish-prone Percentage™ réel de votre équipe – le pourcentage de collaborateurs qui cliqueraient sur un email frauduleux réaliste.
Ce test gratuit, propulsé par KnowBe4 et adapté par Computis, vous livre en 24 heures :

• Votre score de vulnérabilité humaine

• Des graphiques prêts à partager avec votre direction

• Une comparaison avec les benchmarks de votre secteur et de la Suisse romande

Aucun engagement, aucune installation, anonymat garanti au niveau individuel. C’est la première étape concrète pour transformer votre plus grand risque (le facteur humain) en votre meilleure protection.

Cliquez ici pour démarrer votre test phishing gratuit

Test Phishing Security Gratuit

Ou préférez-vous une prise en main guidée ?

Contactez-nous directement :

📞 +41 21 804 69 00
ou via
💻 notre formulaire de contact

Ne laissez pas les cybercriminels tester vos collaborateurs en premier. Obtenez vos résultats concrets et bâtissez une stratégie gagnante – commencez maintenant.

FAQ – Questions fréquentes

Q1 : Qu’est-ce que le Shadow AI et pourquoi est-il si dangereux ?
Le Shadow AI désigne l’utilisation d’outils IA non autorisés par le service IT. Il est dangereux car il échappe à tout contrôle, entraînant des fuites de données sensibles et des violations de conformité LPD.

Q2 : Comment savoir si mes agents IA sont sécurisés ?
Commencez par un inventaire complet. Chez Computis, nous réalisons un audit gratuit qui cartographie vos agents, leurs droits d’accès et leurs flux de données.

Q3 : Les formations traditionnelles suffisent-elles encore ?
Non. Les formations annuelles sont dépassées. Nous utilisons des simulations en temps réel et du micro-learning adapté aux risques IA pour changer durablement les comportements.

Q4 : Quelle est la différence entre risque humain et risque IA ?
Le risque humain est amplifié par l’IA. Les agents n’ont pas de « bon sens » ni de fatigue. Ils exécutent les instructions à la lettre, même dangereuses.

Q5 : Combien de temps faut-il pour mettre en place une gouvernance IA chez Computis ?
Pour une PME, notre méthodologie permet une mise en place opérationnelle en 4 à 6 semaines, avec un retour sur investissement mesurable dès le premier trimestre.

Pourtant, selon le dernier rapport KnowBe4 2025 (basé sur 67,7 millions de simulations phishing auprès de 14,5 millions d’utilisateurs), le signal d’alerte le plus fiable n’est plus technique : c’est la pression artificielle pour agir vite. 34 % des collaborateurs identifient aujourd’hui cette urgence fabriquée comme le principal indice de fraude – devant les adresses inconnues (23 %), les demandes d’informations sensibles (23 %) ou les erreurs grammaticales (20 %).

Chez Computis, partenaire KnowBe4 en Suisse romande, nous constatons ce phénomène quotidiennement auprès des PME et collectivités que nous accompagnons. Le “piège de l’urgence” exploite un biais psychologique puissant : en créant une fausse crise (« votre compte sera suspendu dans 2 heures », « validation urgente requise avant fermeture des comptes », « incident sécurité – action immédiate »), les attaquants désactivent votre réflexion critique. L’IA amplifie cela en personnalisant les messages, rendant le piège encore plus convaincant.

Le risque ne vient pas seulement de l’extérieur : l’anxiété email est une menace interne réelle

Au-delà des attaques externes, vos collaborateurs vivent une véritable « anxiété email ». 44 % d’entre eux craignent avant tout d’envoyer un message au mauvais destinataire – un risque qu’ils jugent plus élevé qu’un phishing ciblé (20 %). 19 % redoutent d’inclure par erreur des données confidentielles.

Pour limiter ces erreurs humaines, plus de la moitié (52 %) vérifient systématiquement destinataires et pièces jointes. En revanche, seulement 12 % scrutent activement les informations sensibles – le geste pourtant le plus critique.

La bonne nouvelle ? La vigilance progresse : seuls 6 % des employés ignorent désormais les emails suspects. Mais l’intuition humaine a besoin d’un soutien technologique pour être efficace.

Sortir du piège : combiner sensibilisation, simulations et protections automatisées

C’est exactement ce que propose Computis avec la plateforme KnowBe4 HRM+ : formations gamifiées interactives, simulations phishing réalistes, coaching en temps réel et filtres intelligents. Nous ne nous contentons pas de bloquer les menaces entrantes ; nous empêchons surtout les erreurs sortantes.

Les résultats parlent d’eux-mêmes : selon les benchmarks KnowBe4 2025, une organisation non formée affiche en moyenne un Phish-prone Percentage™ (pourcentage de collaborateurs susceptibles de cliquer sur un phishing) de 33,1 % au niveau mondial – un tiers de l’équipe ! Après 90 jours de programme continu, ce taux chute de plus de 40 % ; après 12 mois, jusqu’à 86 % de réduction (jusqu’à 4,1 % en moyenne).

Prêt à mesurer la vulnérabilité réelle de votre équipe ? Lancez votre test phishing gratuit

Avant que les cybercriminels ne testent vos collaborateurs pour de vrai, découvrez votre Phish-prone Percentage™ grâce à notre test de phishing gratuit et sans engagement, propulsé par KnowBe4.

Voici comment cela fonctionne en toute simplicité :

• Démarrez immédiatement jusqu’à 100 utilisateurs (aucun contact préalable ni installation requise).

• Choisissez parmi plus de 20 langues (français inclus) et personnalisez le template selon votre environnement (ex. : faux email urgent de votre direction, reset mot de passe, facture impayée).

• Sélectionnez la page de destination après clic : une page pédagogique expliquant les red flags manqués, ou une page 404 discrète.

• Les emails partent automatiquement.

• En 24 heures, recevez un rapport PDF détaillé par email : votre Phish-prone % global, graphiques clairs, comparaison avec les benchmarks de votre industrie et de votre région.

Ces chiffres concrets (souvent plus élevés que prévu) constituent un excellent levier pour obtenir un budget formation ou outils auprès de votre direction.

Pourquoi choisir Computis pour ce test ?

En tant que partenaire certifié KnowBe4 en Suisse romande, nous allons plus loin :

• Interprétation personnalisée des résultats et plan d’action adapté à votre taille et secteur.

• Transition fluide vers des campagnes récurrentes, formations sur mesure et protections renforcées.

• Conformité RGPD et normes suisses garantie (test anonyme au niveau individuel dans la version gratuite).

Conclusion

Le phishing n’est plus une question de fautes visibles ou d’expéditeurs douteux : c’est devenu une attaque psychologique fine, où l’urgence fabriquée reste le déclencheur le plus efficace – même face à des collaborateurs formés et vigilants. Chez Computis, nous le voyons tous les jours : les PME et collectivités suisses perdent du temps, de l’argent et parfois des données parce que ce biais humain n’est pas suffisamment mesuré ni renforcé.

La bonne nouvelle, c’est que ce risque est maîtrisable. En quantifiant d’abord votre Phish-prone Percentage™, en formant ensuite de façon continue et en ajoutant des protections intelligentes, vous passez d’une posture réactive à une vraie résilience. Les benchmarks KnowBe4 le prouvent : une équipe qui démarre à 33 % de vulnérabilité peut descendre sous les 5 % en un an avec la bonne approche.

Ne laissez pas les cybercriminels être les premiers à tester vos collaborateurs. Prenez les devants : mesurez, formez, protégez. Votre organisation – et votre tranquillité d’esprit – en sortiront renforcées.

Découvrez dès aujourd’hui le Phish-prone Percentage™ réel de votre équipe – le pourcentage de collaborateurs qui cliqueraient sur un email frauduleux réaliste.
Ce test gratuit, propulsé par KnowBe4 et adapté par Computis, vous livre en 24 heures :

• Votre score de vulnérabilité humaine

• Des graphiques prêts à partager avec votre direction

• Une comparaison avec les benchmarks de votre secteur et de la Suisse romande

Aucun engagement, aucune installation, anonymat garanti au niveau individuel. C’est la première étape concrète pour transformer votre plus grand risque (le facteur humain) en votre meilleure protection.

Cliquez ici pour démarrer votre test phishing gratuit

Test Phishing Security Gratuit

Ou préférez-vous une prise en main guidée ?

Contactez-nous directement :

📞 +41 21 804 69 00
ou via
💻 notre formulaire de contact

Ne laissez pas les cybercriminels tester vos collaborateurs en premier. Obtenez vos résultats concrets et bâtissez une stratégie gagnante – commencez maintenant.

FAQ’s

1. Qu’est-ce que le Phish-prone Percentage™ ?
C’est le pourcentage de collaborateurs qui cliquent sur un lien phishing simulé. Il mesure la vulnérabilité humaine réelle avant formation.

2. Le test est-il vraiment gratuit et anonyme ?
Oui, 100 % gratuit pour jusqu’à 100 utilisateurs, sans carte bancaire ni engagement. Anonyme au niveau individuel (pas de noms dans le rapport gratuit).

3. Puis-je personnaliser les scénarios pour qu’ils ressemblent à nos emails internes ?
Oui, templates modifiables. Pour des simulations spear-phishing ultra-ciblées, nous proposons des options avancées payantes.

4. Que faire si mon Phish-prone % est élevé (> 30 %) ?
C’est fréquent au départ ! Avec un programme KnowBe4 via Computis, la réduction moyenne est de 40 % en 90 jours et jusqu’à 86 % en un an.

5. Est-ce conforme RGPD et aux exigences suisses ?
Oui, KnowBe4 respecte les standards de confidentialité. Nous vous accompagnons pour une implémentation irréprochable.