Chez Computis, nous accompagnons des PME romandes, des communes et des institutions publiques en cybersécurité. Et parmi les incidents qui nous sont rapportés, il en est un qui ne laisse aucune trace technique, ne déclenche aucune alarme, et ne nécessite aucun logiciel malveillant. L'arnaque au président, ou BEC, pour Business Email Compromise. Une fraude qui n'attaque pas vos systèmes, mais votre organisation : vos processus, votre hiérarchie, et la confiance entre vos collaborateurs.

La mécanique est d'une simplicité redoutable. Un email arrive, en apparence de votre directeur, de votre président de commune, ou d'un fournisseur connu. Il demande un virement urgent et confidentiel. Le ton presse, l'autorité rassure, l'urgence empêche de vérifier. Et le virement part, vers un compte qui n'est pas, celui qu'on croit.

Une fraude qui exploite l'humain, pas la machine

Ce qui rend le BEC si dangereux, c'est précisément qu'il ne repose sur aucune faille technique. Pas de virus à détecter, pas de lien piégé à bloquer, pas de pièce jointe à analyser. L'email est souvent parfaitement propre aux yeux de n'importe quel filtre anti-spam. La faille exploitée n'est pas dans vos serveurs, elle est dans une relation de confiance et un processus mal protégé.

Les fraudeurs se renseignent. Ils savent qui dirige, qui gère les paiements, qui part en vacances. Ils connaissent le nom de votre directeur, le ton de ses emails, parfois même les dossiers en cours. Ces informations, ils les trouvent sur votre site, sur LinkedIn, dans des communications publiques, ou dans une boîte email qu'ils ont discrètement compromise en amont. Puis ils frappent au bon moment : un vendredi après-midi, pendant une absence, dans un contexte où une demande urgente du « patron » semble crédible.

L'intelligence artificielle a rendu ces attaques encore plus convaincantes. Les emails sont désormais rédigés dans un français impeccable, imitant le style de la personne usurpée. Certaines fraudes vont jusqu'à utiliser des messages vocaux synthétiques reproduisant la voix du dirigeant. Le temps où une faute d'orthographe trahissait l'arnaque est révolu.

Ce qu'on observe sur le terrain

Une fiduciaire romande nous a rapporté le cas d'une collaboratrice ayant reçu, un vendredi, un email de son « directeur » en déplacement : une acquisition confidentielle à boucler, un acompte urgent à verser à un nouveau fournisseur, et surtout, « surtout, n'en parlez à personne avant lundi, c'est sensible ». Tous les ingrédients y étaient : l'autorité, l'urgence, la confidentialité qui isole la victime et l'empêche de vérifier. Le virement a été évité de justesse, parce qu'une seconde personne a trouvé la demande inhabituelle.

Dans une commune, une demande de changement de coordonnées bancaires d'un fournisseur régulier est arrivée par email, sur un ton tout à fait ordinaire. Les paiements suivants sont partis sur le nouveau compte, celui du fraudeur, pendant plusieurs semaines avant que le vrai fournisseur ne s'étonne de ne pas être payé. Ici, pas même d'urgence : juste une modification de routine que personne n'a songé à vérifier.

Les 3 réflexes qui arrêtent une arnaque au président

1. Instaurer la vérification par un second canal

C'est la mesure la plus efficace, et elle ne coûte rien. Toute demande de virement inhabituelle, de changement de coordonnées bancaires ou de paiement urgent doit être confirmée par un canal différent de celui de la demande. Un email demande un virement ? On décroche le téléphone et on appelle la personne sur son numéro connu, pas celui indiqué dans l'email. Ce simple réflexe neutralise la quasi-totalité des tentatives.

2. Se méfier du trio autorité + urgence + confidentialité

C'est la signature du BEC. Quand une demande combine une pression hiérarchique (« c'est le directeur »), une urgence (« il faut que ce soit fait aujourd'hui ») et une consigne de discrétion (« n'en parlez à personne »), un signal d'alarme doit se déclencher. Cette combinaison n'est pas celle d'une demande légitime, c'est celle d'une manipulation conçue pour court-circuiter votre jugement.

3. Formaliser une procédure de paiement, et l'assumer

Le meilleur rempart est un processus clair, connu de tous et appliqué sans exception : au-delà d'un certain montant, double validation ; tout changement de coordonnées bancaires vérifié par téléphone ; aucune dérogation, même pour le directeur, même en urgence. Une procédure n'a de valeur que si personne ne peut passer outre, y compris celui dont on usurpe l'identité. C'est précisément la règle qui protège le collaborateur : il ne « désobéit » pas à son patron, il applique la procédure.

L'approche Computis

L'arnaque au président ne se combat pas avec un meilleur pare-feu, elle se combat avec des réflexes humains et des processus robustes. C'est le prolongement direct du facteur humain : la technologie seule ne protège pas contre une manipulation bien menée. Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un diagnostic : revue de vos processus de paiement, de validation et de changement de coordonnées bancaires, pour identifier où une fraude pourrait passer. Ensuite, la sensibilisation : former vos équipes, en particulier celles qui manipulent des paiements, à reconnaître le trio autorité / urgence / confidentialité et à appliquer la vérification par second canal, y compris via des simulations réalistes. Enfin, la formalisation : mettre en place des procédures de paiement claires, opposables à tous, qui protègent vos collaborateurs autant que vos fonds.

Ce qu'il faut retenir

L'arnaque au président ne force aucune porte : elle exploite la confiance, la hiérarchie et l'urgence. Aucun pare-feu ne l'arrête, mais trois réflexes suffisent à la neutraliser : vérifier par un second canal, se méfier du trio autorité/urgence/confidentialité, et formaliser une procédure de paiement que personne ne peut contourner. La meilleure protection n'est pas technique, elle est humaine et organisationnelle.

FAQ

Notre anti-spam ne devrait-il pas bloquer ce genre d'email ?

Pas nécessairement. Un email de BEC ne contient souvent ni lien piégé, ni pièce jointe, ni logiciel malveillant, rien que les filtres techniques puissent détecter. C'est un texte normal, bien écrit, envoyé parfois depuis une vraie adresse compromise. La seule défense fiable n'est pas le filtre, mais le réflexe humain de vérification.

Nous sommes une petite structure, sommes-nous vraiment visés ?

Oui. Les PME et communes sont des cibles privilégiées : elles manipulent des montants significatifs mais ont rarement des procédures de vérification formalisées. Les fraudeurs le savent. Une petite structure sans double validation est souvent plus facile à tromper qu'un grand groupe.

Que faire si on pense avoir été victime d'une arnaque au président ?

Agir vite. Contactez immédiatement votre banque pour tenter de bloquer ou rappeler le virement, chaque heure compte. Déposez plainte auprès de la police. Et prévenez un partenaire de confiance en cybersécurité pour vérifier qu'aucune boîte email n'a été compromise en amont. Plus l'alerte est rapide, plus les chances de récupérer les fonds augmentent.

Comment protéger nos équipes sans les rendre paranoïaques ?

En leur donnant une règle claire plutôt qu'une méfiance diffuse. Une procédure simple, « toute demande de virement inhabituelle se vérifie par téléphone », libère vos collaborateurs : ils n'ont plus à juger au cas par cas, ni à craindre de contrarier un supérieur. Ils appliquent la règle. C'est rassurant, pas anxiogène.

Comment se déroule l'accompagnement Computis sur ce sujet ?

Nous commençons par un diagnostic de vos processus de paiement et de validation, pour repérer les failles. Nous formons ensuite vos équipes à reconnaître les signaux du BEC et à appliquer la vérification par second canal, simulations à l'appui. Enfin, nous vous aidons à formaliser des procédures opposables à tous. Le coût de l'audit préliminaire est déduit de la prestation si vous travaillez avec nous.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi conçoit et audite chaque semaine l'infrastructure réseau de PME romandes, de communes et d'institutions publiques. Et une image revient souvent quand nous expliquons la segmentation : celle des compartiments étanches d'un navire. Un bateau ne coule pas parce qu'il prend l'eau, il coule parce que l'eau se répand d'un compartiment à l'autre. Un réseau, c'est pareil. La question n'est pas seulement d'empêcher l'eau d'entrer, mais de l'empêcher de tout envahir une fois qu'elle est là.

La plupart des PME fonctionnent sur un réseau « à plat » : tout est connecté à tout. Le poste de la comptabilité, la caméra de surveillance, l'imprimante, le serveur, le thermostat connecté et le PC du stagiaire vivent sur le même réseau, sans cloison. Il suffit qu'un seul de ces éléments soit compromis pour que l'attaquant ait accès à l'ensemble.

Le problème : le réseau à plat, une autoroute pour l'intrus

Segmenter un réseau, c'est le découper en zones isolées les unes des autres, avec des règles strictes sur ce qui peut communiquer avec quoi. À l'inverse, un réseau à plat est un grand espace ouvert où tout appareil peut, en principe, parler à tout autre appareil.

Le problème du réseau à plat n'apparaît pas au quotidien, tout fonctionne, tout se parle, c'est même pratique. Il apparaît le jour de l'incident. Un poste infecté par un ransomware ne reste pas isolé : il scanne le réseau, trouve les serveurs, les partages de fichiers, les autres postes, et se propage. Un objet connecté mal sécurisé, une caméra, un capteur, devient un point d'entrée vers vos données les plus sensibles, simplement parce qu'il partage le même réseau.

C'est un renversement de perspective important. Pendant des années, la sécurité s'est concentrée sur le périmètre : empêcher d'entrer. Mais aucun périmètre n'est parfait, et l'intrus finit parfois par entrer, par un email piégé, un accès distant, un fournisseur compromis. La segmentation répond à la seconde question, tout aussi cruciale : une fois à l'intérieur, jusqu'où peut-il aller ?

Ce qu'on observe sur le terrain

Dans une PME industrielle romande, tout partageait le même réseau : la bureautique, les machines de production, la vidéosurveillance et le WiFi visiteurs. Lors de notre audit, nous avons montré qu'un visiteur connecté au WiFi de la salle d'attente pouvait, en théorie, atteindre le serveur de production. Rien ne les séparait. Une simple segmentation entre le réseau invité, la bureautique et l'atelier aurait rendu ce chemin impossible.

Dans une commune, un incident sur un poste administratif s'était propagé jusqu'aux données du contrôle des habitants, parce que les deux vivaient sur le même segment. Après cloisonnement, un poste compromis reste enfermé dans sa zone : il ne peut plus atteindre ni les serveurs sensibles, ni les autres services. Le dégât reste local.

Les 3 cloisonnements prioritaires pour une PME

1. Isoler le réseau invité

C'est la segmentation la plus simple et la plus urgente. Le WiFi des visiteurs, des clients, des prestataires de passage ne doit jamais donner accès à votre réseau interne. Un réseau invité correctement isolé donne accès à Internet, et à rien d'autre. Si ce n'est pas encore le cas chez vous, c'est le premier chantier.

2. Séparer les objets connectés du reste

Caméras, imprimantes, thermostats, capteurs, sonnettes connectées : ces appareils sont souvent mal sécurisés, rarement mis à jour, et constituent des points d'entrée privilégiés. Les regrouper sur un segment dédié, coupé de vos données sensibles, neutralise ce risque. Une caméra compromise ne doit jamais pouvoir atteindre votre serveur comptable.

3. Cloisonner les données sensibles

Vos serveurs, vos données financières, vos données RH ou d'administrés méritent leur propre zone, avec des règles d'accès strictes : seuls les postes et les personnes qui en ont besoin peuvent l'atteindre. C'est l'application du moindre privilège au niveau du réseau, tout le monde n'a pas besoin de pouvoir parler à tout. Ces trois cloisonnements ne nécessitent pas de refaire toute votre infrastructure. Ils s'appuient sur des équipements que vous avez probablement déjà (VLAN sur vos switches, règles sur votre pare-feu), mais qui ne sont, la plupart du temps, tout simplement pas configurés.

L'approche Computis SwissFi

La segmentation a longtemps été perçue comme réservée aux grandes entreprises. C'est faux: c'est précisément dans les PME et communes, qui n'ont pas d'équipe de sécurité pour réagir vite, que limiter la propagation d'un incident a le plus de valeur. Chez Computis, notre approche fonctionne en trois temps. D'abord, un audit préliminaire : cartographie de votre réseau actuel, de ce qui parle à quoi, et identification des chemins dangereux (le WiFi invité qui atteint l'atelier, l'objet connecté qui voit les serveurs). Ensuite, la conception : un plan de segmentation adapté à votre taille, combien de zones, quelles règles, sans complexité inutile. Enfin, la mise en œuvre : configuration des VLAN et des règles de pare-feu sur vos équipements, tests, documentation. Vous obtenez un réseau où un incident reste enfermé là où il commence.

Ce qu'il faut retenir

La segmentation ne cherche pas à empêcher l'incident, elle cherche à le contenir. Sur un réseau à plat, une seule brèche donne accès à tout; cloisonné, elle reste enfermée dans une pièce. Isoler le WiFi invité, séparer les objets connectés, protéger les données sensibles : trois cloisons qui transforment une catastrophe potentielle en incident local. Et le plus souvent, les équipements pour le faire sont déjà chez vous, il suffit de les configurer.

FAQ

La segmentation, n'est-ce pas réservé aux grandes entreprises ?

Non, c'est même l'inverse. Les grandes entreprises ont des équipes pour détecter et stopper une propagation en temps réel. Une PME ou une commune, non, c'est donc chez elles que le cloisonnement, qui limite automatiquement les dégâts, a le plus de valeur. Et il se dimensionne à la taille de la structure.

Faut-il refaire toute notre infrastructure pour segmenter ?

Le plus souvent, non. La segmentation s'appuie sur des fonctions déjà présentes dans vos équipements, les VLAN de vos switches, les règles de votre pare-feu, qui ne sont simplement pas configurées. Il s'agit d'activer et d'organiser ce qui existe, pas de tout remplacer.

Par quel cloisonnement commencer si on ne fait qu'une chose ?

Isoler le réseau invité. C'est le plus simple, le plus rapide, et il ferme l'un des chemins les plus fréquemment exploités : un WiFi visiteurs qui donne, sans le savoir, accès au réseau interne. Si vous ne faites qu'un seul chantier, c'est celui-là.

En quoi la segmentation aide-t-elle en cas de ransomware ?

Un ransomware se propage en scannant le réseau depuis le poste infecté. Sur un réseau à plat, il atteint serveurs, partages et autres postes. Sur un réseau segmenté, il reste enfermé dans la zone où il a commencé, il ne peut pas franchir les cloisons. La différence entre un poste à réinstaller et toute l'organisation paralysée.

Comment se déroule l'audit préliminaire Computis sur ce sujet ?

Nous cartographons votre réseau actuel, ce qui est connecté, ce qui parle à quoi, et identifions les chemins dangereux. Vous recevez un rapport documenté avec un plan de segmentation priorisé, adapté à votre taille. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes, des communes et des institutions publiques dans leur mise en conformité nLPD. Et sur le sujet du registre des traitements, nous rencontrons presque toujours la même scène : l'organisation sait qu'elle doit en tenir un, a peut-être téléchargé un modèle Excel quelque part, l'a ouvert une fois, puis l'a refermé, faute de savoir quoi mettre dedans. Le registre reste vide, non pas par négligence, mais parce que personne n'a expliqué comment le remplir.

Le registre des traitements n'est pas un exercice juridique. C'est simplement l'inventaire de ce que votre organisation fait déjà avec les données personnelles : qui, quoi, pourquoi, où, combien de temps. Vous ne créez rien de nouveau, vous mettez par écrit une réalité qui existe déjà.

Ce que la nLPD demande réellement

La nLPD, entrée en vigueur le 1er septembre 2023, impose aux responsables du traitement de tenir un registre de leurs activités de traitement de données personnelles. C'est une obligation de documentation : pouvoir décrire, à tout moment, ce que vous faites des données que vous détenez. Il existe des allègements pour les petites entreprises : les PME de moins de 250 collaborateurs sont dispensées de l'obligation formelle de registre, sauf si leurs traitements présentent un risque élevé pour la personnalité ou les droits fondamentaux (traitement de données sensibles à grande échelle, profilage à risque élevé). Mais attention : cette dispense de la forme ne dispense pas du fond. Vous restez tenu de respecter tous les principes de la loi, et sans inventaire de vos traitements, il est en pratique impossible de démontrer cette conformité. C'est pourquoi, chez Computis, nous recommandons à toute organisation, même dispensée, de tenir un registre. Non par formalisme, mais parce que c'est l'outil qui rend tout le reste possible : savoir quelles données vous détenez est le préalable à leur protection, à la gestion des demandes d'accès, et à la réaction en cas d'incident.

Ce qu'on observe sur le terrain

Dans une commune vaudoise, la question « quelles données personnelles traitez-vous ? » a d'abord reçu une réponse vague : « les habitants, le personnel… ». En listant méthodiquement, nous sommes arrivés à plus de vingt traitements distincts : contrôle des habitants, gestion des salaires, vidéosurveillance, listes électorales, inscriptions scolaires, gestion des déchets nominative, newsletter communale… Chacun avec ses données, sa finalité, sa durée de conservation. Aucun n'était documenté.

Dans une PME de services, le registre « existait », un fichier Excel de trois lignes, rempli deux ans plus tôt par un stagiaire, jamais mis à jour. Entre-temps, l'entreprise avait changé d'outil CRM, ajouté un système de badgeuse, externalisé sa paie. Le registre ne reflétait plus aucune réalité. Un registre figé est presque aussi inutile qu'un registre absent.

Les 5 colonnes qui suffisent pour commencer

Un registre utile n'a pas besoin d'être complexe. Pour chaque traitement, cinq informations suffisent à démarrer :

1. Quel traitement ? (le nom de l'activité)

« Gestion de la paie », « Newsletter clients », « Vidéosurveillance de l'entrée ». Décrivez simplement ce que vous faites, en langage courant. Un traitement = une finalité distincte.

2. Quelles données, et sur qui ?

Les catégories de données (identité, coordonnées, données financières, données de santé…) et les catégories de personnes concernées (clients, employés, fournisseurs, administrés). Signalez particulièrement les données sensibles, elles appellent plus de précautions.

3. Pourquoi ? (la finalité et la base légale)

À quoi sert ce traitement, et sur quel fondement il repose : consentement, exécution d'un contrat, obligation légale, intérêt public. La finalité doit être précise , « améliorer le service » n'en est pas une.

4. Où vont les données ? (destinataires et localisation)

Qui a accès à ces données, à qui elles sont transmises (sous-traitants, autorités), et où elles sont hébergées, en particulier si elles quittent la Suisse. C'est le point de jonction avec la question de l'hébergement et des transferts.

5. Combien de temps ? (durée de conservation)

Pendant combien de temps conservez-vous ces données, et que se passe-t-il ensuite (suppression, archivage). C'est souvent la colonne la moins remplie, et l'une des plus importantes, car conserver des données sans limite est en soi une non-conformité.

Commencez par ces cinq colonnes. Vous affinerez ensuite avec les mesures de sécurité associées et l'analyse des risques pour les traitements sensibles. Mais un registre à cinq colonnes, à jour et honnête, vaut infiniment mieux qu'un modèle parfait resté vide.

L'approche Computis

Construire un registre n'est pas un travail de juriste, c'est un travail d'inventaire méthodique, que votre organisation est la mieux placée pour faire, avec un accompagnement pour le structurer et l'ancrer dans la durée. Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un atelier de cartographie : nous parcourons ensemble vos activités, service par service, pour faire remonter tous les traitements, y compris ceux qu'on oublie. Ensuite, la structuration : mise en forme du registre, identification des points sensibles (données sensibles, transferts hors de Suisse, durées de conservation manquantes), priorisation des corrections. Enfin, l'ancrage : une procédure simple pour maintenir le registre vivant, parce qu'un registre n'est utile que s'il reste le reflet de la réalité.

Ce qu'il faut retenir

Le registre des traitements fait peur parce qu'on l'imagine juridique et complexe. Il ne l'est pas : c'est l'inventaire de ce que vous faites déjà avec les données personnelles. Cinq colonnes suffisent pour commencer, quel traitement, quelles données, pourquoi, où, combien de temps. Un registre honnête et à jour n'est pas une contrainte administrative : c'est la carte qui rend toute votre conformité pilotable.

FAQ

Notre PME fait moins de 250 personnes, sommes-nous vraiment obligés de tenir un registre ?

Les PME de moins de 250 collaborateurs sont dispensées de l'obligation formelle, sauf traitements à risque élevé (données sensibles à grande échelle, profilage à risque). Mais cette dispense porte sur la forme, pas sur le fond : vous devez toujours respecter la loi. En pratique, sans registre, démontrer cette conformité est quasi impossible — c'est pourquoi nous le recommandons à tous.

Par où commencer concrètement quand la page est blanche ?

Par un inventaire, service par service, en vous posant une seule question : « quelles données personnelles utilisons-nous ici, et pourquoi ? ». Listez chaque activité (paie, clients, newsletter, vidéosurveillance…) puis remplissez cinq colonnes par traitement. Ne cherchez pas la perfection au premier passage, cherchez l'exhaustivité.

Un simple fichier Excel suffit-il, ou faut-il un outil dédié ?

Pour la majorité des PME et communes, un tableau bien structuré suffit parfaitement. L'important n'est pas l'outil, mais que le registre soit complet, à jour, et accessible. Un outil dédié devient utile pour les organisations avec de nombreux traitements ou des obligations renforcées, mais ce n'est jamais le point de départ.

À quelle fréquence faut-il mettre le registre à jour ?

Dès qu'un traitement change : nouvel outil, nouveau prestataire, nouvelle finalité, nouvelle catégorie de données. Dans les faits, une revue complète au moins une fois par an, plus une mise à jour à chaque changement significatif. Un registre figé perd toute sa valeur, c'est un document vivant.

Nous n'avons ni juriste ni DPO, Computis peut-il nous accompagner ?

Oui, c'est exactement notre rôle auprès des PME et communes sans ressource dédiée. Nous animons l'atelier de cartographie, structurons votre registre, identifions les points sensibles et vous laissons une procédure simple pour le maintenir. Vous n'avez pas besoin d'être expert, vous avez besoin d'une méthode et d'un accompagnement.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat s'impose, année après année : les organisations investissent dans la technique, pare-feu, MFA, sauvegardes, segmentation, puis restent vulnérables par le seul élément qu'aucun équipement ne protège vraiment. La personne assise devant l'écran, qui reçoit des dizaines d'emails par jour et doit décider, en quelques secondes, lesquels sont légitimes. Selon le Verizon Data Breach Investigations Report 2026, 62% des fuites de données impliquent le facteur humain, une erreur, une manipulation, un clic. Ce n'est pas une faille de vos systèmes. C'est une faille dans une décision humaine prise en quelques secondes. Et aucun pare-feu ne la corrige.

Le problème : la faille qu'aucun équipement ne colmate

La plupart des attaques réussies aujourd'hui ne forcent aucune porte. Elles frappent, poliment, et attendent qu'on leur ouvre. Un email qui imite votre fournisseur habituel, une fausse alerte de votre banque, une demande urgente qui semble venir de votre direction, le principe est toujours le même : exploiter la confiance, l'habitude ou l'urgence, pas une vulnérabilité technique.

C'est ce qui rend le facteur humain si difficile à traiter. Vous pouvez patcher un serveur, remplacer un pare-feu, durcir une configuration. Vous ne pouvez pas "patcher" un collaborateur. Et les attaquants le savent : plutôt que d'affronter une défense technique sérieuse, ils contournent, par la boîte de réception.

La vitesse aggrave le problème. Les analyses de simulation de phishing montrent qu'un collaborateur non préparé se fait souvent piéger en moins d'une minute, bien avant qu'un outil de sécurité ou qu'un responsable IT ait le temps de réagir. Le clic est parti, les identifiants sont saisis, l'accès est ouvert. La technique, ensuite, ne fait que constater.

Ce que les campagnes de sensibilisation classiques ratent

Face à ce constat, beaucoup d'organisations font une formation annuelle de sensibilisation, cochent la case, et passent à autre chose. C'est mieux que rien, mais c'est loin de suffire, et les données le montrent : une formation ponctuelle ne fait pas disparaître le risque de clic. Le comportement humain ne se corrige pas avec une session par an.

La vraie question n'est donc pas "avez-vous formé vos équipes ?", mais "savez-vous où vous en êtes, et progressez-vous ?". Combien de vos collaborateurs cliqueraient, aujourd'hui, sur un email piégé bien conçu ? Le savez-vous ? La plupart des organisations n'ont jamais mesuré ce chiffre, et sans mesure de départ, il est impossible de savoir si l'on s'améliore.

Il y a aussi un changement de perspective essentiel. L'objectif n'est pas seulement d'empêcher les clics, c'est de transformer vos collaborateurs en capteurs. Un employé qui reconnaît un email suspect et le signale immédiatement permet à l'organisation de réagir avant que l'attaque ne se propage. Le meilleur retour d'un programme de sensibilisation n'est pas "zéro clic" (un objectif irréaliste), c'est un réflexe de signalement rapide et généralisé.

Les 3 étapes pour transformer le maillon faible en défense

1. Mesurer votre point de départ

On ne pilote que ce qu'on mesure. La première étape est un audit baseline : une simulation de phishing contrôlée qui révèle, concrètement, combien de vos collaborateurs cliquent aujourd'hui, votre "taux de vulnérabilité au phishing". Ce chiffre n'a rien de culpabilisant : c'est un point de départ, une photographie honnête de votre exposition réelle avant toute action.

2. Entraîner régulièrement, pas une fois par an

La sensibilisation efficace est continue et concrète : de courtes sessions, des simulations régulières, des rappels au bon moment. L'objectif n'est pas d'assommer vos équipes de théorie, mais de créer des réflexes durables, vérifier un expéditeur, se méfier d'une urgence inhabituelle, ne jamais saisir ses identifiants depuis un lien reçu par email. La répétition espacée fonctionne ; la session annuelle unique, non.

3. Installer une culture du signalement

La dernière étape, la plus précieuse, est de rendre le signalement facile et valorisé. Un collaborateur qui doute doit pouvoir signaler un email suspect en un clic, sans crainte du ridicule, et savoir que c'est utile. Cette culture transforme chaque employé en capteur de menace, et c'est souvent elle qui fait la différence entre un incident évité et une crise.

L'approche Computis

Le facteur humain ne se règle pas avec un produit qu'on installe, mais avec un programme qu'on met en place et qu'on suit dans le temps. Et il commence toujours par une mesure honnête de la situation de départ. Chez Computis, en partenariat avec la plateforme de référence en gestion du risque humain, nous accompagnons les PME et communes romandes. D'abord, un audit baseline : une simulation de phishing contrôlée qui mesure votre taux de vulnérabilité réel, sans jugement. Ensuite, un programme de sensibilisation adapté à votre taille et à votre secteur : simulations régulières, micro-formations, suivi de la progression. Enfin, l'installation d'une culture du signalement et le pilotage dans la durée, parce que le risque humain n'est pas un projet qu'on termine, mais une posture qu'on entretient.

Ce qu'il faut retenir

Votre infrastructure peut être irréprochable et rester vulnérable par la personne qui lit ses emails. Le facteur humain est le premier vecteur d'attaque, mais il peut devenir votre première ligne de défense. La différence tient en trois mots : mesurer, entraîner, signaler. Et tout commence par un chiffre que vous n'avez probablement jamais regardé.

FAQ

Nos collaborateurs sont prudents, avons-nous vraiment besoin de tester ?

La prudence ressentie et le taux de clic réel sont deux choses très différentes. La plupart des organisations qui se pensaient "à l'aise" découvrent, lors du premier audit baseline, un taux de vulnérabilité bien supérieur à ce qu'elles imaginaient. Le test n'est pas là pour piéger vos équipes, mais pour remplacer une impression par un chiffre.

Une formation de sensibilisation annuelle ne suffit-elle pas ?

Malheureusement non. Les données montrent qu'une formation ponctuelle ne fait pas disparaître le risque de clic. Le comportement humain se travaille dans la durée, par des simulations régulières et de courts rappels. C'est la répétition espacée qui crée des réflexes durables, pas la session unique.

Le but est-il d'atteindre zéro clic ?

Non, et viser zéro clic est irréaliste. Le véritable objectif est double : réduire progressivement le taux de clic, et surtout installer un réflexe de signalement rapide. Un collaborateur qui signale un email suspect en quelques secondes permet de contenir une attaque avant qu'elle ne se propage, c'est souvent plus précieux que le clic évité.

La nLPD nous impose-t-elle de sensibiliser nos collaborateurs ?

La nLPD attend des mesures de sécurité appropriées, et la sensibilisation du personnel en fait partie. Une fuite de données personnelles causée par un collaborateur piégé peut engager votre responsabilité et déclencher une obligation de notification. Préparer ses équipes n'est donc pas seulement prudent, c'est une mesure de protection attendue.

Comment se déroule l'audit baseline offert par Computis ?

Nous lançons une simulation de phishing contrôlée et bienveillante au sein de votre organisation. Elle mesure votre taux de vulnérabilité réel, combien de collaborateurs cliquent, combien signalent, sans que personne ne soit désigné ou sanctionné. Vous recevez un rapport clair avec votre point de départ et nos recommandations, accompagné d'une démonstration de la plateforme de gestion du risque humain.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat revient régulièrement : les organisations investissent sérieusement dans leur propre sécurité, pare-feu, MFA, sauvegardes, sensibilisation, puis donnent à un prestataire externe un accès large à leur infrastructure, sans jamais vérifier le niveau de sécurité de ce prestataire. Le maillon faible n'est plus à l'intérieur. Il est chez celui à qui vous avez ouvert la porte.

Une part croissante des incidents de cybersécurité ne provient pas de l'organisation elle-même, mais d'un tiers ayant accès à ses systèmes, prestataire IT, éditeur logiciel, sous-traitant métier. Vous pouvez avoir une sécurité irréprochable et être compromis par la faille de quelqu'un d'autre.

Le problème : la sécurité que vous ne maîtrisez pas

Aucune organisation ne fonctionne seule. Vous avez un prestataire informatique qui accède à vos serveurs à distance. Un éditeur de logiciel métier qui pousse des mises à jour sur vos postes. Un comptable ou une fiduciaire qui manipule vos données financières. Un prestataire de maintenance qui intervient sur vos équipements. Chacun de ces acteurs dispose d'un accès, et chacun de ces accès est une extension de votre surface d'attaque.

Le problème est simple : vous contrôlez votre propre niveau de sécurité, mais pas le leur. Si le prestataire qui accède à votre réseau utilise un ordinateur compromis, si l'éditeur de votre logiciel métier se fait pirater et que le canal de mise à jour est détourné, si les identifiants d'accès de votre fiduciaire fuitent, c'est votre organisation qui en subit les conséquences.

Les attaquants l'ont compris depuis longtemps. Plutôt que d'attaquer frontalement une cible bien protégée, il est souvent plus efficace de passer par un fournisseur moins bien défendu qui, lui, dispose d'un accès légitime. C'est la logique de l'attaque par la chaîne d'approvisionnement, et elle vise particulièrement les PME, qui ne vérifient presque jamais la sécurité de leurs prestataires.

Ce qu'on observe sur le terrain

Lors d'un audit pour une PME romande de 55 collaborateurs, nous avons constaté que le prestataire informatique historique disposait d'un accès administrateur permanent à l'ensemble du réseau, via un outil de prise en main à distance actif en continu, sans MFA, avec un compte partagé entre plusieurs techniciens. Aucun de ces accès n'était journalisé côté client. La PME faisait confiance à son prestataire, mais n'avait aucun moyen de savoir qui accédait à quoi, ni quand.

Dans une commune vaudoise, un logiciel de gestion fourni par un éditeur tiers se mettait à jour automatiquement depuis les serveurs de l'éditeur. Personne, côté commune, ne pouvait vérifier l'intégrité de ces mises à jour. Une compromission de l'éditeur aurait pu se propager à la commune sans aucun signal d'alerte.

Les 3 points à corriger en priorité

1. Inventorier qui a accès, et à quoi

La première étape est de savoir précisément quels tiers disposent d'un accès à vos systèmes et à vos données : prestataire IT, éditeurs logiciels, fiduciaire, maintenance, cloud. Pour chacun : quel type d'accès, quelle étendue, quelle authentification, quelle traçabilité. La plupart des organisations n'ont jamais dressé cette liste, et découvrent lors de l'audit des accès dont elles avaient oublié l'existence.

2. Encadrer contractuellement la sécurité des prestataires

L'accès d'un tiers à vos systèmes doit être encadré : exigences de sécurité minimales, MFA obligatoire, journalisation des interventions, contrat de sous-traitance (DPA) pour tout traitement de données personnelles. Faire confiance ne suffit pas, la confiance doit être formalisée et vérifiable. Un bon prestataire acceptera sans difficulté ces exigences ; un prestataire qui les refuse est lui-même un signal d'alerte.

3. Appliquer le moindre privilège aux accès tiers

Un prestataire ne devrait disposer que des accès strictement nécessaires à sa mission, pas d'un accès administrateur permanent "par confort". Accès temporaires activés à la demande, comptes nominatifs plutôt que partagés, révocation immédiate en fin de mission, journalisation systématique. Le moindre privilège s'applique à vos fournisseurs autant qu'à vos collaborateurs.

L'approche Computis

La gestion des risques fournisseurs n'est pas une remise en cause de vos prestataires, c'est une discipline de sécurité qui protège tout le monde, vous comme eux. Et elle se met en place sans friction excessive, à l'échelle de votre organisation.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie des accès tiers, revue des contrats existants, identification des accès excédentaires ou non journalisés, évaluation de votre exposition nLPD via vos sous-traitants. Ensuite, la mise en conformité : encadrement contractuel, application du moindre privilège aux accès tiers, mise en place de la journalisation. Enfin, le suivi : revue périodique des accès fournisseurs, procédure d'entrée et de sortie de prestataires.

Ce qu'il faut retenir

Votre sécurité vaut celle de votre maillon le plus faible, et ce maillon est souvent un tiers à qui vous avez ouvert la porte en toute confiance. La confiance n'est pas une mesure de sécurité. Inventorier, encadrer, limiter : trois disciplines simples qui transforment vos fournisseurs de risque invisible en partie maîtrisée de votre infrastructure.

FAQ

Nous faisons confiance à nos prestataires depuis des années, pourquoi remettre ça en cause ?
Il ne s'agit pas de remettre en cause la relation, mais de la sécuriser. La confiance humaine et la sécurité technique sont deux choses distinctes. Un prestataire de confiance peut, sans mauvaise intention, avoir un poste compromis ou des identifiants qui fuitent. Encadrer les accès protège les deux parties.

Comment vérifier la sécurité d'un fournisseur sans être nous-mêmes experts ?
Vous n'avez pas besoin d'auditer techniquement chaque prestataire. Vous avez besoin d'exiger contractuellement des garanties de base (MFA, journalisation, DPA), de limiter les accès au strict nécessaire, et de savoir qui accède à quoi. C'est précisément ce que nous mettons en place lors de l'audit — un cadre simple et vérifiable.

La nLPD nous rend-elle responsables des failles de nos sous-traitants ?
Oui. Lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable de garantir un niveau de protection approprié. Un contrat de sous-traitance (DPA) est attendu. En cas d'incident chez le sous-traitant, votre organisation peut être tenue pour responsable de ne pas avoir encadré ce traitement.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, l'encadrement, la mise en conformité et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès tiers, revue des contrats, identification des accès excédentaires, évaluation de votre exposition nLPD via vos sous-traitants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine auprès de PME romandes, de communes et d'institutions publiques pour sécuriser leur infrastructure réseau. Mais il existe un angle mort que même les organisations bien équipées négligent : le réseau qui n'est pas le leur. Dès qu'un collaborateur quitte le bureau et se connecte depuis un hôtel, un aéroport ou un café, votre périmètre de sécurité s'arrête, et le sien commence, souvent sans aucune protection.

Un réseau WiFi public n'est pas conçu pour vous protéger. Il est conçu pour être facile d'accès. Sur un réseau ouvert, un attaquant présent sur le même point d'accès peut, dans certaines conditions, intercepter le trafic non chiffré, détourner des sessions, ou présenter un faux portail de connexion. Ce ne sont pas des scénarios théoriques, ce sont des techniques documentées et automatisées.

Le problème : votre sécurité s'arrête à la porte du bureau

Vous avez investi dans un pare-feu, une segmentation réseau, un WiFi d'entreprise sécurisé. Tout cela protège vos collaborateurs tant qu'ils sont dans vos locaux. Mais le travail moderne est mobile. Déplacements clients, conférences, télétravail depuis un café, attente à l'aéroport, vos équipes se connectent en permanence à des réseaux que vous ne contrôlez pas.

Sur ces réseaux, les protections que vous avez déployées ne s'appliquent plus. Le collaborateur est seul face à un environnement dont il ne connaît ni la configuration, ni les autres utilisateurs, ni les intentions de celui qui a mis le réseau à disposition.

Le risque n'est pas que le WiFi public soit "dangereux" en soi. C'est qu'il est neutre, et que cette neutralité profite à quiconque sait l'exploiter. Un réseau ouvert ne fait pas de différence entre un client légitime et un attaquant assis deux tables plus loin.

Ce qu'on observe sur le terrain

Lors d'une sensibilisation menée pour une PME romande de 45 collaborateurs, nous avons réalisé une démonstration contrôlée dans un espace de coworking. En quelques minutes, sur un réseau ouvert, il était possible d'identifier quels appareils tentaient de se connecter automatiquement à des réseaux "connus", et de présenter un point d'accès portant le même nom. Plusieurs appareils s'y sont connectés seuls, sans intervention de leur propriétaire.

Dans une commune dont plusieurs employés se déplaçaient régulièrement, nous avons constaté qu'aucun d'eux n'utilisait de VPN lors de leurs connexions extérieures. Les accès à la messagerie et aux outils métier se faisaient en clair sur des réseaux hôteliers partagés. La commune pensait ces usages anodins, ils étaient en réalité le maillon le plus exposé de toute son infrastructure.

Les 3 mesures à mettre en place en priorité

1. Un VPN d'entreprise, utilisé systématiquement
La mesure la plus efficace et la plus simple : un VPN d'entreprise qui chiffre tout le trafic entre l'appareil du collaborateur et votre infrastructure, quel que soit le réseau utilisé. Sur un WiFi public, le VPN rend le trafic illisible pour quiconque tenterait de l'intercepter. La clé, c'est l'usage systématique, un VPN qu'on active "quand on y pense" ne protège pas.

2. La désactivation de la connexion automatique aux réseaux
La plupart des appareils se reconnectent automatiquement aux réseaux WiFi déjà utilisés, un comportement pratique, mais exploitable. Un attaquant peut créer un faux point d'accès portant un nom courant ("WiFi_Gratuit", le nom d'une chaîne d'hôtels) et capter les appareils qui s'y connectent seuls. Désactiver la reconnexion automatique et supprimer les réseaux enregistrés inutiles réduit fortement ce risque.

3. La sensibilisation des collaborateurs
La technique ne suffit pas si l'usage ne suit pas. Vos collaborateurs doivent savoir reconnaître un réseau douteux, comprendre pourquoi activer le VPN systématiquement, et adopter les bons réflexes : éviter les opérations sensibles sur WiFi public, vérifier le chiffrement (HTTPS), se méfier des portails de connexion inhabituels. La sensibilisation est ce qui transforme des outils en protection réelle.

L'approche Computis SwissFi

La sécurité en mobilité n'est pas un produit qu'on installe — c'est une combinaison d'outils et d'usages qui se met en place à l'échelle de votre organisation, sans complexité inutile.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : état des accès en mobilité, présence et configuration d'un VPN, analyse des usages réels de vos collaborateurs en déplacement. Ensuite, la mise en place : déploiement ou configuration d'un VPN d'entreprise, durcissement des appareils mobiles, politiques de connexion. Enfin, la sensibilisation : formation courte et concrète de vos équipes aux bons réflexes en déplacement.

Ce qu'il faut retenir

Votre infrastructure peut être parfaitement sécurisée et rester vulnérable par sa périphérie mobile. Le WiFi public n'est pas l'ennemi, l'absence de protection l'est. Un VPN utilisé systématiquement, des appareils bien configurés et des équipes sensibilisées suffisent à transformer le maillon le plus faible en maillon maîtrisé. C'est exactement ce que nous mettons en place.

FAQ

Un WiFi public avec mot de passe est-il sécurisé ?
Pas nécessairement. Un mot de passe partagé (affiché au comptoir d'un café ou d'un hôtel) ne protège pas votre trafic des autres utilisateurs du même réseau, qui disposent tous du même mot de passe. Le mot de passe limite l'accès au réseau, pas l'interception entre utilisateurs connectés. Seul le chiffrement de votre trafic, via un VPN, vous protège réellement.

Utiliser la 4G/5G plutôt que le WiFi public suffit-il ?
C'est effectivement plus sûr : les réseaux mobiles sont chiffrés et vous n'y partagez pas le point d'accès avec des inconnus. Pour des usages sensibles ponctuels, le partage de connexion mobile est une bonne alternative au WiFi public. Mais pour une protection systématique et complète, le VPN reste la mesure de référence, quel que soit le réseau.

La nLPD s'applique-t-elle quand nos collaborateurs sont en déplacement ?
Oui. La protection des données personnelles ne dépend pas du lieu de connexion. Dès qu'un collaborateur accède à des données personnelles, clients, administrés, collègues, depuis un réseau non sécurisé, votre organisation reste responsable de la protection appropriée de ces données. La mobilité ne suspend pas vos obligations.

Nous n'avons pas d'équipe IT, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : état des accès en mobilité, configuration VPN, analyse des usages réels, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous, chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes et des institutions publiques dans leurs choix d'infrastructure cloud. Et depuis l'entrée en vigueur de la nLPD, une phrase revient partout — chez les fournisseurs, dans les argumentaires commerciaux, dans les esprits : "Il faut héberger vos données en Suisse." Séduisante. Rassurante. Et pas tout à fait exacte.

La nLPD n'impose pas l'hébergement en Suisse. Elle impose que les transferts de données vers l'étranger soient encadrés par des garanties appropriées. La nuance n'est pas juridique, elle est stratégique. Elle change ce que vous devez réellement faire, et ce que vous payez pour.

Ce que la loi impose réellement

La nLPD, entrée en vigueur le 1er septembre 2023, ne contient aucune obligation générale d'héberger les données en Suisse. Ce qu'elle impose, c'est un cadre pour les transferts de données personnelles vers l'étranger.

Concrètement : vous pouvez transférer des données vers un pays tiers si ce pays offre un niveau de protection adéquat reconnu par le Conseil fédéral, ou si des garanties appropriées sont en place, clauses contractuelles types, règles d'entreprise contraignantes, ou autres mécanismes reconnus.

L'Union européenne, par exemple, bénéficie d'une reconnaissance d'adéquation. Héberger des données dans un datacenter allemand ou irlandais soumis au RGPD est donc possible sous nLPD, à condition que le cadre contractuel soit correctement établi.

Le mythe de "l'hébergement suisse obligatoire" vient d'une confusion entre ce qui est prudent et ce qui est requis. Héberger en Suisse simplifie la conformité. Cela ne la garantit pas, et cela ne la remplace pas.

Ce qu'on observe sur le terrain

Dans une PME de services de 30 collaborateurs, nous avons rencontré une situation fréquente : l'organisation avait payé un surcoût significatif pour une offre "100% suisse", en pensant régler définitivement sa conformité nLPD. Mais aucun registre des traitements n'existait, aucun contrat de sous-traitance n'avait été formalisé, et les
sauvegardes partaient vers un service tiers hors de Suisse. L'hébergement suisse ne compensait pas l'absence des mesures de base.

À l'inverse, une commune vaudoise utilisait Microsoft 365 hébergé en Europe, avec un DPA correctement signé, une configuration de résidenc des données activée, et un registre des traitements à jour. Elle était plus solide, en termes de conformité réelle, que la PME "100% suisse" sans documentation.

Les 3 questions à se poser avant de payer

1. Où sont réellement traitées vos données ?
Avant de choisir où héberger, cartographiez où vos données vont aujourd'hui. Beaucoup d'organisations paient pour un hébergement suisse principal tout
en laissant des flux secondaires — sauvegardes, outils SaaS annexes, analytics, partir hors de Suisse sans le savoir. La localisation du serveur principal ne dit rien des flux périphériques.

2. Le cadre contractuel est-il en place ?
Que vous hébergiez en Suisse ou en Europe, la question du contrat de traitement (DPA) reste centrale. Un hébergement suisse sans DPA formalisé n'est pas plus conforme qu'un hébergement européen sans DPA. Le contrat prime souvent sur la géographie.

3. Quel est votre besoin réel de souveraineté ?
Certaines données, santé, données sensibles d'administrés, secrets professionnels, justifient pleinement un hébergement suisse. D'autres non. Payer un surcoût de souveraineté sur des données qui ne l'exigent pas est une dépense mal orientée. La bonne question n'est pas "suisse ou pas", mais "quelles données, quel niveau de protection".

L'approche Computis

La souveraineté des données n'est pas une case à cocher, c'est une décision qui se prend données par données, en fonction de leur sensibilité réelle et de vos obligations effectives.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie de vos flux de données, localisation effective, analyse des contrats existants, évaluation de votre exposition nLPD réelle. Ensuite, les recommandations : quelles données justifient un hébergement suisse, lesquelles sont conformes en Europe avec le bon cadre, où formaliser des DPA. Enfin, la mise en œuvre : migration ciblée quand
c'est justifié, mise en place des garanties contractuelles, registre des traitements conforme.

L'objectif n'est pas de tout migrer en Suisse à tout prix. C'est de payer pour la souveraineté là où elle est nécessaire, et pas là où elle ne l'est pas.

Ce qu'il faut retenir

L'hébergement suisse n'est ni un mythe inutile, ni une obligation universelle. C'est un outil de conformité, pertinent pour certaines données, superflu pour d'autres. La vraie compétence n'est pas de tout héberger en Suisse — c'est de savoir ce qui doit l'être, et pourquoi. C'est exactement là que nous intervenons.

FAQ

La nLPD nous oblige-t-elle à héberger nos données en Suisse ?
Non. La nLPD n'impose pas l'hébergement suisse. Elle impose que les transferts de données vers l'étranger soient encadrés par des garanties appropriées, reconnaissance d'adéquation, clauses contractuelles types, ou autres mécanismes reconnus. L'hébergement suisse est une option qui simplifie la conformité, pas une obligation.

Alors pourquoi tant de fournisseurs insistent sur "l'hébergement 100% suisse" ?
Parce que c'est un argument de vente efficace et rassurant. Il n'est pas faux, un hébergement suisse simplifie effectivement certains aspects de la conformité. Mais il est souvent présenté comme une solution complète alors qu'il ne remplace ni le DPA, ni le registre des traitements, ni la cartographie des flux.

Peut-on être conforme nLPD avec Microsoft 365 ou Google Workspace hébergés en Europe ?
Oui, sous conditions. Avec un DPA correctement signé, une configuration de résidence des données appropriée et un registre des traitements à jour, un hébergement européen peut être parfaitement conforme nLPD. Le cadre contractuel et documentaire prime souvent sur la seule géographie du serveur.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure l'audit, la cartographie, la mise en conformité et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie de vos flux de données, localisation effective, analyse des contrats et DPA existants, évaluation de votre exposition nLPD, recommandations priorisées sur ce qui justifie un hébergement suisse et ce qui ne l'exige pas. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous, chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et l'une des idées les plus tenaces que nous rencontrons est celle-ci : "Nous sommes trop petits pour intéresser les pirates." C'est exactement l'inverse. Les petites structures ne sont pas ignorées, elles sont préférées. Parce qu'elles correspondent au profil de cible le plus rentable pour un attaquant.

En 2025, la majorité des victimes de ransomware ne sont pas de grandes entreprises, ce sont des PME de moins de 100 collaborateurs. Pas parce qu'elles ont plus de valeur, mais parce qu'elles sont plus faciles à atteindre et plus susceptibles de payer rapidement pour reprendre leur activité.

Le profil de la cible idéale

Les groupes de ransomware modernes fonctionnent comme des entreprises. Ils ont des processus, des outils automatisés, et des critères de sélection. Ils ne choisissent pas leurs victimes une par une, ils scannent Internet en permanence à la recherche de signaux qui indiquent une cible facile et rentable.

Le profil recherché est précis : une organisation suffisamment grande pour avoir des données critiques et de quoi payer une rançon, mais suffisamment petite pour ne pas disposer d'une équipe de sécurité dédiée. Une PME de 20 à 100 collaborateurs, une commune, une institution, c'est exactement le cœur de cible.

Les signaux qu'ils recherchent sont techniques : un port RDP exposé sur Internet, un VPN sans MFA, un logiciel non mis à jour avec une vulnérabilité connue, des identifiants présents dans une fuite de données antérieure. Chacun de ces signaux est détectable automatiquement, à grande échelle, sans aucune intervention humaine. Vous n'êtes pas visé personnellement, vous êtes détecté par un script.

Ce qu'on observe sur le terrain

Lors d'un audit pour une PME industrielle vaudoise de 70 collaborateurs, nous avons constaté que l'organisation présentait simultanément trois des signaux les plus recherchés : un port RDP exposé, un serveur Windows non mis à jour depuis 14 mois avec une vulnérabilité critique connue, et des identifiants d'employés présents dans
des fuites publiques. Du point de vue d'un attaquant automatisé, cette PME était une cible de premier choix.

Dans une commune romande, le constat était similaire : un accès distant configuré en 2020 sans MFA, jamais audité depuis. La commune pensait être protégée parce qu'elle "n'avait rien d'intéressant à voler". Mais un ransomware ne vole pas, il chiffre. Et il rend l'administration communale incapable de fonctionner jusqu'au paiement.

Les 3 façons de sortir de leur liste

1. Réduire votre surface d'exposition externe
La première chose qu'un attaquant voit, c'est ce qui est exposé sur Internet. Fermer les ports inutiles, mettre le RDP derrière un VPN, activer le MFA partout, maintenir les systèmes à jour, chacune de ces mesures vous retire des résultats de leurs scans automatisés. Vous ne devenez pas invulnérable : vous devenezmoins rentable à attaquer que la cible d'à côté.

2. Rendre une attaque non rentable
Le modèle économique du ransomware repose sur votre incapacité à récupérer vos données sans payer. Une stratégie de sauvegarde testée, isolée et restaurable change radicalement le calcul : si vous pouvez restaurer en quelques heures, la rançon perd tout son pouvoir. La sauvegarde n'est pas qu'une protection, c'est votre meilleur levier de négociation, celui de ne pas avoir à négocier.

3. Détecter avant que ça ne se propage
Un ransomware ne chiffre pas tout instantanément. Il y a souvent un délai entre l'intrusion initiale et le déclenchement du chiffrement, des heures, parfois des jours. Une détection précoce (activité réseau anormale, connexions inhabituelles, alertes sur les accès) permet d'intervenir avant que les dégâts ne soient irréversibles. C'est la différence entre un incident contenu et une catastrophe.

L'approche Computis

Sortir de la liste des cibles faciles n'est pasun projet de grande envergure. C'est une série de mesures ciblées qui, ensemble, vous rendent significativement moins rentable à attaquer que la moyenne, ce qui, face à des attaquants opportunistes, fait toute la différence.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : vue de l'extérieur (ce qu'un attaquant voit), test d'exposition, revue des accès et des mises à jour, vérification de votre capacité de restauration. Ensuite, la réduction de surface : fermeture des expositions, MFA, mises à jour, durcissement des accès. Enfin, la résilience : sauvegardes testées et isolées, détection des anomalies, plan de réponse en cas d'incident.

Ce qu'il faut retenir

Vous n'avez pas besoin d'être imprenable. Vous avez besoin d'être moins rentable à attaquer que la cible d'à côté. Les attaquants opportunistes suivent le chemin de moindre résistance, et quelques mesures ciblées suffisent à vous faire sortir de leur liste. C'est précisément ce que nous faisons.

FAQ

Nous sommes une petite structure, sommes-nous vraiment une cible pour les ransomwares ?
Oui, et c'est même l'inverse de ce qu'on croit. Les PME sont préférées par les attaquants : assez de valeur pour payer, pas assez de moyens pour se défendre. La majorité des victimes de ransomware en 2025 sont des structures de moins de 100 personnes.

Si nous sommes attaqués, payer la rançon ne règle-t-il pas le problème ?
Payer ne garantit rien : ni la récupération des données, ni l'absence de seconde attaque. Cela finance et encourage le modèle. Et en droit suisse, le paiement soulève
des questions juridiques complexes. La seule stratégie fiable est de pouvoir restaurer sans payer, donc des sauvegardes testées et isolées.

Un ransomware déclenche-t-il une obligation nLPD même sans vol de données ?
Oui. Le chiffrement de données personnelles les rend indisponibles, et l'indisponibilité est une forme de violation au sens de la nLPD. L'obligation de notification peut s'appliquer même si aucune donnée n'a été exfiltrée vers l'extérieur.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : vue externe de votre exposition, test des accès, état des mises à jour, vérification de votre capacité de restauration, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et un moment revient régulièrement dans nos interventions : l'emménagement dans de nouveaux locaux. L'entreprise hérite d'un réseau déjà câblé, par le propriétaire, par le locataire précédent, par un installateur dont personne n'a gardé les coordonnées. Et ce qu'elle hérite, elle ne le comprend pas toujours.

Dans la majorité des emménagements que nous auditons, l'entreprise ne dispose d'aucun plan de câblage, d'aucune documentation du réseau hérité, et d'aucune certification des prises. Le jour de la première panne, ce manque d'information transforme une intervention de 30 minutes en une journée entière de diagnostic.

Le problème : un réseau qu'on hérite sans le comprendre

Le câblage structuré, c'est l'épine dorsale physique de votre infrastructure : les câbles, les prises, les baies de brassage, les chemins de câbles qui relient vos postes de travail, vos serveurs, vos équipements réseau. C'est invisible au quotidien, jusqu'au jour où ça ne fonctionne plus.

Quand vous emménagez dans des locaux déjà câblés, vous héritez d'une infrastructure dont vous ne connaissez ni l'âge, ni la qualité, ni l'organisation. Les câbles sont peut-être de catégorie 5e datant de quinze ans, inadaptés aux débits actuels. Les prises ne sont peut-être pas certifiées. La baie de brassage est peut-être un enchevêtrement non documenté où personne ne sait quelle prise correspond à quel bureau.

Ce n'est pas un problème tant que tout fonctionne. Mais le câblage est précisément ce qui détermine la fiabilité, les performances et la capacité d'évolution de tout le reste, votre WiFi, vos serveurs, votre téléphonie, vos caméras. Un mauvais câblage plafonne
toute votre infrastructure, quelle que soit la qualité des équipements que vous y branchez.

Ce qu'on observe sur le terrain

Lors d'un emménagement pour une PME de 35 collaborateurs dans des bureaux du centre de Lausanne, nous avons découvert que le câblage hérité mélangeait des catégories 5e et 6, sans aucune logique apparente. Certaines prises n'étaient raccordées à rien. D'autres étaient raccordées à des prises voisines de façon non documentée. Le client avait signé son bail en supposant que "le réseau était déjà là". Il l'était, mais inutilisable en l'état pour ses besoins.

Dans une commune qui rénovait son administration, la baie de brassage héritée comptait plus de 60 câbles non étiquetés. Identifier quelle prise desservait quel bureau a nécessité une journée complète de test prise par prise — un travail qui aurait pris une heure avec une documentation à jour.

Les 3 points à vérifier avant et après l'emménagement

1. Faire auditer le câblage hérité avant de signer
Idéalement, l'état du câblage devrait être évalué avant la signature du bail, ou au minimum avant le déménagement effectif. Un audit révèle la catégorie réelle des câbles, l'état des prises, et la conformité de l'infrastructure à vos besoins. Découvrir un câblage inadapté après l'emménagement coûte beaucoup plus cher qu'une vérification préalable.

2. Exiger ou reconstituer la documentation
Plan de câblage, repérage des prises, schéma de la baie de brassage, certification des liens. Si cette documentation n'existe pas, ce qui est fréquent, il faut la reconstituer. C'est elle qui transforme une future panne en intervention rapide plutôt qu'en enquête. Une infrastructure documentée est une infrastructure maintenable.

3. Vérifier la capacité d'évolution
Le câblage hérité supporte-t-il vos besoins actuels ET futurs ? Débits, nombre de prises, alimentation PoE pour vos téléphones IP, points d'accès WiFi et caméras. Un câblage dimensionné pour l'occupant précédent n'est pas nécessairement adapté au vôtre. Anticiper évite de devoir recâbler dans deux ans.

L'approche Computis SwissFi

L'infrastructure de câblage n'est pas le sujet le plus visible de votre IT, mais c'est sa fondation. Et comme toute fondation, elle se vérifie avant de construire dessus, pas après.

Chez Computis, notre département SwissFi accompagne les PME et communes romandes lors de leurs emménagements et rénovations. Notre approche fonctionne en trois temps. D'abord, un audit du câblage existant : test et certification des liens, identification de la catégorie réelle, repérage et documentation des prises, état de la baie de brassage. Ensuite, les recommandations : ce qui est exploitable en l'état, ce qui doit être remplacé, ce qui doit être ajouté pour vos besoins actuels et futurs. Enfin, le déploiement si nécessaire : câblage structuré certifié, baie organisée et documentée,
repérage complet, une infrastructure dont vous comprenez chaque prise.

Ce qu'il faut retenir

Le câblage est la seule partie de votre infrastructure que vous ne pouvez pas mettre à jour par un clic. Mal dimensionné ou non documenté, il plafonne tout le reste et transforme la moindre panne en enquête. Vérifié et documenté, il devient une fondation fiable sur laquelle tout le reste peut être construit sereinement.

FAQ

Le réseau fonctionne dans nos nouveaux locaux — pourquoi auditer le câblage ?
Un câblage qui "fonctionne" aujourd'hui peut être sous-dimensionné, non certifié ou non documenté. Ces trois éléments ne se voient pas tant que tout va bien, ils se révèlent le jour de la panne, de l'extension ou de la montée en débit. Auditer maintenant, c'est éviter de découvrir le problème au pire moment.

La différence entre catégorie 5e, 6 et 6a, c'est vraiment important pour une PME ?
Oui. La catégorie détermine le débit maximal et la distance supportée. Un câblage 5e plafonne à des débits qui peuvent suffire aujourd'hui mais limiter vos évolutions futures, visioconférence, sauvegardes réseau, montée en charge. Connaître la catégorie réelle de votre câblage hérité est la base de toute décision d'infrastructure.

La documentation du câblage est-elle vraiment nécessaire pour une petite structure ?
Absolument. C'est même là qu'elle a le plus de valeur : sans équipe IT dédiée, une panne réseau dans une petite structure peut paralyser toute l'activité. Une documentation à jour transforme un diagnostic d'une journée en une intervention d'une heure. C'est un investissement minime pour un gain considérable.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : test et certification des liens, identification de la catégorie réelle du câblage, repérage et documentation des prises, état de la baie de brassage, recommandations d'évolution. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Abonnez-vous chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Röservez 15 minutes avec notre öquipe

S'abonner maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes, des communes et des institutions publiques dans la sécurisation de leur infrastructure. Et lors de nos audits, une question fait presque systématiquement tomber le silence dans la pièce : "Quand avez-vous testé la restauration de vos sauvegardes pour la dernière fois ?"

La plupart du temps, les sauvegardes existent. C'est leur restauration qui n'a jamais été vérifiée. Et le jour où on en a besoin, c'est rarement le bon moment pour découvrir qu'elles ne fonctionnent pas.

60% des PME victimes d'une perte de données majeure sans plan de reprise testé ne reprennent jamais une activité normale. La sauvegarde n'est pas le sujet. La capacité à restaurer, dans un délai acceptable, l'est.

Une sauvegarde n'est pas un plan de reprise

Il existe une confusion fréquente entre deux notions distinctes : la sauvegarde et le plan de reprise d'activité. La sauvegarde, c'est la copie de vos données. Le plan de reprise, c'est votre capacité à redémarrer votre activité après un incident, dans un délai défini, avec une perte de données maîtrisée.

Avoir des sauvegardes ne suffit pas. La vraie question est : combien de temps vous faut-il pour redémarrer après un sinistre, panne matérielle, ransomware, incendie, erreur humaine ? Et combien de données pouvez-vous vous permettre de perdre ?

Ces deux questions ont des noms techniques : le RTO (Recovery Time Objective, le temps de redémarrage acceptable) et le RPO (Recovery Point Objective, la quantité de données que vous pouvez perdre). La plupart des PME que nous auditons n'ont jamais défini ni l'un ni l'autre. Elles découvrent leur RTO réel le jour de l'incident, et il est presque toujours bien plus long que ce qu'elles auraient pu supporter.

Ce qu'on observe sur le terrain

Dans une PME de négoce de 40 collaborateurs, les sauvegardes tournaient automatiquement chaque nuit sur un disque réseau. Tout semblait en ordre. Lors de notre test de restauration, nous avons découvert que les sauvegardes échouaient silencieusement depuis 7 mois — le disque était plein. Personne n'avait vérifié les logs. La dernière sauvegarde exploitable datait de l'automne précédent.

Dans une commune vaudoise, les sauvegardes étaient stockées sur un serveur situé dans le même local technique que les serveurs de production. Un dégât des eaux, un incendie, ou un ransomware se propageant sur le réseau aurait détruit les données ET leur sauvegarde simultanément. La règle de l'isolation n'était pas respectée.

Les 3 points à corriger en priorité

1. La règle 3-2-1 n'est pas appliquée
La règle de référence est simple : 3 copies de vos données, sur 2 supports différents, dont 1 hors site. La majorité des PME que nous auditons ont une seule copie, sur un seul support, dans le même bâtiment que les données d'origine. Un seul incident physique détruit tout. L'isolation d'au moins une copie, hors site ou dans le cloud, déconnectée du réseau principal, est la mesure fondamentale.

2. Les sauvegardes ne sont jamais testées
Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une protection. Les échecs silencieux sont fréquents : disque plein, processus interrompu, fichiers corrompus, droits d'accès modifiés. Sans test de restauration régulier, au minimum
trimestriel, vous ne savez pas si vos sauvegardes sont exploitables. Le jour de l'incident est le pire moment pour le découvrir.

3. Aucun RTO ni RPO défini
Sans objectif de temps de reprise et de point de reprise définis, vous ne pouvez pas dimensionner votre solution de sauvegarde correctement. Combien d'heures d'interruption votre activité peut-elle supporter ? Combien de données pouvez-vous perdre ? Ces deux réponses déterminent toute votre architecture de sauvegarde — et elles doivent être des décisions de direction, pas des paramètres techniques par défaut.

L'approche Computis

La sauvegarde et le plan de reprise ne sont pas des sujets techniques réservés aux grandes entreprises. Ce sont des décisions de continuité d'activité qui concernent toute organisation et qui se dimensionnent à la taille de votre structure.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : état des sauvegardes existantes, test de restauration réel, vérification de l'isolation, analyse des logs. Ensuite, la définition des objectifs : RTO et RPO décidés avec la direction, en fonction de la réalité de votre activité. Enfin, la mise en place : architecture 3-2-1, automatisation, alertes en cas
d'échec, et surtout, tests de restauration planifiés et documentés.

Ce qu'il faut retenir

Une sauvegarde n'a de valeur que si vous pouvez la restaurer dans un délai acceptable, sans avoir perdu trop de données. La seule façon de le savoir, c'est de tester avant d'en avoir besoin. Tout le reste est une hypothèse. Et le jour de l'incident est le pire moment pour vérifier une hypothèse.

FAQ

Nos sauvegardes tournent automatiquement, ne sommes-nous pas protégés ?
Une sauvegarde automatique peut échouer silencieusement : disque plein, processus interrompu, fichiers corrompus. Sans test de restauration régulier, vous ne savez pas si elles sont exploitables. L'automatisation gère la copie mais pas la garantie de pouvoir restaurer.

C'est quoi concrètement la règle 3-2-1 ?
Trois copies de vos données, sur deux types de supports différents, dont une copie conservée hors site. C'est la règle de référence de l'industrie. Elle garantit qu'aucun incident unique, physique ou logique, ne peut détruire simultanément vos données et toutes leurs sauvegardes.

La nLPD nous impose-t-elle d'avoir un plan de reprise ?
La nLPD impose la disponibilité des données personnelles comme objectif de protection. Une perte définitive de données faute de sauvegarde restaurable constitue
un manquement. La perte de disponibilité peut aussi déclencher une obligation de notification, au même titre qu'une fuite.

Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe, vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : état des sauvegardes, test de restauration réel, vérification de l'isolation, définition des objectifs RTO/RPO, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et lors de l'examen des accès, le même constat revient presque systématiquement : tout le monde peut accéder à presque tout. Pas par décision mais par accumulation. Des droits ajoutés au fil des ans, jamais retirés, jamais revus.

Dans la majorité des PME que nous auditons, un collaborateur moyen a accès à 3 à 5 fois plus de ressources que son rôle ne l'exige. Chaque accès excédentaire est une surface d'attaque supplémentaire et une donnée de plus exposée en cas de compromission d'un seul compte.

Le problème : l'accumulation silencieuse des droits

Dans la plupart des organisations, la gestion des accès suit une logique d'ajout, jamais de retrait. Un collaborateur change de poste : on lui donne les accès du nouveau rôle, on oublie de retirer ceux de l'ancien. Un projet temporaire nécessite un accès : il est accordé, puis jamais révoqué. Une demande urgente passe par un accès administrateur
"juste pour cette fois" : il reste actif des années.

Le résultat est une accumulation silencieuse. Au bout de quelques années, plus personne ne sait réellement qui a accès à quoi ni pourquoi. Et chaque accès excédentaire est un risque : si le compte est compromis, l'attaquant hérite de tous ces droits accumulés.

C'est précisément ce que le principe du moindre privilège vise à corriger : chaque utilisateur, chaque application, chaque service ne devrait disposer que des accès strictement nécessaires à sa fonction ni plus, ni moins.

Ce qu'on observe sur le terrain

Dans une PME de services de 50 collaborateurs, nous avons découvert que 32 comptes sur 50 disposaient de droits d'administrateur local sur leur poste souvent hérités d'une configuration initiale jamais révisée. Un seul de ces postes compromis offrait à un attaquant un point d'appui privilégié pour se propager sur le réseau.

Dans une commune vaudoise, le compte d'un stagiaire parti depuis huit mois était toujours actif — avec un accès complet au système de gestion des administrés, incluant des données personnelles sensibles. Personne n'avait pensé à le désactiver
à la fin du stage.

Les 3 points à corriger en priorité

1. Trop de comptes administrateurs
Le compte administrateur ne devrait être utilisé que pour les tâches qui l'exigent réellement et jamais pour le travail quotidien. Dans la majorité des PME, des collaborateurs travaillent en permanence avec des droits administrateur, par confort. Un poste administrateur compromis donne à l'attaquant les clés du royaume. La séparation entre compte quotidien et compte administrateur est une mesure
fondamentale et souvent absente.

2. Aucune revue périodique des accès
Les accès s'accumulent parce que personne ne les revoit. Une revue trimestrielle ou semestrielle qui a accès à quoi, est-ce toujours justifié et permet de retirer les droits excédentaires avant qu'ils ne deviennent un risque. Sans ce processus,
l'accumulation est inévitable. Cette revue n'a pas besoin d'être complexe : elle a besoin d'être régulière.

3. Pas de procédure d'offboarding systématique
Chaque départ de collaborateur doit déclencher une révocation immédiate et complète de tous ses accès, messagerie, VPN, outils cloud, applications métier et accès physiques. Pas "quand l'IT aura le temps". Immédiatement. Les comptes orphelins d'anciens collaborateurs sont parmi les vecteurs d'intrusion les plus exploités et précisément parce que personne ne les surveille.

L'approche Computis

La gestion des identités et des accès n'est pas un projet de grande entreprise. C'est une discipline qui se met en place progressivement, à la taille de votre structure, avec des outils adaptés à votre environnement Microsoft 365, Google Workspace ou infrastructure on-premise.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie complète des comptes et des droits, identification des comptes orphelins, détection des privilèges excédentaires, revue des comptes administrateurs. Ensuite, la mise en conformité : application du moindre privilège, séparation des comptes administrateurs, mise en place des procédures d'onboarding et d'offboarding. Enfin, le suivi : revue périodique des accès, alerte sur les changements de droits sensibles, intégration dans votre routine de gestion IT.

Ce qu'il faut retenir

La sécurité ne se mesure pas au nombre de comptes que vous gérez, mais à la précision avec laquelle chacun est limité à ce dont il a besoin. Le moindre
privilège n'est pas une contrainte, c'est la façon la plus simple de réduire l'impact d'un incident avant même qu'il ne se produise.

FAQ

Le moindre privilège, ça ne va pas compliquer le travail de nos équipes ?
Non, si c'est bien fait. Le moindre privilège ne consiste pas à restreindre arbitrairement, il consiste à donner à chacun exactement ce dont il a besoin pour travailler. Bien configuré, il est invisible au quotidien. C'est uniquement en cas d'incident que sa valeur apparaît.

Nous sommes une petite structure — avons-nous vraiment besoin de gérer les accès aussi finement ?
Oui. Une petite structure a souvent moins de comptes, mais une plus forte concentration de droits par compte, parce que les rôles se cumulent. Le risque par compte compromis est donc plus élevé, pas moins. La gestion des accès est aussi pertinente pour 10 personnes que pour 1000.

La nLPD nous impose-t-elle de gérer les accès aux données ?
La nLPD impose le principe de minimisation et exige que l'accès aux données personnelles soit limité aux personnes qui en ont besoin. Un système où chacun
accède à tout va à l'encontre de cet esprit. En cas de contrôle, démontrer une gestion structurée des accès est un élément de conformité attendu.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe et vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des comptes et des droits, comptes orphelins identifiés, privilèges excédentaires détectés, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous intervenons chaque semaine dans des PME vaudoises, des communes romandes et des institutions publiques. Et depuis que nous publions Computis Insights, une question revient régulièrement de la part de nos lecteurs :
"Concrètement, comment ça se passe, un audit chez vous ?"

C'est l'objet de cette série Coulisses. Non pas pour nous vendre — mais parce que comprendre ce que nous faisons, c'est souvent comprendre pourquoi ça vaut la peine de le faire.

Chaque audit révèle au moins une vulnérabilité critique que le client ne soupçonnait pas. Pas une fois sur deux. Pas sept fois sur dix. Chaque fois. Sans exception, depuis trois ans.

Avant d'entrer : ce qu'on ne sait pas encore

Un audit Computis commence avant d'arriver dans vos locaux. La phase de préparation — généralement la veille ou le matin même — consiste à faire ce qu'un attaquant ferait depuis l'extérieur : chercher ce qui est visible sans avoir aucun accès.

Ports ouverts sur Internet. Certificats SSL expirés ou mal configurés. Sous-domaines oubliés. Adresses email exposées dans des bases de données de fuites. Présence de vos équipements dans des moteurs de recherche spécialisés comme Shodan par exemple...

Cette phase dure entre 30 et 60 minutes. Ce qu'elle révèle fixe souvent le ton du reste
de la journée. Dans plus de la moitié des cas, nous arrivons avec déjà une liste de points à vérifier de l'intérieur.

Les 4 heures sur site

Nous arrivons avec un ordinateur portable, un switch réseau portable, et une série de
questions précises. Pas de questionnaire générique à remplir ensemble — nous regardons l'infrastructure réelle, pas la documentation qui la décrit.

La première heure est consacrée à la cartographie. Scan réseau exhaustif : combien d'appareils sont connectés, quels sont-ils, dans quels segments, quelles versions de firmware, quels ports ouverts en interne. Dans la quasi-totalité des PME que nous visitons, ce scan révèle des appareils que personne ne savait qu'il existaient encore sur le réseau.

La deuxième heure se concentre sur les accès. Qui a accès à quoi, avec quels droits, avec quelle authentification. Comptes actifs d'anciens collaborateurs. Comptes administrateurs partagés entre plusieurs personnes. MFA absent sur les accès critiques. Mots de passe d'usine sur les équipements réseau. Ces situations ne sont pas rares — elles sont la norme.

La troisième heure examine les flux sortants et les configurations critiques. Ce que votre réseau envoie à l'extérieur. Vers quels pays. Via quels services. Avec quels contrôles. Et une vérification rapide de vos sauvegardes — existent-elles, sont-elles testées, sont-elles isolées du réseau principal.

La quatrième heure est une conversation. Nous vous présentons ce que nous avons trouvé, dans quel ordre vous devriez y répondre, et pourquoi. Pas un rapport de 80 pages que vous n'ouvrirez jamais — une discussion ancrée dans ce que nous avons vu ensemble ce matin-là.

Ce qu'on trouve dans la quasi-totalité des cas

10 ans d'audits dans les PME et communes romandes ont produit une liste de constantes. Pas d'exceptions — des récurrences. Voici ce que nous trouvons presque
systématiquement, indépendamment de la taille de la structure ou du secteur d'activité.

Des comptes actifs d'anciens collaborateurs.
Pas un audit sur cinq. La majorité. Des accèsà la messagerie, au VPN, aux outils cloud — de personnes qui ne travaillent plus là depuis des mois, parfois des années. Ce n'est pas de la négligence. C'est l'absence d'une procédure d'offboarding formalisée. Et c'est l'une desvulnérabilités les plus exploitées dans les incidents que nous observons.

Des appareils IoT non inventoriés sur le réseau principal.
Imprimantes, caméras, pointeuses, écrans — tous sur le même segment que les serveurs et les postes de travail. Souvent avec des firmwares qui n'ont pas été mis à jour depuis l'installation. Souvent avec le mot de passe d'usine. Toujours sans VLAN dédié.

Des sauvegardes qui ne sont pas testées.
Elles existent, dans la plupart des cas. Mais quand nous demandons "quand avez-vous testé la restauration pour la dernière fois ?", la réponse est presque toujours le silence. Une sauvegarde non testée n'est pas une sauvegarde — c'est une espérance.

Ce que l'audit change concrètement

L'audit préliminaire change quelque chose de fondamental dans la relation entre nos clients et leur infrastructure IT : il transforme une zone d'inconnu anxiogène en une liste de points documentés, priorisés, et actionnables.

La plupart des dirigeants que nous rencontrons savent intuitivement qu'ils ont des lacunes de sécurité. Ce qu'ils ne savent pas, c'est lesquelles, dans quel ordre les adresser, et ce que ça coûterait concrètement. L'audit répond à ces trois questions
en une demi-journée.

Ce n'est pas rassurant au sens où tout irait bien. C'est rassurant au sens où vous savez maintenant exactement où vous en êtes — et vous n'êtes plus seul face à un risque que vous ne pouvez pas nommer.

Chez Computis, notre audit préliminaire est payant et sérieux. Il produit un rapport documenté, des recommandations priorisées par niveau de risque réel, et une conversation honnête sur ce qui est urgent et ce qui peut attendre. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous par la suite.

Ce qu'il faut retenir

Un audit Computis ne vous dira pas que tout va bien. Il vous dira exactement ce qui ne va pas, pourquoi, et dans quel ordre y remédier. C'est différent. Et c'est la seule façon honnête de commencer à sécuriser une organisation.

FAQ

En quoi l'audit Computis est-il différent d'un questionnaire de sécurité ?
Un questionnaire de sécurité mesure ce que vous pensez avoir mis en place. Notre audit mesure ce qui existe réellement. La différence est systématiquement significative. Nous regardons l'infrastructure — pas la documentation
qui la décrit.

4 heures, c'est suffisant pour avoir un vrai diagnostic ?
Pour les PME de 10 à 150 collaborateurs, oui. La majorité des vulnérabilités critiques se révèlent dans les deux premières heures. Ce n'est pas un audit de conformité exhaustif — c'est un diagnostic des risques réels, priorisé par niveau de gravité.

Que contient le rapport produit à l'issue de l'audit ?
Le rapport documente : l'inventaire des équipements et des accès, les vulnérabilités identifiées classées par niveau de risque, les recommandations priorisées avec estimation d'effort, et un plan de remédiation à 90 jours. Il est exploitable immédiatement — par vous, ou avec nous.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Pourquoi l'audit est-il payant ?
Parce qu'il produit un travail réel — une demi-journée d'expertise, un rapport documenté, des recommandations actionnables. Un audit gratuit est un audit bâclé
ou un argumentaire commercial déguisé. Le nôtre est une prestation sérieuse. Et son coût est intégralement déduit si vous travaillez avec nous.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et depuis 2022, nous trouvons
systématiquement le même angle mort dans leurs infrastructures : les accès distants. Mis en place rapidement lors de la période COVID, souvent par un prestataire qui n'est plus là, configurés avec les outils disponibles à l'époque — et jamais audités depuis.

En 2025, le protocole RDP (Bureau à distance Windows) est impliqué dans 54% des incidents de ransomware dans les PME européennes. Le VPN sans MFA reste le vecteur d'attaque numéro un pour les intrusions sur les réseaux d'entreprise en Suisse romande. Ces deux vulnérabilités coexistent dans la majorité des organisations que nous auditons.

Le problème : ce qui a été fait vite en 2020 n'a pas été revu depuis

Le télétravail généralisé de 2020 a forcé des milliers de PME à déployer des accès distants en quelques jours. VPN, Bureau à distance Windows (RDP), solutions de bureau virtuel — tout a été mis en place dans l'urgence, avec les ressources disponibles, sans le recul nécessaire pour en évaluer les implications de sécurité.

La configuration de 2020 n'est plus une solution d'urgence temporaire. Elle est devenue votre surface d'attaque permanente.

Ce qu'on observe sur le terrain

Dans une PME de services financiers de 22 collaborateurs, nous avons identifié lors d'un audit que le port RDP (3389) était directement exposé sur Internet depuis 4 ans. Aucun MFA. Le compte administrateur utilisé pour les connexions distantes avait le même mot de passe depuis 2019. Ce compte avait tenté de se connecter depuis 14 pays différents au cours des 30 derniers jours — sans qu'aucune alerte ne soit jamais remontée.

Dans une commune vaudoise de 5'000 habitants, le VPN déployé en 2020 ne disposait d'aucune authentification à deux facteurs. Le certificat SSL du VPN avait expiré depuis 18 mois. Les logs de connexion n'étaient pas conservés au-delà de 7 jours.

Les 3 erreurs de configuration à corriger en priorité

1. RDP exposé directement sur Internet sans VPN
Le Bureau à distance Windows (RDP) ne doit jamais être accessible directement depuis Internet. C'est l'erreur la plus courante et la plus dangereuse que nous trouvons. Un port 3389 exposé est scanné en permanence par des outils automatisés qui testent des millions de combinaisons d'identifiants par heure. La correction est simple : RDP ne doit être accessible qu'après connexion VPN authentifiée. Pas de compromis.

2. VPN sans MFA — un identifiant suffit pour entrer
Un VPN sans authentification à deux facteurs offre une protection illusoire. Un identifiant compromis dans une fuite de données externe — LinkedIn, un forum, un service tiers — suffit pour accéder à l'intégralité de votre réseau interne. Le MFA sur le VPN est la mesure de sécurité au meilleur ratio coût/protection qui existe. Elle prend une demi-journée à déployer et réduit le risque d'intrusion via ce vecteur de 99%.

3. Absence de politique de session et de journalisation
Pas de déconnexion automatique après inactivité. Pas de limitation des horaires d'accès. Pas de logs conservés suffisamment longtemps. Ces trois absences transforment un accès distant en porte ouverte permanente. Et en cas d'incident, l'absence de journalisation vous prive de tout moyen de comprendre ce qui s'est passé — et de le démontrer aux autorités ou à votre assureur.

L'approche Computis

La sécurisation des accès distants n'est pas un projet complexe. C'est un projet de quelques jours, sur une infrastructure que vous avez déjà, avec des mesures dont l'impact est immédiat et mesurable.

Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps.

D'abord, un audit préliminaire : cartographie complète des accès distants actifs, test d'exposition des ports, analyse de la configuration VPN et RDP, vérification des politiques MFA en place, revue des logs existants.

Ensuite, la mise en conformité : fermeture des ports exposés, déploiement MFA sur tous les accès distants critiques, configuration des politiques de session (timeout, restriction horaire, restriction géographique si pertinent), mise en place de la journalisation.

Enfin, le suivi : alerte sur les connexions anormales, revue trimestrielle des accès actifs, procédure de révocation immédiate en cas de départ collaborateur.

Ce que ça donne concrètement pour votre organisation :

Ce qu'il faut retenir

L'accès distant que vous avez mis en place en 2020 pour traverser une crise est devenu votre infrastructure permanente. Les attaquants le savent. La bonne nouvelle : trois corrections ciblées — fermer le RDP, activer le MFA, journaliser — réduisent le risque d'intrusion via ce vecteur de façon spectaculaire. C'est précisément ce que nous faisons.

FAQ

Notre VPN fonctionne bien depuis 4 ans — pourquoi s'en préoccuper maintenant ?
Un VPN qui "fonctionne bien" et un VPN qui est sécurisé sont deux choses distinctes. Un VPN sans MFA fonctionne parfaitement — et reste une porte ouverte pour quiconque dispose d'un identifiant compromis. La question n'est pas si votre VPN fonctionne, mais si quelqu'un d'autre que vos collaborateurs peut l'utiliser.

Le MFA, c'est compliqué à déployer pour une PME sans IT ?
Non. Pour une PME de 10 à 100 collaborateurs, le déploiement MFA sur un VPN prend une demi-journée. Les solutions modernes (Microsoft Authenticator,
Duo, etc.) sont transparentes pour l'utilisateur — une notification push sur le smartphone, acceptée en 3 secondes. La friction est réelle les premiers jours,
puis elle disparaît.

La nLPD nous oblige-t-elle à sécuriser nos accès distants ?
La nLPD exige des mesures techniques appropriées pour protéger les données personnelles. Un accès distant sans MFA sur des systèmes traitant des données
personnelles est explicitement considéré comme une mesure inadéquate. En cas d'intrusion via ce vecteur, l'absence de protection appropriée aggrave
significativement votre exposition légale.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : exposition des ports, analyse VPN et RDP, état du MFA, revue des logs, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

S'abonner maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et depuis deux ans, un nouveau sujet s’impose dans nos audits que nous ne voyions pas avant : la convergence OT/IT. Des PME industrielles dont les machines de production parlent désormais directement à leur réseau bureautique —sans que personne n’ait réellement décidé que c’était une bonne idée.

Selon les données sectorielles 2025, les incidents de cybersécurité sur les réseaux OT ont augmenté de 87% en un an. Dans les PME industrielles sans équipe IT dédiée, la quasi-totalité des équipements OT partagent le même réseau que les postes de travail. Aucun n’est surveillé.

Le problème : deux mondes qui ne devaient pas fusionner

Pendant des décennies, les réseaux OT (Operational Technology) et les réseaux IT (Information Technology) vivaient séparément.

Les machines de production — tours CNC, robots industriels, automates programmables, systèmes SCADA, capteurs de process — communiquaient sur des protocoles propriétaires, dans des réseaux fermés, physiquement isolés du reste de l’entreprise.

Ce temps est révolu. La digitalisation de la production, les exigences de supervision à distance, la maintenance prédictive, les mises àjour firmware en ligne, les ERP connectés aux machines — tout cela a progressivement ouvert les réseaux OT vers l’IT. Et dans la majorité des PME industrielles romandes que nous auditons, cette ouverture s’est faite sans architecture de sécurité pensée en conséquence.

Le résultat : vos machines de production partagent souvent le même réseau que vos postes de travail, votre messagerie, votre NAS. Un attaquant qui compromet un poste RH peut, dans certaines configurations, pivoter vers votre automate de production.

L’inverse est également vrai.

Ce qu’on observe sur le terrain

Lors d’un audit réseau pour une PME industrielle vaudoise de 60 collaborateurs, nous avons découvert que trois automates programmables (PLC) pilotant une ligne de conditionnement étaient directement accessibles depuis le réseau bureautique.

Pas de VLAN dédié. Pas de règle de filtrage. Les PLC tournaient sur un firmware de 2018 — aucune mise à jour n’avait été appliquée depuis l’installation.

Dans une commune du canton de Fribourg gérant ses propres installations techniques (chauffage, ventilation, accès bâtiment), le système de supervision BMS (Building Management System) partageait le segment réseau de l’administration communale.

Un accès compromis au BMS aurait permis de couper le chauffage de l’école primaire ou de déverrouiller les accès bâtiment.

Les 3 points à corriger en priorité

1. Absence totale de segmentation OT/IT
Le premier réflexe est de supposer que les machines industrielles “ne sont pas sur Internet” — donc protégées. C’est faux dès lors qu’elles partagent un réseau avec des postes qui, eux, le sont. La segmentation via VLAN dédié OT, avec règles de filtrage strict vers le réseau IT, est la mesure fondamentale. Elle n’empêche pas la supervision à distance ni la maintenance — elle la contrôle.

2. Protocoles industriels sans authentification native
Modbus, PROFINET, BACnet, DNP3 — les protocoles qui font tourner vos machines ont été conçus pour des réseaux fermés. Ils n’ont pas d’authentification native. N’importe quel équipement sur le même segment réseau peut leur envoyer des commandes. Dès lors que votre réseau OT est accessible depuis votre réseau IT, ces protocoles deviennent des vecteurs d’attaque directs.

3. Accès distant aux machines sans contrôle dédié
La maintenance à distance par le constructeur, la supervision par l’intégrateur, les mises à jour firmware — tous ces accès passent souvent par des VPN génériques ou des accès RDP partagés. Sans segmentation et sans journalisation dédiée, vous ne savez pas qui accède à quoi sur votre réseau OT, ni quand.

L’approche Computis SwissFi

La convergence OT/IT n’est pas un problème qu’on résout avec un antivirus supplémentaire ou une règle firewall. C’est un problème d’architecture réseau — et c’est précisément le domaine d’expertise de SwissFi, notre département réseau et WiFi chez Computis.

Notre approche pour les PME industrielles et institutions romandes fonctionne en trois temps.

D’abord, un audit préliminaire de l’existant : cartographie complète des équipements OT connectés, identification des flux entre réseaux OT et IT, analyse des protocoles en présence, évaluation des accès distants existants.

Ensuite, la mise en place de l’architecture de segmentation : création d’un VLAN OT dédié, règles de filtrage inter-VLAN, déploiement d’une zone DMZ industrielle si nécessaire, sécurisation des accès distants avec authentification forte.

Enfin, la politique de gestion dans le temps : inventaire maintenu, procédure de mise à jour firmware, journalisation des accès OT, intégration dans votre routine de maintenance IT.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La convergence OT/IT est silencieuse — elle ne fait pas de bruit tant que rien ne se passe. Quand quelque chose se passe, c’est trop tard. L’architecture réseau est la seule réponse durable. Et elle se déploie sur votre infrastructure existante, sans arrêter la production.

FAQ

Nos machines de production ne sont pas connectées à Internet — pourquoi seraient-elles un risque ?

Vos machines ne sont peut-être pas directement exposées à Internet. Mais si elles partagent un réseau avec des postes qui le sont, un attaquant qui compromet un poste bureautique peut atteindre vos automates. L’isolation physique n’existe plus dès lors que les deux réseaux se touchent quelque part.

Nous sommes une PME de 30 personnes — la convergence OT/IT nous concerne vraiment ?

Oui. La tendance à croire que les petites structures sont moins ciblées est documentée comme fausse. Les attaquants automatisés ne font pas de discrimination par taille. Et une PME industrielle sans IT dédié est précisément le profil de victime le plus fréquent dans les incidents OT recensés en Suisse romande.

La nLPD s’applique-t-elle à nos machines de production ?

La nLPD s’applique aux données personnelles — mais les incidents sur les réseaux OT produisent souvent des fuites de données personnelles en cascade (données RH sur le même réseau, données d’accès bâtiment, données de supervision). Par ailleurs, les assureurs cyber intègrent la convergence OT/IT dans leurs questionnaires. Une infrastructure non segmentée peut affecter votre couverture d’assurance.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d’une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.

Comment fonctionne l’audit préliminaire Computis sur ce sujet ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des équipements OT connectés, analyse des flux OT/IT, évaluation des accès distants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT, le WiFi et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

Abonnez-vous maintenant

Chez Computis, nous auditons chaque semaine des infrastructures cloud de PME romandes, de communes et d'institutions publiques. Et chaque semaine, la même question revient — posée différemment, mais identique dans sa nature : "Nos données sont-elles vraiment protégées dans Microsoft 365 ou Google Workspace ?"

La réponse honnête : ça dépend. Pas de la plateforme — mais de comment elle est configurée, de ce que dit votre contrat, et de ce que vous avez effectivement mis en place. La bonne nouvelle : c'est corrigeable.

Les deux plateformes ne sont pas vos gardiennes

Microsoft 365 et Google Workspace sont des plateformes de productivité — pas des solutions de conformité nLPD prêtes à l'emploi. 68% des PME suisses hébergent des données personnelles hors Suisse sans en être conscientes. La configuration par défaut n'est pas la configuration la plus protectrice.

Ce que "hébergement en Europe" veut vraiment dire

Les deux plateformes proposent des options d'hébergement "en Europe" ou "en Suisse" selon les plans souscrits. Mais l'hébergement des données au repos ne représente qu'une partie de l'équation. Ce que vos contrats ne précisent pas toujours : où les données sont traitées lors des opérations de support, de maintenance ou d'analyse de performance.

Microsoft 365 propose depuis 2022 l'option "EU Data Boundary" — un périmètre de traitement européen. Mais cette option n'est pas activée par défaut et
n'est disponible que sur certains plans. Sans activation explicite, vos données peuvent transiter vers des datacenters américains lors d'opérations de support.

Google Workspace propose une option similaire avec "Données en Europe" pour les plans Enterprise. Les plans Business standard ne garantissent pas la même granularité de contrôle géographique.

Dans les deux cas, la configuration par défaut d'une PME qui a souscrit en ligne sans accompagnement IT est rarement la configuration la plus protectrice au sens de la nLPD.

Ce qu'on observe sur le terrain

Dans nos audits cloud dans les PME et communes romandes, trois situations reviennent systématiquement.

Première situation : la PME utilise Microsoft 365 Business Basic ou Google Workspace Business Starter — les plans les plus accessibles en prix — sans avoir évalué les implications en matière de localisation des données et de droits d'accès tiers.

Deuxième situation : aucun contrat de traitement des données (DPA) n'a été formalisé avec le fournisseur. Or la nLPD exige que tout sous-traitant traitant des données personnelles pour votre compte soit encadré contractuellement. Un abonnement en ligne n'est pas un contrat de traitement conforme.

Troisième situation : les journaux d'audit (qui a accédé à quoi, depuis où, quand)
ne sont pas activés ou ne sont pas conservés suffisamment longtemps pour répondre aux exigences de traçabilité nLPD en cas d'incident.

Les 3 points à corriger en priorité

1. Localisation des données non configurée
Vérifiez dans les paramètres administrateur si l'option de résidence des données en Europe ou en Suisse est activée. Sur Microsoft 365, cherchez "EU Data Boundary" dans l'admin center. Sur Google Workspace, vérifiez les paramètres "Regions" dans la console d'administration. Si l'option n'existe pas sur votre plan actuel,
c'est une décision à prendre maintenant.

2. Absence de DPA formalisé avec le fournisseur
Microsoft et Google proposent tous deux des DPA (Data Processing Agreements) adaptés au RGPD et à la nLPD. Ces documents doivent être signés et conservés. Un simple abonnement en ligne ne constitue pas un encadrement contractuel suffisant au sens de la loi suisse.

3. Journaux d'audit désactivés ou insuffisants
Microsoft 365 propose des journaux d'audit dans le Centre de conformité Microsoft Purview. Google Workspace propose des journaux d'activité dans la console d'administration. Ces journaux doivent être activés, configurés pour une conservation suffisante, et exportés régulièrement. En cas d'incident, ce sont eux qui permettent
de démontrer votre conformité.

L'approche Computis

Chez Computis, nous réalisons un audit cloud pour les PME et communes romandes qui utilisent Microsoft 365 ou Google Workspace — que vous soyez en place depuis 3 mois ou 5 ans.

Nous vérifions la configuration de localisation des données, nous examinons les contrats en place, nous activons et configurons les journaux d'audit, et nous produisons un rapport documenté qui répond à la question : "Que pouvons-nous démontrer aujourd'hui si la nLPD nous en demande la preuve ?"

Cybersécurité, cloud ou réseau — une seule équipe chez Computis. Pas de consultant cloud séparé, pas de transfert de dossier entre spécialistes.

Ce que ça donne concrètement pour votre organisation :

Ce qu'il faut retenir

Microsoft 365 et Google Workspace sont d'excellentes plateformes. Mal configurées au regard de la nLPD, elles deviennent une vulnérabilité documentable. La bonne nouvelle : trois ajustements ciblés suffisent dans la grande majorité des cas. C'est précisément ce que nous faisons.

FAQ

Notre fournisseur cloud est certifié ISO 27001 — sommes-nous conformes nLPD ?

La certification ISO 27001 atteste des pratiques de sécurité du fournisseur — elle ne garantit pas votre conformité nLPD en tant que responsable du traitement. La nLPD vous impose des obligations indépendantes de celles de votre fournisseur : DPA signé, journaux d'audit, localisation des données.

Nous sommes une PME de 15 personnes — la nLPD s'applique-t-elle vraiment à notre échelle ?

Oui. La nLPD s'applique à toute organisation établie en Suisse qui traite des données personnelles, quelle que soit sa taille. Les PME de moins de 20 collaborateurs traitent des données de clients, de fournisseurs et d'employés — toutes concernées.

La nLPD nous oblige-t-elle à choisir un hébergeur suisse ?

Non. La nLPD permet les transferts de données vers des pays offrant une protection adéquate, sous conditions contractuelles appropriées.
L'hébergement suisse simplifie la conformité — mais un DPA correctement signé avec Microsoft ou Google, combiné à une configuration appropriée, peut suffire dans la plupart des cas.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi. Vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne l'audit préliminaire Computis ?

L'audit préliminaire est une prestation payante qui produit un rapport documenté sur votre configuration cloud actuelle, vos contrats de traitement, et vos journaux d'audit. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Réservez 15 minutes avec notre équipe

Abonnez-vous maintenant

Chez Computis, nous auditons chaque semaine des infrastructures réseau de PME romandes, de communes et d'institutions publiques. Et depuis trois ans, le même angle mort revient sans exception : le réseau WiFi invités.

Pas parce qu'il n'existe pas — il existe, dans la plupart des structures que nous visitons. Mais parce qu'il est mal configuré. Isolé en apparence. Connecté en réalité.

Le problème : un réseau "séparé" qui ne l'est pas vraiment

Créer un SSID "Invités" ne suffit pas à isoler le trafic. C'est l'erreur la plus fréquente que nous rencontrons.

Un réseau WiFi invités mal configuré, c'est un réseau qui porte un nom différent —mais qui transite par le même équipement, partage la même table de routage, et peut accéder aux mêmes segments réseau que vos postes de travail, vos serveurs, vos imprimantes et votre NAS.

La séparation visuelle — deux noms de réseau différents sur l'écran de votre téléphone — ne crée pas de séparation technique. Elle crée une fausse impression de sécurité. Ce qui est infiniment plus dangereux que l'absence de réseau invités.

Ce qu'on observe dans les PME et communes romandes

Dans une PME de services de 28 collaborateurs, nous avons identifié lors d'un test de pénétration simulé qu'un appareil connecté au réseau WiFi invités pouvait atteindre le serveur de fichiers interne en moins de 4 minutes. Le réseau "Invités" était actif depuis deux ans. Personne ne l'avait testé depuis sa mise en place.

Dans une commune vaudoise, le réseau WiFi mis à disposition du public dans la salle d'attente de l'administration partageait le même segment réseau que les postes de travail des employés. Un visiteur patient et bien équipé aurait pu capturer du trafic administratif sensible sans bouger de son siège.

Ces situations ne sont pas des cas extrêmes. Elles sont représentatives de ce que nous observons dans la majorité des structures sans équipe IT dédiée.

Les trois angles morts à corriger en priorité

• Un SSID séparé sans VLAN dédié.
  Le nom de réseau est différent — la séparation technique, elle, n'existe pas. Sans VLAN dédié avec règles de filtrage inter-segment, votre réseau invités est une extension de votre réseau interne avec un autre nom.

• Aucun contrôle de bande passante ni de durée.
  Un réseau invités sans limitation expose votre connexion principale à une saturation volontaire ou accidentelle. Et une session ouverte sans limite de durée est une invitation à une reconnaissance réseau prolongée.

• Pas de portal captif ou d'authentification minimale.
  L'absence d'identification — même basique — rend toute traçabilité impossible en cas d'incident. En Suisse, la question de la responsabilité du propriétaire du réseau pour les usages qui en émanent est un sujet juridique non trivial.

L'approche Computis : isoler vraiment, pas en apparence

Un réseau WiFi invités correctement configuré n'est pas un projet complexe. C'est un projet qui demande une expertise réseau précise et une compréhension des flux de données de votre organisation.

Chez Computis, nous déployons systématiquement une architecture en trois couches pour les PME et communes que nous accompagnons :

Un “VLAN invités dédié” avec règles de filtrage strictes — aucun accès possible aux segments internes, accès Internet uniquement, isolation complète des flux entre visiteurs.

Un “portal captif” adapté à votre contexte — identification simple pour les visiteurs, traçabilité des connexions, limitation de durée et de bande passante.

Un “audit de la configuration existante” avant tout déploiement — parce que modifier un réseau WiFi sans comprendre l'architecture en place peut créer autant de problèmes qu'il en résout.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

Un réseau WiFi invités mal configuré n’est pas une erreur bénigne. C’est une porte entrouverte sur votre infrastructure — avec un paillasson “Bienvenue” devant. La bonne nouvelle : c’est l’une des vulnérabilités les plus simples à corriger, dès lors qu’on sait exactement ce qu’on cherche. C’est précisément ce que nous faisons.

FAQ

Nous avons déjà un réseau WiFi invités séparé — sommes-nous protégés ?

Pas nécessairement. La séparation en nom de réseau ne garantit pas la séparation technique. Sans audit de la configuration VLAN et des règles de filtrage, vous ne pouvez pas savoir ce que votre réseau invités peut réellement atteindre. C'est exactement ce que nous vérifions lors de l'audit préliminaire.

Un portal captif, ça ne ralentit pas trop l'expérience de nos visiteurs ?

Un portal captif moderne prend 15 secondes à traverser. Il peut afficher vos conditions d'utilisation, recueillir un email, ou simplement demander un clic de validation. La friction est minimale. La traçabilité et la responsabilité juridique qu'il vous apporte, elles, sont substantielles.

La nLPD nous oblige-t-elle à sécuriser notre réseau WiFi invités ?

La nLPD exige des mesures techniques appropriées pour protéger les données personnelles traitées par votre organisation. Si votre réseau invités permet — même indirectement — l'accès à des données personnelles, l'absence de séparation
technique constitue une mesure inadéquate au sens de la loi.

Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur qui assure le déploiement, la configuration, la formation et le suivi. Vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne l'audit préliminaire Computis ?

L'audit préliminaire est une prestation payante qui produit un rapport documenté : analyse de votre configuration WiFi existante, test de segmentation VLAN, évaluation des règles de filtrage, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Chez Computis, notre département SwissFi intervient chaque semaine dans des PME romandes, des communes et des institutions publiques pour auditer ou déployer leur infrastructure réseau. Et depuis trois ans, le même angle mort revient sans exception : les appareils IoT — imprimantes, caméras IP, pointeuses, écrans d’affichage, capteurs de bâtiment… — sont branchés sur le réseau de l’entreprise comme s’ils étaient des postes de travail. Sans segmentation. Sans politique de mise à jour. Sans surveillance. Invisibles pour les outils de sécurité. Parfaitement visibles pour un attaquant.

En 2026, plus de 57 % des appareils IoT en entreprise présentent des vulnérabilités critiques non corrigées. Dans les PME sans équipe IT dédiée, ce chiffre dépasse 70 %. Ces appareils ne sont pas protégés par votre antivirus. Ils ne figurent pas dans votre inventaire de sécurité. Mais ils sont sur votre réseau — et ils parlent à vos serveurs.

Le problème : l’IoT a grandi plus vite que vos politiques réseau

Il y a dix ans, le réseau d’une PME comprenait des ordinateurs, des serveurs et peut-être une imprimante. Aujourd’hui, le même espace héberge des dizaines d’appareils connectés dont personne ne tient vraiment la liste : caméras de surveillance IP, systèmes de contrôle d’accès, thermostats intelligents, écrans d’affichage dynamique, caisses enregistreuses, pointeuses biométriques, capteurs de consommation énergétique. Chacun de ces appareils a une adresse IP. Chacun communique sur votre réseau. Et la quasi-totalité d’entre eux tourne sur des firmwares qui n’ont pas été mis à jour depuis leur installation.

Le problème n’est pas que ces appareils sont dangereux en eux-mêmes. C’est qu’ils sont traités comme des équipements passifs alors qu’ils sont des points d’entrée actifs. Un attaquant qui compromet une caméra IP bon marché ne cherche pas à regarder vos locaux — il cherche un point de pivot vers votre réseau interne, vos serveurs de fichiers, votre messagerie.

Ce qu’on observe dans les PME et communes romandes

Lors d’un audit réseau pour une commune vaudoise de 8’000 habitants, nous avons identifié 34 appareils IoT actifs sur le réseau principal — dont 12 caméras de surveillance, 6 systèmes de contrôle d’accès et plusieurs bornes de recharge pour véhicules électriques. Aucun n’était isolé dans un VLAN dédié. Tous communiquaient librement avec les postes de travail administratifs et le serveur de fichiers communal. Trois appareils tournaient sur des firmwares présentant des vulnérabilités critiques connues et documentées publiquement depuis plus de 18 mois.

Dans une PME industrielle de 45 collaborateurs, une imprimante multifonction installée en 2019 servait de point d’entrée lors d’un test de pénétration simulé. En moins de 40 minutes, notre équipe avait accès au réseau partagé, aux documents RH et à la messagerie du dirigeant. L’imprimante n’avait jamais reçu de mise à jour firmware. Son mot de passe d’administration était celui d’usine.

Les trois angles morts à corriger en priorité

• Aucun inventaire des appareils connectés.

  Vous ne pouvez pas sécuriser ce que vous ne connaissez pas. Dans la majorité des structures que nous auditons, personne n’est capable de lister avec certitude tous les appareils actifs sur le réseau. Un scan réseau réalisé lors de l’audit révèle systématiquement des appareils oubliés, des équipements de précédents prestataires, des appareils personnels des collaborateurs — tous potentiellement vecteurs de risque.

• Absence de segmentation réseau pour les appareils IoT.

  Mettre vos caméras, imprimantes et capteurs sur le même réseau que vos postes de travail et vos serveurs, c’est construire une maison sans portes intérieures. La segmentation via VLAN dédiés isole chaque catégorie d’appareils : un appareil IoT compromis ne peut pas communiquer avec votre infrastructure critique. C’est la mesure technique la plus efficace — et souvent la moins mise en œuvre.

• Firmwares jamais mis à jour, mots de passe d’usine conservés.

  Les fabricants d’appareils IoT publient régulièrement des correctifs de sécurité. Ces correctifs ne s’appliquent pas automatiquement — ils nécessitent une procédure manuelle que personne ne fait parce que personne n’en est responsable. Résultat : des vulnérabilités connues, documentées, exploitables, qui restent ouvertes pendant des années sur votre réseau.

L’approche SwissFi × Computis : sécuriser le réseau jusqu’au dernier appareil

La sécurité IoT ne se règle pas avec un antivirus supplémentaire. Elle se règle au niveau de l’architecture réseau — et c’est précisément là qu’intervient SwissFi le département WiFi et réseau de Computis.

Notre approche combine trois niveaux. D’abord, un audit préliminaire de l’existant : scan complet du réseau, inventaire exhaustif des appareils connectés, identification des firmwares obsolètes et des configurations à risque, cartographie des flux entre les segments. Ensuite, la mise en place de l’architecture de segmentation : création de VLAN dédiés par catégorie d’appareils (IoT, invités, postes de travail, serveurs), configuration des règles de filtrage inter-VLAN, déploiement sur l’infrastructure réseau existante ou refondue. Enfin, une politique de gestion des appareils dans le temps : procédure de mise à jour firmware, inventaire maintenu, intégration dans votre routine de maintenance IT.

Le résultat : votre imprimante, vos caméras et vos capteurs restent fonctionnels — mais ils ne peuvent plus servir de porte d’entrée vers votre infrastructure critique.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

L’IoT en entreprise n’est pas un sujet réservé aux grandes infrastructures industrielles. C’est une réalité quotidienne dans la moindre PME romande et la plus petite commune vaudoise. Chaque appareil connecté non maîtrisé est une surface d’attaque offerte gratuitement à quiconque sait la chercher. La bonne nouvelle : une architecture réseau bien segmentée résout l’essentiel du problème — et elle se déploie sur votre infrastructure existante, sans tout reconstruire.

FAQ

Nous avons un firewall — nos appareils IoT ne sont-ils pas déjà protégés ?

Un firewall protège votre périmètre externe — il filtre ce qui entre et sort d’Internet. Mais si un appareil IoT est compromis depuis l’intérieur du réseau (via une vulnérabilité firmware, un accès physique ou une connexion Wi-Fi non sécurisée), le firewall ne voit rien. Seule la segmentation interne — VLAN dédiés avec règles de filtrage inter-segment — empêche un appareil compromis de communiquer avec votre infrastructure critique.

La segmentation VLAN, ça ne va pas casser le fonctionnement de nos appareils ?

Non, si elle est correctement configurée. La segmentation isole les flux non nécessaires — elle ne coupe pas les communications légitimes. Une caméra de surveillance doit pouvoir envoyer ses flux vers votre NVR, pas vers votre serveur de fichiers RH. Nos déploiements SwissFi sont précisément calibrés pour maintenir la fonctionnalité de chaque appareil tout en supprimant les flux non justifiés.

Qui est responsable de mettre à jour les firmwares des appareils IoT dans une PME sans IT interne ?

C’est précisément le vide organisationnel que nous observons le plus souvent. Personne n’est explicitement responsable — donc personne ne le fait. Dans le cadre d’un contrat de managed services Computis, la gestion des firmwares des appareils en périmètre fait partie du suivi proactif. Pour les structures sans IT dédiée, c’est l’une des premières choses que nous structurons.

SwissFi, c’est différent de Computis ? Comment ça fonctionne ensemble ?

Chez Computis, notre pôle réseau et WiFi — que nous appelons SwissFi en interne — couvre la conception, le déploiement et la gestion des infrastructures réseau. La cybersécurité (SwissForts), le cloud (SwissFarms) et les réseaux (SwissFi) sont trois domaines de spécialisation d'une même équipe. Vous avez un interlocuteur unique.

Comment fonctionne concrètement l’audit préliminaire réseau IoT ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : inventaire complet des appareils connectés, identification des firmwares obsolètes et des configurations à risque, cartographie des flux réseau, évaluation de votre segmentation existante et recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Chez Computis, nous accompagnons chaque semaine des PME romandes et des institutions publiques dans leurs choix d'infrastructure. Et depuis l'entrée en vigueur de la nLPD, une question revient systématiquement lors de nos audits : "Nos données sont-elles vraiment en Suisse ?" La réponse honnête, dans la majorité des cas, est : vous ne le savez pas avec certitude. Et votre contrat a été rédigé précisément pour que vous ne le demandiez pas.

68 % des PME suisses utilisent au moins un service cloud dont les données sont susceptibles d'être traitées hors de Suisse — souvent sans en avoir connaissance. La conformité nLPD ne se joue pas sur la bonne volonté. Elle se joue sur les clauses contractuelles.

Le problème : “Europe” ne veut pas dire “Suisse”

La Suisse n’est pas membre de l’Union européenne. Cette évidence juridique a des conséquences pratiques que beaucoup de PME ignorent encore. Quand votre fournisseur cloud mentionne un “hébergement en Europe”, il fait généralement référence à des datacenters situés en Irlande, aux Pays-Bas ou en Allemagne — soumis au RGPD européen, mais pas à la nLPD suisse.

Ce n’est pas qu’un détail de conformité. C’est une différence de régime juridique. Le RGPD et la nLPD partagent des principes communs, mais divergent sur des points concrets : délais de notification, droits des personnes concernées, obligations du responsable du traitement. Si vos données clients, vos données RH ou vos données financières sont hébergées hors de Suisse, vous opérez dans un cadre légal que votre contrat ne vous a probablement pas expliqué.

Ce qu’on observe dans les PME et communes romandes

Lors d’un audit récent pour une commune vaudoise de taille moyenne, nous avons identifié que trois outils métiers utilisés quotidiennement — messagerie, gestion documentaire, outil RH — hébergeaient leurs données dans des régions AWS ou Azure situées hors de Suisse. Les contrats avaient été signés sans que la localisation des données soit vérifiée. Aucun registre des traitements ne mentionnait ces flux transfrontaliers.

Dans une PME de services financiers de 20 collaborateurs, l’outil de comptabilité SaaS utilisé depuis trois ans transférait automatiquement des sauvegardes vers des serveurs situés aux États-Unis — une clause enfouie à la page 34 des conditions générales. Résultat : un transfert de données vers un pays tiers sans mécanisme de protection adéquat au sens de la nLPD.

Les trois angles morts à corriger en priorité

• Aucun registre des traitements à jour.

  La nLPD exige que les organisations d’une certaine taille tiennent un registre des activités de traitement — incluant la localisation des données et les sous-traitants impliqués. Dans la réalité des PME que nous accompagnons, ce registre est absent dans la majorité des cas, ou daté de plusieurs années. C’est le premier document demandé lors d’un contrôle.

• Des contrats cloud signés sans clause de localisation.

  La plupart des contrats SaaS grand public ne garantissent pas la localisation des données en Suisse par défaut. Il faut l’exiger explicitement — souvent via un avenant, une Data Processing Agreement (DPA) spécifique, ou en optant pour une offre “Swiss hosted” quand elle existe. Sans cette clause, votre fournisseur peut déplacer vos données librement.

• Confusion entre conformité RGPD et conformité nLPD.

  Vos fournisseurs européens sont conformes RGPD — ils vous le rappellent à chaque opportunité. Mais la conformité RGPD ne garantit pas la conformité nLPD. Ce sont deux régimes distincts, avec des obligations distinctes. Faire confiance au badge “RGPD compliant” de votre fournisseur ne vous protège pas en droit suisse.

L’approche Computis : cartographier avant de migrer

La souveraineté des données ne se règle pas en changeant de fournisseur cloud du jour au lendemain. Elle se construit avec une cartographie précise de l’existant, une analyse contractuelle rigoureuse, et un plan de mise en conformité réaliste — calibré à la taille et aux moyens de votre structure.

Chez Computis, notre approche commence par un audit préliminaire de vos flux de données : identification de tous les outils SaaS et services cloud en usage, localisation effective des données, analyse des contrats et des DPA existants, évaluation des risques nLPD par catégorie de données. Nous produisons ensuite une cartographie documentée et des recommandations priorisées — migration vers des offres Swiss hosted quand c’est justifié, mise en place de garanties contractuelles quand la migration n’est pas nécessaire, registre des traitements conforme nLPD.

L’objectif n’est pas de vous faire migrer vers le cloud suisse à tout prix. C’est de vous donner une vision claire de votre exposition réelle — et de vous permettre de prendre des décisions éclairées.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La souveraineté des données n’est pas un argument marketing réservé aux grandes entreprises. C’est une obligation légale qui s’applique à votre PME, à votre commune, à votre institution — dès lors que vous traitez des données personnelles. Et dans neuf cas sur dix, l’exposition commence non pas par une cyberattaque, mais par un contrat signé sans lire la clause sur la localisation des données.

FAQ

Notre fournisseur est certifié ISO 27001 et conforme RGPD — sommes-nous couverts côté nLPD ?

Pas automatiquement. La certification ISO 27001 couvre la sécurité de l’information, pas la conformité au droit suisse. La conformité RGPD ne vaut que dans l’espace juridique européen. Pour être conforme nLPD, vous devez vérifier indépendamment que les obligations spécifiques à la loi suisse sont respectées — notamment sur les transferts vers des pays tiers et les droits des personnes concernées.

Faut-il absolument migrer vers un hébergeur suisse pour être conforme nLPD ?

Non. La nLPD autorise les transferts de données vers des pays tiers sous certaines conditions — notamment si le pays offre un niveau de protection adéquat reconnu par le Conseil fédéral, ou si des garanties contractuelles appropriées sont en place (clauses contractuelles types, règles d’entreprise contraignantes). La migration vers un hébergeur suisse est une option, pas une obligation systématique.

Le registre des traitements est-il obligatoire pour une PME de moins de 50 collaborateurs ?

La nLPD prévoit une exemption pour les entreprises de moins de 250 employés, mais uniquement si le traitement ne présente pas de risque élevé pour les personnes concernées. Dès lors que vous traitez des données sensibles — données de santé, données financières, données RH — l’exemption ne s’applique plus. Dans la pratique, la très grande majorité des PME romandes que nous accompagnons ont intérêt à tenir ce registre, ne serait-ce que pour leur propre visibilité.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer la mise en conformité nLPD à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Nous assurons l’audit, la cartographie, la rédaction des documents de conformité et le suivi dans le temps — vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne concrètement l’audit préliminaire Computis sur ce sujet ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : inventaire de vos outils SaaS et services cloud, localisation effective des données, analyse des contrats et DPA existants, évaluation de votre exposition nLPD par catégorie de données, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.

Abonnez-vous — chaque mardi, un éclairage concret sur l'IT et la cybersécurité pour les PME et institutions suisses.

Abonnez-vous maintenant

Qu’est-ce qu’un Secure Email Gateway (SEG) ? Le gardien à l’entrée

Commençons par les bases. Un SEG, c’est comme un portier à l’entrée de votre immeuble : il vérifie tous les emails entrants et sortants avant qu’ils n’atteignent votre boîte mail. Il se place au “périmètre” de votre réseau, c’est-à-dire à la frontière. Comment ça marche ? Il utilise des signatures (comme des empreintes digitales de virus connus) et des réputations (par exemple, si un site web est déjà signalé comme malveillant). Résultat : il bloque les menaces évidentes, comme les malwares ou les liens phishing basiques, avant qu’ils n’arrivent sur votre serveur.

Mais attention, les SEG ont leurs limites. Ils ne voient pas les emails internes (ceux échangés entre collègues dans la même entreprise), sauf si on configure des règles spéciales. Et face à des attaques avancées, comme les “Business Email Compromise” (BEC) – ces emails qui imitent parfaitement un collègue sans virus dedans – ils patinent. Pourquoi ? Parce que ces attaques reposent sur de la manipulation psychologique, pas sur des payloads (charges malveillantes) connues. De plus, installer un SEG demande de changer les enregistrements MX (une sorte d’adresse postale pour les emails), ce qui peut causer des interruptions.

Exemple concret : Si un hacker envoie un email sans virus, juste avec un texte convaincant pour vous faire cliquer ou transférer de l’argent, le SEG pourrait le laisser passer. Et pour le nettoyer après ? C’est manuel et long, augmentant les risques.

ICES : la sécurité intégrée dans le cloud, plus intelligente et agile

Passons maintenant à l’ICES, un terme inventé par Gartner en 2021. Pensez à l’ICES comme un détective high-tech qui vit directement dans votre environnement cloud, comme Microsoft 365. Au lieu de bloquer à l’entrée, il analyse les emails une fois qu’ils sont arrivés, via des API (des connexions simples et rapides).

Ce qui rend l’ICES génial ? Il utilise l’IA, l’apprentissage automatique, le traitement du langage naturel (NLP) et l’analyse comportementale. Ça veut dire qu’il repère les anomalies : un email qui n’a pas le style habituel de votre patron, ou une demande bizarre dans une conversation. Il protège contre les attaques sans payload, comme les BEC, les prises de contrôle de comptes (ATO) ou même les ransomwares. Bonus : il ajoute des bannières dynamiques dans l’email pour alerter l’utilisateur en temps réel, comme un petit rappel “Attention, ça sent le phishing !”.

Déploiement ? Facile comme bonjour : pas de changement MX, juste une connexion API en quelques minutes. Et contrairement aux SEG, l’ICES surveille aussi les emails internes, empêchant les hackers de se balader latéralement dans votre réseau.

D’après des données citées dans l’article, plus de 50 % des emails phishing passent à travers les SEG ou Microsoft 365 seuls. L’ICES comble ces trous en détectant ce qui est “anormal”, pas juste “connu comme mauvais”.

Pourquoi tant d’entreprises passent des SEG aux ICES ?

Le monde change ! Microsoft a boosté sa sécurité native dans 365, ce qui rend les SEG redondants pour beaucoup. Résultat : 80 % des organisations abandonnent leur SEG pour se concentrer sur Microsoft + ICES. Pourquoi ? Moins de duplication, plus d’efficacité contre les attaques évoluées (phishing ciblé, spear phishing). Les cybercriminels utilisent maintenant l’IA pour créer des emails ultra-personnalisés, et les SEG statiques ne suivent pas.

Mais on peut mixer les deux : utiliser un SEG pour le blocage initial et un ICES pour l’analyse fine. C’est une approche “en couches” pour une défense maximale. Cependant, pour les boîtes full-cloud, l’ICES seul suffit souvent, avec des économies à la clé.

Conclusion : vers une sécurité email plus intelligente et accessible

En résumé, les SEG sont des gardiens solides mais old-school, parfaits pour les menaces connues, tandis que les ICES sont les super-héros de l’IA, idéaux pour les attaques sournoises d’aujourd’hui. Avec l’évolution des cybermenaces, miser sur l’ICES semble être le choix malin pour protéger vos données sans compliquer la vie. Chez Computis, on croit que la sécurité doit être simple et efficace – pas une usine à gaz.

FAQ : vos questions courantes sur ICES vs SEG

• Quelle est la différence principale ? Un SEG bloque les menaces connues à l’entrée via signatures, tandis qu’un ICES analyse en profondeur avec IA dans le cloud pour détecter les anomalies sociales.

• Les ICES remplacent-ils complètement les SEG ? Pas toujours ; beaucoup les combinent, mais pour les environnements cloud comme Microsoft 365, l’ICES suffit souvent et évite les redondances.

• Est-ce compliqué à installer ? Les SEG demandent des changements techniques risqués, les ICES se connectent en minutes sans downtime.

• Protègent-ils contre les emails internes ? Les SEG non (sauf config spéciale), les ICES oui, en surveillant tout le trafic.

• Pourquoi choisir l’un ou l’autre ? Si vous gérez des archives ou du journaling, gardez un SEG. Sinon, optez pour ICES pour une protection avancée et facile.

Appel à l’action

Prêt à booster la sécurité de vos emails ? Contactez-nous chez Computis via le site web computis.ch ou via notre formulaire de contact pour un audit de votre setup email. Ou abonnez-vous à notre newsletter pour plus d’insights pédagogiques sur la cybersécurité. Partagez cet article si ça vous a aidé, et dites-nous en commentaires : utilisez-vous déjà un ICES ?

Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME vaudoises, des administrations communales et des institutions publiques romandes. Et chaque semaine, le même constat revient, têtu comme un mauvais mot de passe : la gestion des accès est le point de rupture que personne ne veut regarder en face. Pas parce que les gens sont négligents. Parce que le problème est structurellement mal posé depuis vingt ans.

En 2026, 81 % des violations de données liées au piratage impliquent un mot de passe faible, réutilisé ou volé. La technologie n'est pas en cause. Ce sont les comportements — et la façon dont on a appris aux gens à les gérer.

Le vrai problème : ce n’est pas la complexité, c’est la fatigue

Depuis vingt ans, la réponse au problème des mots de passe a été la même : rendez-les plus complexes, changez-les plus souvent, n’utilisez jamais le même deux fois. Le résultat ? Des collaborateurs qui écrivent leurs mots de passe sur un Post-it collé sous le clavier, qui ajoutent un suffixe 01, 02, 03 d’un compte à l’autre, ou qui choisissent un mot de passe “fort” une fois par an — et le réutilisent partout.

Ce n’est pas de la mauvaise volonté. C’est de la surcharge cognitive. Et les attaquants le savent parfaitement. Les techniques modernes ne cherchent plus à “craquer” par force brute — elles exploitent les bases de données issues de violations précédentes. On dénombre aujourd’hui plus de 15 milliards de combinaisons identifiants/mots de passe disponibles sur le darkweb. Si votre collaborateur utilise le même mot de passe sur LinkedIn que sur votre VPN, une fuite chez un tiers devient une intrusion chez vous.

Ce qu’on observe dans les PME et communes romandes

Dans une administration communale de taille moyenne, nous avons récemment identifié trois comptes administrateurs actifs appartenant à d’anciens collaborateurs — dont un parti depuis plus de deux ans. Les accès n’avaient jamais été révoqués. Aucun système d’alerte n’existait. Ce type de situation n’est pas une exception. C’est la norme dans les structures sans équipe IT dédiée.

Dans une PME de 35 collaborateurs, plus de 40 % des mots de passe recensés lors d’un test de compromission simulé étaient présents dans des bases de données publiques connues. La moitié des comptes concernés avaient accès à des données clients sensibles soumises à la nLPD.

Les trois pratiques à corriger en priorité

• Aucune politique de révocation des accès.Chaque départ de collaborateur doit déclencher une procédure immédiate et systématique. Pas “dès que l’IT a le temps”. Immédiate. C’est une règle d’hygiène numérique de base — et l’une des plus fréquemment ignorées dans les structures que nous accompagnons.

• L’authentification à un seul facteur sur les accès critiques.En 2026, un mot de passe seul ne protège plus les accès à votre messagerie, votre VPN, votre outil de comptabilité ou votre ERP. Le MFA n’est plus une option premium — c’est le minimum attendu par vos assureurs, vos partenaires et bientôt vos autorités de contrôle.

• Pas de gestionnaire de mots de passe déployé.Demandez à votre équipe comment elle gère ses mots de passe aujourd’hui. Si la réponse n’est pas “un gestionnaire centralisé”, vous opérez avec un risque non maîtrisé. Les solutions d’entreprise résolvent 80 % du problème comportemental à coût maîtrisé — souvent moins de 5 CHF par utilisateur et par mois.

L’approche Computis : construire une hygiène des accès durable

La sécurité des accès ne se règle pas avec une note de service et une formation d’une heure. Elle se construit avec une architecture claire, des outils adaptés à la réalité de votre structure, et un suivi dans le temps. Chez Computis, notre approche pour les PME et institutions publiques romandes fonctionne en trois temps.

D’abord, un audit préliminaire : cartographie complète des accès actifs, détection des comptes orphelins, test de compromission des identifiants, analyse des politiques en place. Ensuite, la mise en place des fondamentaux : déploiement MFA sur les accès critiques, intégration d’un gestionnaire de mots de passe adapté à votre environnement (Microsoft 365, Google Workspace, infrastructure on-premise), procédures d’onboarding et d’offboarding. Enfin, une sensibilisation ciblée : formation pratique par équipe, simulant les scénarios réels de votre secteur, en français, avec des indicateurs mesurables.

Ce que ça donne concrètement pour votre organisation :

Ce qu’il faut retenir

La gestion des mots de passe est ennuyeuse — c’est précisément pour ça que les attaquants l’adorent. Mais c’est aussi l’un des rares domaines où des mesures simples, bien déployées, produisent des résultats immédiats et mesurables. Vous n’avez pas besoin d’un budget de grande entreprise. Vous avez besoin d’un diagnostic honnête et d’un plan de 90 jours. C’est exactement ce que nous faisons.

FAQ

Nos collaborateurs utilisent déjà des mots de passe “forts” — sommes-nous protégés ?

Un mot de passe fort mais réutilisé reste vulnérable. Si ce mot de passe a été exposé dans une violation chez un service tiers — LinkedIn, une boutique en ligne, un forum — les attaquants l’ont déjà et vont l’essayer sur vos systèmes. La force d’un mot de passe ne vaut que si chaque compte en a un unique.

Le MFA, ça ne va pas ralentir et frustrer nos équipes au quotidien ?

Le MFA moderne — notifications push sur smartphone, passkeys — est transparent pour l’utilisateur dans 95 % des cas. La friction est réelle les premiers jours, puis elle disparaît. Le coût d’une intrusion est incomparablement plus élevé que quelques secondes par connexion.

La nLPD nous oblige-t-elle à avoir une politique de gestion des accès documentée ?

La nLPD exige des mesures organisationnelles et techniques appropriées pour protéger les données personnelles. Une politique d’accès documentée est considérée comme une mesure de base par le Préposé fédéral. En cas d’incident, l’absence de politique documentée aggrave significativement votre exposition.

Nous n’avons pas d’équipe IT interne — Computis peut-il gérer tout cela à notre place ?

Oui. C’est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Nous assurons le déploiement, la configuration, la formation et le suivi — vous gardez le contrôle, sans la charge opérationnelle.

Comment fonctionne concrètement l’audit préliminaire Computis ?

L’audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès, comptes orphelins identifiés, test de compromission, évaluation MFA et recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous par la suite.