Cybersécurité & Cyberdéfense pour les PME suisses

Pourquoi les PME suisses sont-elles des cibles pour les cybercriminels ?

Les PME suisses sont visées parce qu'elles sont nombreuses, plus de 99 % des entreprises du pays, moins protégées que les grandes organisations, et reliées à elles : une PME compromise sert de porte d'entrée vers ses clients et ses fournisseurs. Les attaques sont automatisées : elles ne choisissent pas une cible, elles trouvent une faille.

La cybersécurité est un enjeu stratégique pour toutes les entreprises, mais les PME suisses sont particulièrement exposées. Elles représentent plus de 99 % du tissu économique national, ce qui en fait une cible privilégiée pour les cybercriminels.

Contrairement aux grandes organisations, elles disposent souvent de ressources limitées, de processus moins formalisés et d'une maturité numérique variable. Résultat : une cyberattaque peut provoquer des dommages considérables, de l'interruption d'activité à la perte définitive de données critiques, voire, dans les cas les plus graves, au dépôt de bilan.

Les attaques sont plus automatisées, plus rapides, plus sophistiquées. Les attaquants exploitent les failles humaines, techniques et organisationnelles, et ciblent les PME pour leur vulnérabilité comme pour leur rôle dans des chaînes d'approvisionnement plus larges : une PME compromise peut devenir la porte d'entrée vers un grand groupe.

Cette page pilier ouvre la voie vers de nombreux articles. Elle couvre les menaces, les obligations légales, les mesures techniques et organisationnelles, la cyberdéfense et les options d'externalisation, en s'appuyant sur l'ensemble des articles cybersécurité publiés sur NewTechConsult.ch.

Quelles sont les principales menaces cyber pour une PME ?

Cinq menaces font l'essentiel des incidents : l'hameçonnage, qui vole des identifiants ou détourne des paiements ; le rançongiciel, qui chiffre les données et fait chanter ; les accès distants mal protégés ; les logiciels non mis à jour ; les erreurs et les départs internes.

Le phishing

Le phishing reste la première cause d'incident. Les attaquants imitent fournisseurs, banques, services publics ou collègues, et exploitent la confiance, la distraction, le sentiment d'urgence et de nombreux biais cognitifs. Objectifs courants : voler des identifiants, installer un malware, détourner des paiements.

• spear-phishing ciblé
• smishing (SMS)
• vishing (appels téléphoniques)
• faux messages internes (fraude au président / CEO fraud)

Les ransomwares

Les rançongiciels chiffrent les données et paralysent l'entreprise. Les PME sont particulièrement vulnérables car leurs sauvegardes sont souvent mal protégées ou jamais testées. Les attaques modernes combinent chiffrement, vol de données et chantage à la divulgation.

Les attaques sur les accès distants

Avec le télétravail, les accès distants sont devenus critiques. Risques fréquents :

• VPN mal configurés
• absence de MFA (authentification multifacteur)
• ports ouverts
• mots de passe faibles

Les vulnérabilités logicielles

Les systèmes non mis à jour sont une porte d'entrée majeure : les cybercriminels exploitent des failles connues, parfois publiées depuis des années.

Les risques internes

Les erreurs humaines, la négligence ou les départs d'employés représentent un risque réel : partage de mots de passe, stockage de données sensibles sur des supports non sécurisés, absence de procédure d'offboarding.

Que devrait avoir au minimum une PME pour se protéger ?

Des sauvegardes hors ligne et testées, l'authentification à deux facteurs sur tous les accès distants, des mises à jour appliquées sans délai, une procédure écrite en cas d'incident et une formation régulière des collaborateurs. C'est le strict minimum, et la plupart des PME ne cochent pas toutes les cases.

La majorité des PME, surtout les plus petites ou celles qui débutent, sont peu préparées : sauvegardes mal adaptées et rarement testées, plan de continuité absent, pas de procédure de gestion de crise, peu ou pas de formation cyber régulière.

Question de budget ?

Plutôt d'ignorance, quand on connaît le coût réel d'une cyberattaque réussie.