Cyberrisques: Les bonnes pratiques pour protéger les PME
Prof. Dr. Thomas Rautenstrauch
Thomas Rautenstrauch est professeur pour la formation en économie d’entreprise et plus particulièrement en accounting et controlling. Il est d’ailleurs directeur du Center for Accounting & Controlling de la Haute école d’économie de Zürich. De plus, il enseigne, en qualité de professeur invité, le management accounting en Executive MBA au sein de l’Institute for Management in Technology (iimt) de l’Université de Fribourg. Thomas Rautenstrauch est l’auteur de plusieurs ouvrages spécialisés et de nombreux articles pour des revues et pour la presse économique.
Aides de travail appropriées
EN BREF
Les PME sont aujourd’hui des cibles privilégiées des cyberattaques, notamment lorsqu’elles manipulent des données financières sensibles. Une stratégie de cybersécurité repose sur des mesures organisationnelles, techniques et humaines permettant de réduire les risques et de renforcer la continuité des activités.
À retenir:
→ Les cyberrisques concernent toutes les PME.
→ Les données financières figurent parmi les cibles les plus sensibles.
→ La sensibilisation des collaborateurs est essentielle.
→ Des mesures techniques et organisationnelles doivent être combinées.
→ Une approche préventive limite les impacts financiers et opérationnels.
Introduction
Les cyberrisques ne concernent plus uniquement les grandes entreprises. Les petites et moyennes entreprises (PME) sont elles aussi de plus en plus visées. Une étude récente réalisée par l'institut d'études YouGov montre qu'environ 4 % des PME et des prestataires de services informatiques ont été victimes d'une cyberattaque au cours des trois dernières années. Extrapolé à l'ensemble de la Suisse, cela représenterait près de 24 000 entreprises touchées.
Ces dernières années, plusieurs cyberattaques ayant visé des organisations suisses ont fait la une de l'actualité.
Ainsi, lors du Forum économique mondial (WEF), en janvier 2025, plusieurs sites internet suisses, notamment ceux de la Ville de Lucerne et de la Banque Cantonale Vaudoise (BCV), ont subi des attaques par déni de service distribué (DDoS). Le groupe de hackers prorusse « NoName057(16) » a revendiqué ces attaques, qui semblent avoir été liées à la tenue du WEF.
En mars 2023, les groupes de presse suisses CH Media et la Neue Zürcher Zeitung (NZZ) ont également été la cible d'une cyberattaque. Le groupe de pirates « Play » s'est introduit dans leurs systèmes informatiques, a dérobé des données confidentielles et chiffré de nombreux fichiers. Bien que la parution des journaux ait pu être maintenue, les systèmes internes sont restés partiellement perturbés durant plusieurs semaines. Aucune rançon n'ayant été versée, les attaquants ont ensuite publié sur le darknet des informations sensibles concernant des collaborateurs et des clients.
Ces exemples illustrent que les cyberattaques ne constituent pas uniquement un problème informatique : elles représentent un risque majeur, voire existentiel, pour les entreprises.
Le présent article propose un panorama de la cybersécurité dans le secteur financier, présente les principales menaces et formule des recommandations concrètes permettant de réduire les cyberrisques.
Cyberrisques et paysage des menaces dans le secteur financier
Définition des cyberrisques
Les cyberrisques englobent l'ensemble des menaces liées à l'utilisation des technologies de l'information susceptibles de porter atteinte à la disponibilité, à l'intégrité ou à la confidentialité des données. Dans le secteur financier, ils se présentent notamment sous les formes suivantes :
- Hameçonnage (phishing) et ingénierie sociale : des cybercriminels cherchent à tromper les collaborateurs afin d'obtenir des informations confidentielles ou des données d'accès.
- Ransomware (rançongiciel) : un logiciel malveillant chiffre les données de l'entreprise et exige le paiement d'une rançon en échange de leur déchiffrement.
- Menaces internes : des collaborateurs ou des partenaires commerciaux exploitent abusivement des informations internes à des fins d'enrichissement personnel ou d'autres activités frauduleuses.
- Manipulation de données : des données financières sont falsifiées afin de dissimuler une fraude ou d'autres activités illicites.
- Fraude au président (CEO Fraud) : des escrocs usurpent l'identité d'un dirigeant afin de faire exécuter des ordres de paiement frauduleux.
Conséquences des cyberrisques pour les PME
Au-delà des pertes financières directes résultant de la fraude, les cyberattaques peuvent avoir des répercussions économiques importantes.
- Atteinte à la réputation
Une cyberattaque peut gravement ébranler la confiance des investisseurs, des clients et des partenaires commerciaux.
Une fuite de données rendue publique ou une attaque par rançongiciel peut notamment entraîner :
- une perte de clientèle, les consommateurs accordant une importance croissante à la protection de leurs données personnelles ;
- la perte de partenaires commerciaux, qui peuvent considérer l'entreprise comme insuffisamment fiable, en particulier lorsque des données sensibles sont compromises ou que des processus métier sont interrompus ;
- des difficultés d'accès au financement, les banques et les investisseurs étant susceptibles d'évaluer le risque de manière plus restrictive.
- Sanctions réglementaires et conséquences juridiques
En Suisse comme dans l'Union européenne, les entreprises sont soumises à des exigences strictes en matière de protection des données, notamment en vertu de la loi fédérale sur la protection des données (LPD) et du Règlement général sur la protection des données (RGPD).
Le non-respect de ces dispositions peut entraîner :
- des amendes importantes. Le RGPD prévoit des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En Suisse, la LPD prévoit également des sanctions pénales en cas de violation de certaines obligations ;
- des actions en dommages-intérêts intentées par les personnes concernées ou par les partenaires commerciaux lorsque des données ont été compromises par négligence ;
- l'obligation de notifier les violations de la sécurité des données aux autorités compétentes lorsque la législation l'exige, ce qui accroît la charge administrative et l'exposition médiatique.
Interruptions d'activité et pertes de productivité
Les cyberattaques peuvent perturber durablement les processus métier et entraîner des conséquences économiques majeures.
- Pannes des systèmes et interruptions d'exploitation : des attaques telles que les rançongiciels ou les attaques par déni de service distribué (DDoS) peuvent paralyser les systèmes informatiques. Le traitement des commandes, les chaînes d'approvisionnement ou encore les processus de production peuvent alors être fortement perturbés, voire interrompus.
- Perte de données et coûts de restauration : la remise en état des systèmes informatiques et la récupération des données peuvent nécessiter des ressources importantes, en particulier lorsqu'aucune stratégie de sauvegarde fiable n'a été mise en place.
- Formation du personnel et renforcement de la sécurité : après une cyberattaque, les entreprises doivent souvent investir dans des mesures de cybersécurité supplémentaires ainsi que dans la sensibilisation et la formation de leurs collaborateurs afin de réduire le risque de récidive.
Hausse des primes d'assurance cyber
À la suite d'un incident de cybersécurité, il peut devenir plus difficile et plus coûteux de souscrire une cyberassurance. Les assureurs peuvent considérer l'entreprise comme présentant un risque plus élevé, ce qui peut entraîner une augmentation des primes, voire un refus de couverture.
En résumé, les cyberattaques peuvent provoquer :
- une atteinte à la réputation, compromettant la confiance des investisseurs, des clients et des partenaires commerciaux ;
- des sanctions réglementaires, notamment en vertu de la loi fédérale sur la protection des données (LPD) et du Règlement général sur la protection des données (RGPD) ;
- des interruptions d'activité résultant de pertes de données ou de défaillances des systèmes informatiques.
Les systèmes de contrôle interne (SCI), un rempart contre les cybermenaces
Objectif et rôle du SCI
Le système de contrôle interne (SCI) a pour objectif de réduire les risques et de sécuriser les processus métier. Selon Rautenstrauch et Hunziker (2023), les contrôles internes s'articulent autour de trois niveaux :
- des contrôles transversaux, applicables à l'ensemble de l'organisation, notamment sous la forme de directives, de règlements ou d'instructions ;
- des contrôles de processus, intégrés aux principaux processus métier et à leurs sous-processus ;
- des contrôles généraux informatiques (IT General Controls), indépendants des applications utilisées.
L'intégration des mesures de cybersécurité au sein du SCI est indispensable pour prévenir les fraudes financières résultant de cyberattaques. Un SCI efficace repose sur trois catégories de contrôles :
- les contrôles préventifs, destinés à empêcher les attaques et les actes de fraude ;
- les contrôles détectifs, permettant d'identifier rapidement les anomalies ou les comportements suspects ;
- les contrôles correctifs, visant à limiter les dommages et à rétablir un fonctionnement normal après un incident.
La sécurité informatique, un élément essentiel du SCI
Les référentiels modernes de contrôle interne, tels que COBIT (Control Objectives for Information and Related Technology), intègrent désormais les exigences de la sécurité informatique. Ils couvrent notamment les domaines suivants.
Gestion des identités et des accès (IAM – Identity and Access Management)
Une gestion efficace des identités et des accès garantit que seules les personnes autorisées peuvent accéder aux systèmes, aux données et aux applications critiques. Elle comprend notamment :
- Contrôle des accès basé sur les rôles (RBAC – Role-Based Access Control) : les droits d'accès sont attribués en fonction de la fonction exercée afin d'appliquer le principe du moindre privilège (Least Privilege Principle).
- Approche « Zero Trust » : chaque demande d'accès est systématiquement vérifiée, que l'utilisateur se trouve à l'intérieur ou à l'extérieur du réseau de l'entreprise.
- Désactivation automatique des comptes inactifs : cette mesure réduit les risques liés aux comptes utilisateurs abandonnés susceptibles d'être exploités par des cybercriminels.
- Gestion du cycle de vie des droits d'accès : les autorisations sont adaptées automatiquement lors d'un changement de fonction, d'un départ de l'entreprise ou de l'affectation à un projet temporaire.
Authentification multifacteur (MFA – Multi-Factor Authentication)
L'authentification multifacteur constitue un niveau de protection supplémentaire contre les usurpations d'identité. Elle est particulièrement recommandée dans les situations suivantes :
- Connexion aux systèmes financiers : les logiciels ERP et de comptabilité, tels que SAP ou Microsoft Dynamics, devraient exiger une authentification supplémentaire.
- Validation des ordres de paiement : les transactions financières, notamment celles portant sur des montants importants ou des paiements internationaux, devraient être soumises à une seconde vérification.
- Gestion des accès privilégiés (PAM – Privileged Access Management) : les comptes administrateurs et les utilisateurs bénéficiant de droits étendus doivent faire l'objet de contrôles renforcés afin de prévenir toute utilisation abusive.
Systèmes SIEM (Security Information and Event Management)
Recommandations de produits
Les plateformes SIEM assurent une surveillance centralisée et une analyse en temps réel des événements liés à la sécurité. Elles offrent notamment les fonctionnalités suivantes :
- Détection des anomalies : identification immédiate des tentatives de connexion inhabituelles ou des accès anormaux aux données.
- Alertes automatisées : notification instantanée des équipes informatiques ou des responsables de la sécurité lorsqu'un incident critique est détecté.
- Réponse automatisée aux incidents : exécution automatique de certaines mesures de protection, telles que le blocage d'adresses IP suspectes.
- Corrélation avec les renseignements sur les menaces (Threat Intelligence) : comparaison des activités observées avec des modèles d'attaque connus et des bases de données spécialisées.
Technologies de chiffrement pour protéger les données sensibles
Le chiffrement constitue une mesure essentielle pour protéger les transactions financières et les données personnelles. Les principales technologies sont les suivantes :
- Chiffrement de bout en bout (E2EE – End-to-End Encryption) : les données sont chiffrées aussi bien lors de leur transmission que pendant leur stockage afin d'empêcher toute interception.
- Chiffrement des données au repos (Data at Rest) : les données enregistrées dans les bases de données, les systèmes de fichiers ou les environnements cloud sont protégées à l'aide d'algorithmes robustes, tels qu'AES-256.
- Tokenisation : les informations sensibles, comme les numéros de cartes de paiement, sont remplacées par des jetons aléatoires qui ne présentent aucune valeur exploitable.
- Cryptographie post-quantique : anticipation des risques futurs liés à l'informatique quantique, susceptible de remettre en cause les méthodes de chiffrement actuellement utilisées.
Gestion des risques informatiques et continuité des activités
En complément des mesures de sécurité techniques, les entreprises devraient mettre en œuvre des mesures organisationnelles afin de renforcer durablement leur niveau de cybersécurité.
- Politique de cybersécurité : définir des règles claires concernant l'utilisation des systèmes informatiques, la gestion des mots de passe et la protection des données.
- Formation et sensibilisation : former régulièrement les collaborateurs à reconnaître les tentatives de phishing, les techniques d'ingénierie sociale et les bonnes pratiques en matière de sécurité informatique.
- Plans de réponse aux incidents : élaborer des procédures permettant de réagir rapidement aux cyberattaques afin de limiter leurs conséquences et d'assurer la continuité des activités.
- Stratégies de sauvegarde et de reprise après sinistre : mettre en place des sauvegardes régulières ainsi que des plans de reprise permettant de restaurer les données et les systèmes après une attaque par rançongiciel ou une panne informatique.
Stratégies de protection contre la cyberfraude financière
Mesures préventives
- Former les collaborateurs à la cybersécurité : organiser régulièrement des formations consacrées au phishing, à l'ingénierie sociale et aux bonnes pratiques de sécurité informatique.
- Segmenter les systèmes financiers : isoler les systèmes critiques afin de réduire la surface d'attaque et de limiter la propagation d'un incident.
- Appliquer une politique stricte en matière de mots de passe : imposer des mots de passe robustes, leur renouvellement régulier et, dans la mesure du possible, l'authentification multifacteur.
Mesures de détection
- Détection des anomalies dans les transactions financières : recourir à des solutions d'intelligence artificielle pour identifier les écritures inhabituelles ou les comportements suspects.
- Audits réguliers et tests d'intrusion : simuler des cyberattaques afin d'évaluer la robustesse des systèmes informatiques et d'identifier les vulnérabilités.
- Journalisation des transactions et surveillance en temps réel : assurer une traçabilité complète des opérations critiques et permettre une détection rapide des comportements anormaux.
Mesures correctives
- Plans de réponse aux incidents : définir précisément les actions à entreprendre lorsqu'une cyberattaque survient.
- Sauvegardes de sécurité : effectuer des sauvegardes régulières afin de pouvoir restaurer rapidement les données après un incident.
- Coopération avec les autorités compétentes : signaler les cas de cyberfraude et collaborer avec les autorités chargées des poursuites pénales dans le cadre des investigations.
Exigences réglementaires et conformité
Les entreprises doivent respecter un nombre croissant d'exigences légales et réglementaires en matière de cybersécurité et de protection des données. Les principaux référentiels sont les suivants :
- Loi fédérale sur la protection des données (LPD) : elle définit les exigences applicables à la protection des données personnelles et à la sécurité des traitements.
- Circulaires et exigences de la FINMA en matière de risques opérationnels et de cyberrésilience : elles imposent aux établissements financiers de mettre en place des mesures appropriées pour renforcer leur résilience face aux cybermenaces.
- ISO/IEC 27001 et le Cybersecurity Framework du NIST : ces référentiels internationaux constituent des cadres reconnus pour la mise en œuvre et la gestion d'un système de management de la sécurité de l'information.
- Directive NIS 2 de l'Union européenne : bien qu'elle ne s'applique pas directement à toutes les entreprises suisses, elle peut avoir des conséquences pour celles qui entretiennent des relations commerciales avec des partenaires établis dans l'Union européenne.
Bonnes pratiques pour intégrer la cybersécurité au sein du SCI
Afin de renforcer durablement leur système de contrôle interne, les entreprises devraient notamment :
- désigner un responsable de la sécurité de l'information (CISO – Chief Information Security Officer) chargé de définir et de piloter la stratégie de cybersécurité ;
- mettre en œuvre une approche « Zero Trust », selon laquelle aucun utilisateur, équipement ou application n'est considéré comme fiable par défaut ;
- évaluer l'opportunité de souscrire une cyberassurance afin de couvrir les conséquences financières d'une cyberattaque ;
- développer une approche collaborative de la cybersécurité, en coopérant avec les banques, les assureurs, les autorités et les autres partenaires afin de prévenir plus efficacement la cyberfraude.
Checklist pratique: Cyberrisques
Avant de considérer votre cybersécurité comme suffisamment maîtrisée, vérifiez que vous avez :
→ identifié les principaux risques cyber de votre entreprise ;
→ mis en place une authentification multifacteur lorsque cela est possible ;
→ réalisé régulièrement les mises à jour des logiciels et systèmes ;
→ défini une politique claire de gestion des mots de passe ;
→ sauvegardé les données critiques et testé leur restauration ;
→ sensibilisé les collaborateurs aux tentatives de phishing ;
→ établi une procédure de réponse en cas d'incident ;
→ attribué clairement les responsabilités en matière de cybersécurité ;
→ revu périodiquement les accès aux données sensibles.
Conclusion et perspectives
Les cyberrisques comptent aujourd'hui parmi les principaux défis auxquels sont confrontées les entreprises du secteur financier. Pour être efficace, un système de contrôle interne (SCI) moderne doit intégrer pleinement les exigences de la cybersécurité dans l'ensemble des processus de l'entreprise afin de prévenir les fraudes financières et de renforcer sa résilience.
Les PME ont donc tout intérêt à investir davantage dans la prévention, les mesures techniques et la sensibilisation de leurs collaborateurs. Une approche proactive permet non seulement de réduire les pertes financières potentielles, mais également de préserver durablement la confiance des clients, des partenaires commerciaux et des investisseurs.
FAQ: Cyberrisques
Pourquoi les PME sont-elles particulièrement visées ?
Parce qu'elles disposent souvent de ressources limitées tout en détenant des données présentant une forte valeur pour les cybercriminels.
Quelle est la première mesure à mettre en œuvre ?
Former régulièrement les collaborateurs afin qu'ils puissent reconnaître les principales menaces et adopter les bons réflexes.
Les solutions techniques suffisent-elles ?
Non. Une cybersécurité efficace combine des mesures techniques, des procédures internes et une gouvernance adaptée.
À quelle fréquence faut-il réévaluer les risques ?
Une revue régulière est recommandée, notamment après une évolution des systèmes informatiques ou des processus de l'entreprise.
Pour aller plus loin :
- Gestion des finances: Aperçu des risques financiers (W+)
- AI Act: La loi européenne sur l'intelligence artificielle
- Analyse des ratios: risques et réduction des coûts
Bibliographie et sources
Allianz Global Corporate & Specialty (AGCS), Allianz Risk Barometer 2024.
Office fédéral de la cybersécurité (OFCS) : recommandations à l'intention des entreprises.
Autorité fédérale de surveillance des marchés financiers (FINMA) : gestion des cyberrisques.
Préposé fédéral à la protection des données et à la transparence (PFPDT).
IBM, Cost of a Data Breach Report 2023.
ISO/IEC 27001:2022 – Systèmes de management de la sécurité de l'information.
Stratégie nationale de protection de la Suisse contre les cyberrisques
Rautenstrauch, T.; Hunziker, S.: Internes Kontrollsystem – Perspektiven der Internen Kontrolle, Zürich (WEKA) 2023.
Swiss Re Institute, Cyber Resilience Report 2023.
