Les entreprises sous-estiment encore les risques liés aux cyberattaques

Nicolas Swaton, codirigeant du Groupe Eurosud Swaton livre son analyse sur la montée en puissance des risques cyber et le retard préoccupant des PME face à ces nouvelles menaces.

Les chefs d'entreprise que vous accompagnez mesurent-ils vraiment l'exposition de leur société aux risques cyber ?

Nicolas Swaton : Honnêtement, non. Et c'est ce qui nous préoccupe au quotidien dans notre métier de courtier. Une large majorité des dirigeants de TPE et PME que nous rencontrons considèrent encore que le risque cyber est l'affaire des grandes entreprises ou des multinationales. Ils se disent : « Je suis trop petit pour intéresser des pirates ». C'est une erreur de raisonnement fondamentale. Aujourd'hui, les attaquants ne ciblent pas en fonction de la taille — ils cherchent les systèmes les moins bien protégés, et ce sont très souvent les petites structures.

Ce que nous observons, c'est aussi une confusion persistante entre la sécurité informatique qui relève de la prévention technique et l'assurance cyber, qui intervient quand l'incident a eu lieu. Les deux sont complémentaires, mais aucun des deux ne remplace l'autre. Or, beaucoup d'entrepreneurs délèguent l'ensemble du sujet à leur prestataire informatique et pensent que c'est réglé. Ce n'est pas le cas.

Comment accompagnez-vous vos clients face à ces risques ?

Nicolas Swaton : Notre rôle de courtier a considérablement évolué. Nous ne sommes plus seulement des intermédiaires qui placent des contrats. Nous devons d'abord faire un travail de pédagogie, presque de sensibilisation. Avant de parler couverture, nous aidons nos clients à identifier leur exposition réelle : quelles données ils manipulent, quels seraient les impacts d'une interruption d'activité de quarante-huit heures, quelles sont leurs dépendances numériques.

Ensuite, nous construisons avec eux une réponse adaptée. L'assurance cyber, telle qu'elle existe aujourd'hui, est un outil puissant — elle couvre les frais de remise en état des systèmes, la gestion de crise, les pertes d'exploitation, les frais juridiques, parfois les rançons. Mais pour y accéder, l'entreprise doit satisfaire des critères d'éligibilité de plus en plus exigeants. Les assureurs ont durci leurs conditions ces dernières années, notamment en exigeant des sauvegardes régulières, une authentification renforcée ou des plans de continuité d'activité. C'est aussi notre travail de les préparer à atteindre ces standards.

La nature des attaques a-t-elle changé ces dernières années ?

Nicolas Swaton : Absolument. Le paysage des menaces s'est profondément transformé. Il y a encore quelques années, on parlait essentiellement de virus ou de tentatives de phishing assez grossières. Aujourd'hui, les attaques par rançongiciels sont devenues industrielles. Des groupes organisés vendent des kits d'attaque clés en main sur des marchés clandestins. Mais ce qui m'inquiète davantage pour nos clients PME, c'est la montée des attaques indirectes.

Un artisan ou un sous-traitant peut devenir la porte d'entrée d'une attaque visant une entreprise plus grande à laquelle il est connecté numériquement. On a vu ce type de scénario se multiplier. Il y a aussi les pannes provoquées par des défaillances de prestataires numériques sur lesquels de nombreuses entreprises se sont rendues dépendantes, parfois sans même en avoir conscience. La question n'est plus de savoir si une attaque va survenir, mais d'être prêt à y répondre.

Pourquoi les PME marseillaises et régionales restent-elles particulièrement exposées ?

Nicolas Swaton : Il y a plusieurs facteurs. D'abord, la trésorerie : une PME dont l'activité est brutalement interrompue peut se retrouver en grande difficulté en quelques jours. Les grandes entreprises ont des réserves, des équipes dédiées, des plans de continuité rodés. Pour une PME de quinze salariés, une semaine sans système informatique opérationnel peut être catastrophique.

Ensuite, il y a un problème de sensibilisation. Les courtiers eux-mêmes n'ont pas toujours bien intégré ce risque dans leur approche conseil. Chez Eurosud Swaton, nous avons fait le choix depuis plusieurs années d'en faire un axe fort de notre accompagnement, parce que nous sommes convaincus que c'est aujourd'hui un risque majeur, au même titre que l'incendie ou la responsabilité civile.

Il y a enfin une forme de fausse sécurité liée au fait que les grands incidents médiatisés touchent souvent des entreprises connues ou des collectivités. On a moins entendu parler des artisans, des cabinets médicaux ou des PME industrielles de la région qui ont été frappés. Et pourtant, ils existent.

Quel message adresseriez-vous aux dirigeants qui hésitent encore à se couvrir ?

Nicolas Swaton : Je leur dirais ce que je dis à tous nos clients : le problème de votre entreprise devient notre problème. C'est la philosophie que nous avons toujours défendue chez Eurosud Swaton depuis plus de cent ans. Et aujourd'hui, ce problème peut s'appeler cyberattaque.

Concrètement, je les invite à commencer par un audit simple : faire le point sur leurs données sensibles, leurs dépendances numériques, leurs procédures de sauvegarde. Cela ne demande pas des semaines ni des investissements colossaux. Et sur cette base, un courtier compétent peut construire une couverture adaptée, à un coût bien inférieur à ce que coûterait une crise non couverte.

Se couvrir, c'est aussi envoyer un signal à ses partenaires, à ses clients, à ses fournisseurs : on prend au sérieux la protection des données qui leur appartiennent. Dans un monde où la confiance numérique devient un avantage concurrentiel, c'est loin d'être anodin.