Infrastructure informatique pour les PME suisses: 6 étapes pour rester pérenne

Toute personne en charge de projets d’infrastructure l’aura remarqué: il faut désormais justifier ses choix avec une plus grande transparence. Avant, un simple «nous avons besoin de ce nouvel outil» suffisait, mais aujourd’hui, il faut répondre à des questions spécifiques: quel outil empêchera les pannes? Quel outil prolongera la durée d’utilisation du hardware existant? Quel outil de planification peut être utilisé dans l’entreprise et comment le mesurer?

La visibilité avant l’automatisation

L’IA et l’automatisation sont la prochaine étape logique à l’ordre du jour. Mais, dans la pratique, un autre facteur est souvent capital: la base sur laquelle elles s’appuient. Les données de recherche du KOF montrent que le big data est employé nettement plus rarement dans les petites entreprises que dans les grandes. L’IA a d’ailleurs encore creusé cet écart. Où sont les données? Qui a le droit d’accéder à quoi? Quels systèmes communiquent entre eux? Les responsabilités sont-elles clairement définies?

En l’absence de ces fondamentaux, l’IA prend vite des allures d’expérience dans les opérations courantes au lieu d’être un véritable outil pour gagner en efficacité. L’objectif ici est de répondre à des questions concrètes, plutôt que de consigner de grands concepts dans des dossiers:

• Quel point doit être automatisé?
• Quel point reste-t-il encore à améliorer?
• Et comment se fait le déploiement centralisé?

L’idéal, pour commencer, n’est donc pas de mettre en place un tout nouveau système, mais de rationaliser un standard minimum établi: documentation réseau à jour, rôles et accès clairement définis, aperçu des correctifs, concept de sauvegarde testé et surveillance des principaux services.

Les échecs en matière de cybersécurité viennent rarement de la technique

D’après une étude sur la cybersécurité des PME, à peine 42% des entreprises suisses se sentent protégées bien que le nombre d’attaques ne cesse d’augmenter. Dans la majorité des cas, le problème ne vient pas d’une défaillance du pare-feu, mais d’un manque de routines.

L’authentification multifacteur (une deuxième étape de confirmation lors de la connexion) en fait partie: facile à mettre en place et efficace. Tout aussi important: des responsabilités claires, des formations régulières, une procédure simple en cas de courriels suspects ou d’appareils perdus. La sécurité ne s’améliore pas avec l’ajout d’un nouvel outil. Elle s’améliore quand les routines sont appliquées et qu’elle est pleinement ancrée dans le quotidien au travail.

L’IA modifie le profil de risque

Les outils d’IA sont entrés depuis longtemps dans de nombreux secteurs et professions. Les PME n’y échappent pas non plus. Les processus, mais aussi les risques, s’en trouvent modifiés. Le Swisscom Cybersecurity Threat Radar qualifie de menaces centrales l’utilisation non sécurisée de l’IA, les attaques de la chaîne d’approvisionnement et la souveraineté numérique. Les collaborateurs ont pu, par exemple, télécharger des données internes sur des systèmes externes sans que les décideurs ne puissent déterminer le contenu ni la destination de ces fuites.

La réponse de l’infrastructure n’est pas d’«interdire l’IA», mais de gérer correctement les identités, limiter les accès de manière ciblée, classifier les informations sensibles, donner de la visibilité à l’utilisation SaaS. Quand un site est hors ligne, un abonnement cloud ne sert à rien. Et en cas de fuite incontrôlée des données, un manuel utilisateur est tout aussi inutile.

Une panne réseau n’affecte pas uniquement les grandes entreprises

Si Internet, le WiFi ou le VPN tombe en panne sur un site, la caisse, la téléphonie, les applications cloud et l’accès à distance sont complètement bloqués. Cela concerne aussi bien les entreprises employant vingt personnes que les grosses entreprises. La façon dont Coop Pronto utilise SD-WAN, la fibre optique et une connexion 5G pour la disponibilité du site montre la direction à suivre, même si cet exemple ne peut pas être repris à l’identique pour une PME.

Les questions fondamentales que chaque entreprise doit se poser sont: existe-t-il une deuxième ligne ou un repli 5G? Les principaux composants du réseau sont-ils consignés? Qui est prévenu si un site se retrouve hors ligne? La disponibilité ne résulte pas de pieuses prières, elle se planifie.

Régler les accès avant l’apparition des problèmes

Le travail hybride est la norme. Les collaborateur·rice·s ont besoin d’un accès simplifié aux outils, aux appareils et aux données, mais avec des rôles clairement définis, des normes de fabrication et un protocole de départ (offboarding) réglementé. Un·e employé·e devrait perdre tous ses droits d’accès le jour même de son départ de la société. Le moniteur B2B de Carpathia décrit un principe similaire pour les canaux numériques: les processus standards doivent fonctionner simplement et rapidement, des cas plus complexes requièrent une responsabilité claire.

Zero Trust ressemble à du jargon d’entreprise. L’idée fondamentale qui se cache derrière cette notion est pourtant simple: tout accès n’est pas automatiquement digne de confiance, juste parce qu’il vient du réseau interne. Ce principe peut être appliqué sans nécessairement recourir à une architecture complexe. Des rôles clairs et une authentification multifacteur systématique suffisent.

La documentation: un avantage concurrentiel

Si tu collabores avec de grandes entreprises ou des organismes publics, tu t’en rends forcément compte: l’informatique ne doit plus seulement fonctionner, elle doit aussi être intelligible. Les Recommandations de la CA et de la KBOB pour faciliter l’accès des PME aux marchés publics montrent à quel point il est important de rédiger les appels d’offre de manière claire, compréhensible et univoque. Le portail PME de la Confédération détaille à quel point ces entreprises sont essentielles pour l’économie suisse et souligne donc également tous les risques liés à l’absence de ces fondamentaux.

La capacité à pouvoir prouver les mesures de sécurité mises en place, souligner les interdépendances entre fournisseurs et présenter un concept de sauvegarde donne une longueur d’avance dans les appels d’offre et les entretiens clients. La mise en conformité ne commence pas au moment de remplir les formulaires, mais bien avant, quand il s’agit de pouvoir hiérarchiser très clairement l’infrastructure.

Les aides concrètes

L’infrastructure idéale ne se crée pas du jour au lendemain. Il est néanmoins pertinent de suivre un ordre clair. Commencer par établir une bonne visibilité: processus en cours, personnes disposant des autorisations d’accès et points sensibles. Protéger ensuite ce qui ne doit pas tomber en panne: tester les sauvegardes, nettoyer les accès, documenter l’infrastructure réseau. L’idée est de ne pas aborder l’automatisation, l’IA et des plateformes plus complexes avant d’avoir posé ces bases. Il n’en résultera pas la disparition complète de l’insécurité liée aux marchés et aux nombreuses tendances technologiques émergentes, mais elle perdra très clairement en intensité si l’infrastructure dans l’entreprise repose sur une base solide.