Le premier obstacle n’est pas technique

Quand on demande à une direction générale ou à un gérant « qui s’occupe de la cybersécurité ici », la réponse est rarement un nom. C’est un début de phrase : « notre informaticien, mais il fait aussi autre chose », « le prestataire qui a installé le réseau », « personne, pour l’instant ». Le sujet n’est pas ignoré, il est sans propriétaire, et une charge sans propriétaire ne se planifie pas.

Cette position crée un cercle bloquant bien connu. On ne peut pas budgéter une action dont on ne connaît pas l’ampleur ; on ne connaît pas l’ampleur parce qu’on n’a jamais fait l’inventaire ; et on ne fait pas l’inventaire parce que ça demande du temps que personne n’est censé prendre.

La sortie est toujours la même : commencer par ce qui ne demande pas de compétence technique, à savoir répondre à des questions précises sur ce que vous avez déjà.

Ce qu’il faut écrire noir sur blanc avant de dépenser un franc

Trois inventaires suffisent à débloquer la discussion, et ils se font avec ce que l’entreprise possède déjà :

  • Ce qui doit continuer à fonctionner. La caisse, le fichier client, l’outil de facturation, la liaison bancaire, le parc de caméras. Une page, dans l’ordre d’importance réelle, pas théorique.
  • Ce qui est accessible depuis l’extérieur. Un bureau à distance ouvert, une boîte mail générique utilisée par quatre personnes, un partage client consultable depuis un téléphone, un site vitrine avec une zone d’administration. C’est presque toujours par là qu’entre un problème.
  • Ce qui contient des données sur d’autres personnes que soi. Pièces d’identité, coordonnées, historique de commandes, photographies de salariés. Cet inventaire-là détermine des obligations, pas seulement des préférences.

Ces trois listes transforment un sujet flou en une conversation avec des lignes, des priorités et des coûts. C’est exactement ce que cherche un prestataire sérieux pour dimensionner une intervention — et ce que refuse un vendeur qui commence par parler d’un produit.

Une qualification, puis des choix compréhensibles

L’assistant cyber part de la situation observée : problème encore actif, étendue, impact, environnement concerné, données sensibles et risque financier. Il fournit une qualification probable, les premiers gestes prudents et les actions à éviter. Le diagnostic reste public ; un compte et un consentement explicite ne sont demandés que pour enregistrer le dossier et transmettre son résumé à un expert.

L’intérêt n’est pas une note abstraite, mais un ordre d’action compréhensible. Avec des faits résumés et datés, on peut demander explicitement à un intervenant ce qu’il prendra en charge et vérifier ensuite ce qui a été fait. L’assistant peut aussi ouvrir l’annuaire avec des filtres pertinents ; la visibilité payante d’une société ne modifie pas cette orientation.

Deux pièges classiques à ce stade :

  • Vouloir tout traiter. Le premier plan de travail tient souvent en trois actions sur un trimestre, pas en dix-sept.
  • Confondre prévention et capacité de réponse. Installer un outil n’apprend pas à quelqu’un quoi faire le jour où l’écran de chiffrement apparaît. Les deux sont nécessaires, et l’un ne remplace pas l’autre.

Comment choisir l’intervenant, une fois la priorité posée

L’annuaire n’a de sens qu’avec une question précise à poser. Une fois la priorité identifiée, on filtre par spécialité et par ville, on lit les fiches, et on vérifie ce qui est réellement documenté : immatriculation, zone d’intervention, mode d’intervention sur site ou à distance, spécialités revendiquées, données hébergées où. Ce que la plateforme contient, et surtout ce qu’elle ne contient pas, est détaillé dans Comment lire une fiche société.

Le point le plus utile, en pratique : une priorité écrite se refuse mieux. Face à une proposition qui ajoute un produit non demandé, la réponse devient « ce n’est pas ma ligne 1 », au lieu d’un consensus flou.

À retenir

  • Un sujet sans propriétaire ne se résout pas par un outil, mais par une liste.
  • Trois inventaires suffisent pour débloquer un budget : ce qui doit tourner, ce qui est exposé, ce qui contient des données sur autrui.
  • Le classement des priorités est la vraie valeur du diagnostic — c’est lui qui permet d’arbitrer.
  • Un questionnaire terminé reste dans votre compte, et se rejoue quand la situation change.