Sécurité des données dans Crésus, Bexio et Abacus : ce que l'employeur doit vérifier

Des données parmi les plus sensibles de l'entreprise, dans des outils rarement audités

Les fiches de salaire, les numéros AVS, les données bancaires des fournisseurs, les soldes de TVA et les bilans intermédiaires transitent chaque jour dans Crésus, Bexio ou Abacus. Ces logiciels concentrent exactement les catégories de données que la nLPD (loi fédérale sur la protection des données révisée) qualifie de particulièrement sensibles ou à haut risque pour les personnes concernées. Pourtant, la plupart des PME romandes n'ont jamais fait auditer leur configuration depuis l'installation initiale.

Le problème n'est pas théorique : un accès administrateur partagé entre trois collaborateurs, un export CSV automatique vers un partage réseau non chiffré, ou une instance Bexio dont les droits d'accès n'ont pas été revus depuis le départ d'un fiduciaire externe — chacun de ces cas constitue une violation potentielle au sens de l'art. 8 nLPD et expose l'organe responsable à des sanctions pénales directes pouvant atteindre CHF 250 000.

Cadre légal applicable : nLPD, responsabilité de l'employeur et obligations de sécurité

Qui est responsable du traitement ?

Sous la nLPD en vigueur depuis le 01.09.2023, l'employeur qui exploite un logiciel de gestion est le responsable du traitement (art. 5 let. j nLPD). Il détermine les finalités et les moyens du traitement, qu'il utilise une solution hébergée en cloud (Bexio SaaS, Abacus AbaClouds) ou un logiciel installé sur ses propres serveurs (Crésus en mode local). Le prestataire SaaS est un sous-traitant au sens de l'art. 9 nLPD : un contrat de traitement de données conforme doit exister et être signé.

Données concernées et niveau de risque

Dans un logiciel comptable ou RH, on trouve typiquement :

• Numéros AVS (NAS) — données d'identification officielles, traitement réglementé (art. 57s LAVS)
• Données salariales et de performance — données personnelles ordinaires mais à fort impact en cas de fuite
• Données bancaires des collaborateurs et fournisseurs — risque de fraude directe
• Données de santé si les absences maladie ou les certificats médicaux sont enregistrés dans le module RH — catégorie sensible au sens de l'art. 5 let. c nLPD
• Données fiscales (certificats de salaire, déclarations TVA) — confidentialité légale

Obligation de sécurité technique et organisationnelle

L'ordonnance sur la protection des données (OPDo) impose, à son art. 1, des mesures techniques et organisationnelles proportionnées au risque : pseudonymisation, chiffrement, journalisation des accès, gestion des droits, tests réguliers. Ces exigences s'appliquent à la configuration du logiciel, pas seulement à l'infrastructure réseau.

Architecture et vecteurs d'attaque spécifiques à chaque logiciel

Crésus (mode local ou réseau)

Crésus est majoritairement déployé en mode fichier local ou sur un partage réseau SMB. Les risques structurels :

• Les fichiers .crx ou .cre ne sont pas chiffrés nativement ; un accès au partage réseau suffit pour les copier.
• Le mot de passe administrateur Crésus est souvent identique entre toutes les entreprises gérées par un fiduciaire externe — rotation inexistante.
• L'accès via Remote Desktop (RDP, TCP 3389) est fréquent dans les petites fiduciaires ; sans MFA, c'est une surface d'attaque directe.
• Les sauvegardes automatiques sur un lecteur réseau partagé sans versioning ni test de restauration : en cas de ransomware, tout le historique comptable peut être chiffré.

Bexio (SaaS cloud)

Bexio est hébergé en Suisse (Zurich) et certifié ISO 27001. L'infrastructure côté fournisseur est correcte — le problème est presque toujours côté client :

• Comptes utilisateurs d'anciens collaborateurs ou de mandataires externes non désactivés.
• Rôle « Administrateur » attribué par défaut lors de l'invitation d'un fiduciaire, sans jamais être révisé.
• Absence de MFA activé sur les comptes (Bexio supporte le TOTP depuis 2022, mais l'activation n'est pas forcée par défaut pour les comptes existants).
• Exports PDF ou Excel de listes de salaires envoyés par e-mail non chiffré — la violation ne vient pas du logiciel mais du workflow autour.

Abacus (AbaClouds ou on-premise)

Abacus est la solution la plus complexe, souvent déployée dans des PME de 30 à 250 collaborateurs avec des modules RH, comptabilité, gestion de projet et CRM interconnectés. Les risques spécifiques :

• La gestion des rôles (Abacus Role Manager) est granulaire mais rarement configurée au-delà des rôles standards livrés d'usine.
• En mode on-premise, l'instance AbaNinja/AbaClouds nécessite l'ouverture du port TCP 443 vers les serveurs Abacus — à vérifier que le certificat TLS est valide et que le tunnel n'est pas intercepté par un proxy d'entreprise mal configuré.
• Le module AbaSalary stocke les données AVS et bancaires : les logs d'accès doivent être activés explicitement dans les paramètres système (menu Administration > Journalisation) et ne le sont pas dans la configuration par défaut.
• Les interfaces API vers des tiers (ERP, banque e-banking) utilisent des tokens persistants — aucune rotation automatique n'est prévue nativement.

Ce que l'employeur doit auditer : cinq points de contrôle

1. Gestion des identités et des droits d'accès

Appliquer le principe du moindre privilège : chaque utilisateur n'accède qu'aux modules et aux mandants dont il a besoin. Concrètement :

• Lister tous les comptes actifs et les comparer à l'annuaire RH (AD, Entra ID) — tout écart est un compte orphelin à désactiver immédiatement.
• Pour Bexio et Abacus cloud : vérifier la liste des accès API (tokens OAuth, clés API) et révoquer ceux non utilisés depuis 90 jours.
• Imposer le MFA (TOTP ou FIDO2) pour tous les accès administrateurs et les accès distants.

2. Chiffrement des données au repos et en transit

Pour Crésus en mode local : le dossier de stockage des fichiers comptables doit résider sur un volume chiffré (BitLocker sous Windows 11, ou FileVault si le serveur tourne sous macOS). Le partage SMB doit utiliser SMB 3.x avec chiffrement activé (commande PowerShell : Set-SmbServerConfiguration -EncryptData $true). Pour les sauvegardes, utiliser un agent de sauvegarde qui chiffre les données avant transfert vers le stockage distant.

3. Journalisation et détection

Sans journaux, une violation est indétectable. Vérifier que :

• Abacus : journalisation activée pour les modules Salaires et Comptabilité (au minimum : connexions, exports, modifications de données maîtres).
• Bexio : les logs d'activité disponibles dans le tableau de bord administrateur sont exportés et conservés au minimum 12 mois (recommandation NCSC pour les PME).
• Crésus : les logs de connexion RDP ou VPN vers le serveur de fichiers sont collectés dans un SIEM ou au minimum dans un fichier de log centralisé.

4. Gestion des sous-traitants et contrats de traitement

Le fiduciaire externe qui accède à Bexio ou Abacus est un sous-traitant. Un contrat de traitement de données (Data Processing Agreement, DPA) conforme à l'art. 9 nLPD doit être conclu, précisant : finalité, catégories de données traitées, mesures de sécurité, durée de conservation, procédure en cas de violation. Sans ce contrat, la responsabilité reste intégralement chez l'employeur.

5. Plan de réponse à incident et notification PFPDT

En cas de violation de données (accès non autorisé, ransomware chiffrant les fichiers comptables, export accidentel de fiches de salaire), la nLPD impose de notifier le Préposé fédéral à la protection des données (PFPDT) dans les meilleurs délais lorsque la violation est susceptible d'entraîner un risque élevé pour les personnes concernées. Il n'existe pas de délai fixe de 72h en droit suisse (contrairement au RGPD), mais l'absence de notification peut être retenue comme circonstance aggravante.

Procédure minimale à documenter à l'avance :

1. Détection (DSI/sysadmin) : identifier la portée de la violation, horodater, isoler les systèmes si nécessaire.
2. Évaluation du risque (RSSI + juriste) : catégories de données exposées, nombre de personnes concernées, probabilité d'utilisation malveillante.
3. Décision de notification (organe responsable — direction) : si risque élevé, notification au PFPDT via le formulaire en ligne disponible sur edoeb.admin.ch.
4. Notification aux personnes concernées si le risque est élevé pour elles individuellement (art. 24 al. 4 nLPD).
5. Signalement NCSC (recommandé, non obligatoire pour les PME non-FINMA) via le portail de signalement du NCSC.
6. Documentation interne : constituer un dossier d'incident conforme à l'art. 24 nLPD (obligation de tenir un registre des violations).

Cas pratique : fiduciaire vaudoise de 35 collaborateurs, parc de 40 postes

Contexte : Fiduciaire basée à Morges, 35 collaborateurs, gérant environ 180 mandats clients sur Crésus Comptabilité et Crésus Salaires. Les fichiers sont stockés sur un serveur Windows Server 2019 accessible via RDP depuis les postes des collaborateurs et depuis les bureaux de certains clients en accès direct. Aucun audit sécurité réalisé depuis la migration en 2020.

Audit initial (8 heures de travail, réalisé par le DSI interne) :

1. Inventaire des comptes : 12 comptes RDP actifs pour des collaborateurs ayant quitté l'entreprise entre 2020 et 2023. Trois comptes clients avec accès administrateur local au serveur.
2. Chiffrement : les 4 To de fichiers Crésus stockés sur un RAID local ne sont pas chiffrés. Le partage SMB utilise SMB 2 (Windows Server 2019 supporte SMB 3.1.1 — désactivation de SMB 1 et 2 nécessaire).
3. Sauvegardes : backup quotidien vers un NAS dans la même salle serveur, aucune copie hors site. En cas d'incendie ou de ransomware se propageant via le réseau local, perte totale.
4. MFA : absent sur RDP. Le port TCP 3389 est exposé directement sur l'IP publique sans VPN intermédiaire.
5. Journalisation : logs Windows Event Log activés mais non centralisés, écrasés après 30 jours.

Mesures correctives et coûts :

• Désactivation des 12 comptes orphelins + révision des droits clients : 2 heures, CHF 0 de coût direct.
• Activation BitLocker sur le volume de données + migration vers SMB 3.1.1 : 4 heures, CHF 0 de licence supplémentaire (inclus dans Windows Server 2019).
• Déploiement d'un VPN (WireGuard sur pfSense) pour remplacer l'exposition RDP directe + activation du NLA (Network Level Authentication) + MFA via Duo Security : environ CHF 1 200 de configuration initiale + CHF 60/mois pour 15 utilisateurs distants.
• Backup hors site chiffré vers un fournisseur cloud suisse : CHF 150/mois pour 8 To compressés.
• Centralisation des logs vers un service SIEM léger (retention 12 mois) : CHF 80/mois.
• Total annuel de mise en conformité technique : environ CHF 4 700 — à comparer à une amende potentielle de CHF 250 000 ou au coût moyen d'une récupération post-ransomware estimé entre CHF 15 000 et CHF 80 000 pour une structure de cette taille.

La fiduciaire a également conclu des DPA avec ses 12 clients disposant d'un accès direct à leurs dossiers Crésus, et mis à jour son registre des activités de traitement pour refléter les nouvelles mesures — deux obligations nLPD qui n'existaient pas dans leur documentation avant l'audit.

Récapitulatif opérationnel

1. Inventorier tous les comptes utilisateurs dans Crésus, Bexio et Abacus — supprimer ou désactiver tout compte d'ex-collaborateur ou de mandataire externe non actif.
2. Activer le MFA sur tous les accès cloud (Bexio, AbaClouds) et sur tout accès distant (VPN, RDP) aux instances locales.
3. Chiffrer les données au repos : BitLocker/FileVault pour les serveurs locaux Crésus, vérifier les paramètres de chiffrement des exports et sauvegardes.
4. Activer la journalisation des accès et des exports dans Abacus (Administration > Journalisation) et exporter les logs Bexio mensuellement — conserver 12 mois minimum.
5. Signer un DPA conforme à l'art. 9 nLPD avec chaque fiduciaire, partenaire ou prestataire IT ayant accès aux logiciels.
6. Vérifier les tokens API actifs dans Bexio et Abacus — révoquer ceux non utilisés depuis 90 jours, documenter les actifs dans le registre des traitements.
7. Tester la restauration des sauvegardes au moins trimestriellement — une sauvegarde non testée est une sauvegarde inexistante.
8. Documenter un plan de réponse à incident avec les étapes de notification PFPDT et NCSC, et les rôles assignés (DSI, RSSI, direction, juriste).
9. Mettre à jour le registre des activités de traitement (art. 12 nLPD) pour refléter les modules RH et comptabilité, les sous-traitants cloud et les transferts éventuels hors de Suisse.
10. Planifier un audit annuel de la configuration des logiciels de gestion, en particulier après chaque mise à jour majeure ou changement d'équipe comptable/RH.

Les équipes de SynGuard accompagnent les PME romandes dans l'audit de configuration de leurs endpoints et applications métier dans le cadre de démarches de conformité nLPD.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — texte consolidé en vigueur depuis le 01.09.2023.
• Ordonnance sur la protection des données (OPDo) — fedlex.admin.ch — mesures techniques et organisationnelles, art. 1 à 6.
• PFPDT — Obligations de notification en cas de violation de données — procédure officielle de signalement au Préposé fédéral.
• NCSC — Portail de signalement des cyberincidents — signalement volontaire pour les entreprises non soumises à obligation légale de notification au NCSC.
• CIS Benchmarks — Center for Internet Security — référentiels de durcissement pour Windows Server, utilisables comme base d'audit pour les serveurs hébergeant Crésus.