Cyberattaques, intelligence artificielle, informatique quantique, dépendances technologiques et nouvelles exigences réglementaires : la cybersécurité évolue rapidement et ne peut plus se limiter à la protection des systèmes d’information. Lors d’une rencontre du Groupe Stratégie DSI de l’ADIRA, Franz Regul a partagé une vision pragmatique des risques émergents et des leviers permettant aux organisations de renforcer leur sécurité et leur résilience.
La cybersécurité, un enjeu qui dépasse largement la DSI
Longtemps centrée sur la protection des réseaux et le filtrage des accès, la cybersécurité couvre aujourd’hui un périmètre beaucoup plus vaste : services numériques, cloud, objets connectés, systèmes industriels, réglementation, risques liés aux utilisateurs et dépendances vis-à-vis des fournisseurs.
Cette évolution transforme le rôle des responsables de la sécurité et des DSI. Il ne s’agit plus seulement de déployer des outils de protection, mais de comprendre les activités de l’organisation, leurs besoins et les conséquences possibles d’un incident.
L’objectif n’est pas nécessairement de viser une sécurité maximale en toutes circonstances, mais de trouver le bon niveau de protection au regard des risques métiers. Cette approche suppose un dialogue étroit entre les équipes informatiques, les métiers et la direction générale.
Des menaces qui concernent toutes les organisations
Les attaques informatiques ne visent plus uniquement les grandes entreprises ou les organisations détenant des données particulièrement sensibles. Les équipements connectés, parfois oubliés ou insuffisamment maintenus, peuvent constituer des portes d’entrée inattendues.
L’exemple d’attaques visant des réfrigérateurs et congélateurs connectés dans la grande distribution illustre cette réalité : des équipements périphériques peuvent devenir des points de vulnérabilité, notamment lorsqu’ils échappent au périmètre de supervision de la DSI.
Cette situation met en lumière le risque du shadow IT, c’est-à-dire l’utilisation de solutions et d’équipements numériques insuffisamment connus ou contrôlés par les équipes informatiques.
Autre évolution préoccupante : le cyber-vandalisme. Certains attaquants peuvent chercher à détruire ou perturber des systèmes sans objectif financier direct. La taille d’une organisation ne constitue donc plus une protection suffisante.
Pour les DSI, une priorité s’impose : disposer d’une vision aussi complète que possible du patrimoine technologique, y compris des équipements et des usages qui ne relèvent pas directement de leur périmètre habituel.
Informatique quantique : anticiper dès aujourd’hui les enjeux cryptographiques
L’informatique quantique fait également évoluer les perspectives en matière de cybersécurité. Elle soulève notamment des questions sur la pérennité de certains mécanismes cryptographiques utilisés pour protéger les échanges et les données.
Des algorithmes de cryptographie post-quantique sont déjà disponibles. Mais l’enjeu ne consiste pas simplement à adopter une nouvelle solution : les organisations doivent être capables de faire évoluer leurs mécanismes cryptographiques lorsque cela devient nécessaire.
Cette capacité, appelée agilité cryptographique, suppose notamment d’inventorier les usages du chiffrement, de l’authentification et des signatures numériques.
Un risque mérite une attention particulière : celui de données interceptées aujourd’hui, puis déchiffrées dans plusieurs années lorsque les capacités techniques le permettront. Les informations dont la confidentialité doit être préservée sur une longue durée (propriété intellectuelle, données financières ou informations sensibles) doivent donc être prises en compte dès maintenant.
La préparation à ces évolutions devient ainsi un sujet d’anticipation et de gestion du patrimoine informatique, au-delà du seul périmètre de la cybersécurité.
Autonomie stratégique : comprendre ses dépendances avant de choisir ses solutions
La maîtrise des dépendances technologiques constitue un autre axe majeur de réflexion. L’enjeu est de comprendre dans quelle mesure une organisation dépend de ses fournisseurs, de ses logiciels, de ses infrastructures ou de services qu’elle ne maîtrise pas directement.
Plutôt que de chercher à remplacer systématiquement les solutions existantes par des alternatives européennes, l’approche proposée consiste à évaluer concrètement les dépendances et leurs conséquences potentielles.
Plusieurs questions doivent guider cette analyse : un service essentiel peut-il être interrompu ? Certaines données peuvent-elles être réquisitionnées ? Une technologie critique peut-elle être remplacée dans des délais acceptables ? Quelles sont les conséquences d’une indisponibilité prolongée d’un fournisseur ?
Cette démarche passe par une cartographie de la pile technologique et des chaînes de valeur, ainsi que par l’identification des dépendances les plus sensibles. Elle permet ensuite d’arbitrer les investissements en fonction des risques réels et de l’importance des activités concernées.
De la prévention à la résilience : se préparer à l’incident
Même avec des dispositifs de sécurité solides, le risque zéro n’existe pas. Les organisations doivent donc associer la prévention à une véritable capacité de résilience.
Cela implique de réfléchir en amont aux conditions de continuité et de reprise d’activité : quels systèmes doivent être rétablis en priorité ? Quelles fonctions sont indispensables à la survie de l’organisation ? Quelles activités pourraient être temporairement sacrifiées en cas de crise majeure ?
La restauration d’une application isolée n’a pas la même complexité que celle d’un système d’information complet, avec ses dépendances techniques et ses multiples interconnexions.
La préparation doit donc s’appuyer sur des scénarios de crise, des exercices de reprise et des arbitrages préalablement discutés avec la direction générale. Cette dernière doit notamment être impliquée dans la définition des priorités, des moyens et du mandat donné aux équipes en situation de crise.
La résilience ne se décrète pas au moment de l’incident : elle se construit et se teste en amont.
Intelligence artificielle : une accélération pour les attaquants comme pour les défenseurs
L’intelligence artificielle transforme également le paysage de la cybersécurité.
Du côté des attaquants, elle contribue à industrialiser certaines opérations et à rendre des techniques plus sophistiquées accessibles à davantage d’acteurs. Du côté des défenseurs, elle ouvre des perspectives pour l’analyse de code, la détection de vulnérabilités et l’automatisation de certaines tâches.
Mais ces nouvelles capacités s’accompagnent de risques : fuites de données, usages inappropriés par les collaborateurs, résultats erronés ou encore conséquences d’une automatisation insuffisamment maîtrisée.
Les délais de correction des vulnérabilités critiques constituent aussi un enjeu croissant. Face à des attaquants capables d’accélérer leurs opérations grâce à l’IA, les organisations doivent renforcer leur capacité à qualifier les alertes et à réagir rapidement. Pour autant, l’automatisation des mises à jour et des correctifs doit elle-même être évaluée avec prudence.
L’enjeu est donc double : intégrer l’IA de manière responsable dans les pratiques des métiers et tirer parti de ses capacités pour améliorer la défense.
Les fondamentaux restent indispensables
Face à la multiplication des menaces, la réponse ne repose pas uniquement sur les technologies les plus récentes. Les fondamentaux demeurent essentiels :
- maintenir les systèmes à jour et réduire progressivement les technologies obsolètes ;
- segmenter les réseaux et limiter les privilèges d’accès ;
- renforcer l’authentification ;
- former et sensibiliser les collaborateurs ;
- s’entourer de spécialistes, en interne comme auprès de partenaires ;
- intégrer la cybersécurité dès la conception des projets et tenir compte des exigences réglementaires en amont.
La gestion des risques doit également dépasser les frontières de l’entreprise. Fournisseurs, prestataires et autres partenaires peuvent avoir un impact significatif sur la sécurité d’une organisation. Les relations et les points de contact doivent être préparés avant qu’un incident ne survienne, et des exercices communs peuvent contribuer à améliorer la coordination.
Enfin, la réputation fait partie du patrimoine à protéger. La surveillance de l’utilisation de la marque sur Internet et la préparation de réponses de crise avec les équipes de communication sont des éléments à intégrer dans la stratégie globale.
Piloter la cybersécurité comme un enjeu stratégique
La rencontre a fait ressortir plusieurs leviers pour renforcer durablement la posture de sécurité : maintenir une relation étroite avec les directions technologiques, mesurer l’efficacité des dispositifs, arbitrer les moyens en fonction des risques et impliquer les métiers dans les décisions.
Ce pilotage nécessite des éléments factuels pour éclairer les choix de la direction, plutôt qu’une approche fondée uniquement sur des indicateurs techniques ou sur l’alignement mécanique du budget cybersécurité sur celui de la DSI.
La direction générale doit pouvoir disposer d’une vision sincère de la posture de sécurité, des dépendances critiques et des capacités de réaction de l’organisation.
Anticiper, arbitrer, se préparer
Cette intervention du Groupe Stratégie DSI rappelle que la cybersécurité est devenue un enjeu transversal, au croisement de la technologie, des métiers, de la gouvernance et de la stratégie.
Dans un environnement marqué par l’accélération des menaces, l’essor de l’intelligence artificielle et les incertitudes géopolitiques, les organisations doivent à la fois consolider leurs fondamentaux, mieux connaître leurs dépendances et préparer leur capacité à poursuivre leurs activités en situation de crise.
Pour les DSI, l’enjeu n’est pas seulement d’empêcher les attaques, mais de permettre à leur organisation de comprendre ses risques, de prendre les bonnes décisions et de rester opérationnelle lorsque l’imprévu survient.
