De la protection à la résilience : comment reprendre l'avantage face aux cybermenaces ?

.

Q. Aujourd’hui, où se situent les principales portes d’entrée pour un attaquant ?

Arnaud Marie : L’identité reste l’un des principaux points de vulnérabilité. Et derrière la technologie se cache un enjeu d’hygiène opérationnelle parfois très basique : disposer de profils utilisateurs propres, maîtriser les droits et gérer correctement les arrivées comme les départs. Vous pouvez déployer de nombreuses couches de sécurité : si ces processus ne sont pas maîtrisés de manière transverse dans l’entreprise, des comptes ou des droits résiduels continueront de constituer des portes d’entrée potentielles.

Il faut également regarder du côté du shadow IT, au sens large. On parle beaucoup de shadow AI aujourd’hui, mais le problème concerne tous les usages qui ne sont ni référencés, ni connus, ni monitorés par l’entreprise : équipements, logiciels, navigateurs, sites distants ou environnements créés temporairement pour répondre à un besoin métier. Chaque élément qui échappe à la visibilité de l’organisation étend potentiellement sa surface d’exposition.

Stéphane Anouari : Je placerais même l’ingénierie sociale en amont. Le premier point d’entrée reste très souvent un être humain que l’on parvient à tromper avec des attaques qui ne sont pas nécessairement très sophistiquées.  Mais entrer n’est que le début : ce qui compte ensuite, c’est ce que l’attaquant va trouver à l’intérieur.

Il faut aussi regarder du côté de la supply chain. Les entreprises sont interconnectées avec de nombreux prestataires qui peuvent disposer d’accès parfois très importants à leurs applications ou infrastructures. Une faiblesse chez l’un d’eux peut donc devenir une faiblesse de l’entreprise elle-même. Les règlementations comme NIS2 vont obliger un très grand nombre d’entreprises à se conformer pour ne pas perdre de contrats avec des entreprises directement ciblées par cette nouvelle réglementation.

Q. L’IA générative change-t-elle fondamentalement la manière d’attaquer et de sécuriser le système d’information ?

S. A. :  L’IA générative est en train de démocratiser des capacités offensives autrefois réservées à des attaquants très expérimentés. De jeunes hackers sont aujourd’hui en mesure de créer des choses invraisemblables avec l’IA générative et des agents. A la Blackhat 2026, deux ingénieurs d’OpenAI ont même démontré comment des agents ont attaqué le site Huggingface, de façon totalement autonome.

Un autre enjeu est que, sans une structuration et une gouvernance solide des données et des applications, l’IA Générative ingère sans limite toutes les informations auxquelles l’utilisateur a accès dans l’entreprise. Et si les permissions ne sont pas bien gérées, les conséquences peuvent être désastreuses.

Enfin, les agents sont probablement ce qui attire le plus l’attention, parce qu’ils peuvent être créés par n’importe quel utilisateur, sans compétence particulière, et qu’ils constituent un actif très intéressant dont il faut pouvoir mesurer l’apport de valeur pour l’entreprise, mais aussi une réelle menace si le troupeau d’agents IA n’est pas surveillé…C’est notamment l’objectif de l’observabilité des agents.

A. M. : Elle change surtout l’échelle. L’IA permet aux attaquants de démultiplier le volume de leurs attaques tout en réduisant leur coût. Dans le passé, un attaquant pouvait sonder une entreprise, progresser jusqu’à un certain niveau puis renoncer parce que poursuivre devenait trop long ou trop coûteux. Avec l’IA, cette limite recule : il faut moins de temps et moins de moyens grâce aux nombreuses actions qui peuvent être automatisées.

L’IA ne démultiplie donc pas seulement l’intensité des attaques : elle en augmente aussi la profondeur. La défense doit nécessairement suivre cette évolution. Les technologies de cybersécurité doivent elles aussi intégrer davantage d’IA pour être capables de traiter et de croiser de très grands volumes de données, de détecter des signaux faibles et de répondre à cette nouvelle intensité.

Q. Face à des attaquants toujours plus puissants, les entreprises peuvent-elles encore espérer garder une longueur d’avance ?

S. A. : Il existe une asymétrie indéniable entre attaquants et défenseurs. Une entreprise dispose de moyens humains, financiers et techniques nécessairement finis. Elle est soumise à des réglementations, doit sécuriser un environnement complexe et surveiller en permanence l’ensemble de ses points d’exposition. L’attaquant, lui, peut concentrer tous ses efforts sur une seule faiblesse.

La réponse consiste donc à multiplier les niveaux de défense, à réduire la dette technique, à évoluer vers des principes de type Zero Trust – où aucune confiance n’est accordée implicitement – mais également à renforcer la résilience.

A. M. : Il y aura toujours un jeu permanent entre attaquants et défenseurs. Les uns progressent, les autres adaptent leurs protections, puis les premiers trouvent de nouvelles manières de les contourner. L’IA va accélérer cette dynamique des deux côtés.

Dans ces conditions, croire que l’on pourra garantir qu’une entreprise ne sera jamais attaquée me paraît utopique. C’est pourquoi la différence ne se fera pas uniquement dans les moyens de se protéger, mais dans les moyens de redémarrer. Il faut être capable de repartir rapidement en limitant les pertes : perte de données, de services, de business, de temps, mais également perte d’image ou de réputation. Et cela suppose de définir en amont ce qu’est, pour l’entreprise, un niveau de perte acceptable. La résilience commence par cette capacité à se poser la question avant que la crise ne survienne.

Q.  Comment identifier ce qui est réellement critique et construire sa résilience en conséquence ?

A. M. : Tout doit partir dumétier : quels sont les processus, les services et les activités critiques de l’entreprise ? À partir de là, on peut identifier les données dont ils dépendent, puis les infrastructures, les systèmes et les flux nécessaires à leur fonctionnement.

Pour chaque service, il faut ensuite déterminer ce que l’entreprise peut réellement accepter : combien de temps peut-il être indisponible ? Quelle quantité de données peut-elle se permettre de perdre ? Et l’analyse ne doit pas être uniquement technique ou financière. Une interruption peut également avoir des conséquences en matière d’image, de réputation, voire de marque employeur.

C’est à partir de cette criticité que l’on peut construire les bons niveaux de sauvegarde, de continuité et de reprise. Mais un point est souvent sous-estimé : les dépendances. Un service critique ne redémarre jamais seul. Il faut connaître tous les maillons dont il dépend.

Nous avons par exemple rencontré une entreprise qui avait défini son plan de reprise et identifié les services qu’elle souhaitait redémarrer en priorité. Sur le papier, la démarche était cohérente. Mais certains composants d’infrastructure nécessaires au fonctionnement de ces services avaient été oubliés. Le jour où il faut repartir, un seul maillon manquant peut remettre en cause toute la chaîne.

S. A. : C’est également tout le principe de la défense en profondeur. J’utilise souvent l’image de l’aéroport : plus je m’approche de l’avion, plus je dois montrer patte blanche. À mesure que l’on se rapproche des actifs essentiels, les contrôles, les normes et les protections doivent devenir plus exigeants.

Cela oblige surtout à sortir d’une logique d’accumulation des outils. La sécurité n’est pas absolue : ce n’est pas parce qu’une entreprise investit des millions qu’elle est nécessairement bien protégée. La vraie question est de savoir quels risques ces investissements permettent effectivement de couvrir.

Les référentiels comme ISO 27001 peuvent être intéressants précisément parce qu’ils obligent à structurer cette réflexion, à identifier un périmètre critique et à inscrire l’entreprise dans une démarche globale intégrant gouvernance, protection, continuité et capacité de récupération.

Q. Les établissements de santé sont particulièrement exposés aux cyberattaques. Quelles vulnérabilités leur sont spécifiques et comment renforcer leur cybersécurité sans compromettre la continuité des soins ?

S. A. : La santé concentre effectivement de nombreuses difficultés : des populations très diverses et qui tournent beaucoup, des équipements partagés, des systèmes d’information hétérogènes et parfois des technologies anciennes.

Nous avons déjà observé, lors d’un audit, des postes partagés dont le mot de passe était tout simplement affiché sur l’écran pour faciliter l’accès aux différents personnels. C’est un exemple très concret de la tension entre sécurité et réalité opérationnelle.

Cette tension est encore plus forte avec certains équipements médicaux. Des systèmes peuvent rester sur des versions anciennes parce que l’équipement qu’ils pilotent ne peut pas être facilement interrompu, soit pour garantir la continuité des soins, soit parce que sa mise à jour serait extrêmement complexe ou coûteuse. Dans la santé, certains systèmes restent donc vulnérables précisément parce qu’on ne peut pas se permettre de les arrêter.

Les identités, les PCA et les PRA constituent dans ce cadre des priorités majeures. C’est d’ailleurs notamment sur ces dimensions que le plan national CaRE cherche à faire progresser les établissements.

A. M. : À cette dette technique s’ajoute une très forte interconnexion du système d’information avec l’extérieur. Par nature, un CHU travaille avec une multitude de partenaires qui doivent consulter, partager ou injecter des informations dans son SI.

Un hôpital numérique ressemble finalement beaucoup à un hôpital physique : de très nombreuses personnes, internes comme externes, doivent pouvoir y entrer. Toute la difficulté consiste à leur donner accès à ce dont elles ont besoin sans ouvrir le reste.

La gestion des identités, des accès et des partenaires devient donc déterminante, tout comme la résorption progressive de la dette technique. Mais les établissements publics doivent mener ces transformations avec des contraintes budgétaires et des arbitrages qui rendent l’exercice particulièrement complexe.

Q. NIS2, DORA, CRA, ISO 27001… Comment transformer les nouvelles exigences de cybersécurité en opportunité plutôt qu’en contrainte ?

A. M. : La première question consiste à comprendre ce qui concerne réellement l’entreprise : à quelles obligations est-elle soumise aujourd’hui, lesquelles peuvent la concerner demain et quelles certifications peuvent devenir stratégiques pour son développement ?

Si certaines démarches ne sont pas nécessairement obligatoires au sens réglementaire, elles peuvent néanmoins le devenir stratégiquement parlant. Pour une entreprise qui opère des services IT et s’interconnecte aux systèmes d’information de grands comptes par exemple, ne pas disposer de certaines certifications peut finir par fermer des marchés.

Bien anticiper et séquencer ces démarches peut donc améliorer la résilience, mais aussi accélérer l’accès à certains marchés et éviter de perdre des opportunités business. Il y a un véritable enjeu de time-to-market.

S. A. : L’accumulation des réglementations rend néanmoins le paysage difficile à lire. Il faut évidemment comprendre les textes et leurs implications, mais veiller à ne pas transformer la cybersécurité en simple exercice de conformité.

Beaucoup de ces exigences renvoient finalement à des principes connus depuis longtemps : protéger les identités, assurer la continuité, organiser la résilience, appliquer une défense en profondeur. La réglementation ne doit pas faire oublier le bon sens technologique.

Q. Demain, quel actif faudra-t-il absolument savoir protéger pour assurer la cyberrésilience de l’entreprise ?

A. M. : Les données, parce qu’elles concentrent une grande partie du savoir-faire et de la valeur des entreprises. Mais la donnée seule ne suffit pas. Il faut savoir quels services critiques en dépendent, où elle se trouve et surtout quels flux permettent de la transformer en service métier.

Ces applications, infrastructures et flux forment une chaîne qui possède elle-même de la valeur. La valeur n’est pas seulement dans la donnée : elle est aussi dans toute la chaîne qui permet de la transformer en service métier. Être capable d’identifier, d’isoler et de protéger cette chaîne sera essentiel pour garantir la résilience.

S. A. : L’humain. Je crois que, sans un meilleur usage et une meilleure prise de conscience, nous assisterons de plus en plus à la désappropriation silencieuse de nos compétences cognitives et créatives au profit de l’IA Générative. C’est déjà à l’œuvre, avec le développement logiciel par exemple. Si nous nous déshabituons à lire, à écrire, à analyser, à comprendre, à apprendre, à faire des erreurs, et que nous confions à l’IA Générative ce qui devrait être notre capacité exclusive, nous évoluerons vers des entreprises nourries d’informations, d’applications et d’architectures synthétiques, jusqu’à utiliser des systèmes que plus personne ne sait réellement comprendre ou réparer. Il existera un moment où nous ne pourrons plus être « in the loop ». Et nous perdrons la maitrise. Je pense qu’un bon équilibre entre usage responsable et conscient, technologies de sécurité et réglementation permettra préserver ce qui doit rester profondément humain.