Bruno Durand, vice-président des ventes Europe du Sud, Sophos : « Quand la cybersécurité devient un enjeu de gouvernance pour le conseil d’administration » Bruno Durand, vice-président des ventes Europe du Sud chez Sophos, explique pourquoi les conseils d’administration doivent évaluer la cybersécurité à l’aune du risque business plutôt que d’indicateurs techniques. PAR BRUNO DURAND, VICE-PRÉSIDENT DES VENTES EUROPE DU SUD CHEZ SOPHOS La cybersécurité s'est installée à l'ordre du jour des conseils d'administration, sans pour autant être toujours véritablement gouvernée. Trop souvent, elle reste présentée à travers des indicateurs techniques, incidents détectés, vulnérabilités corrigées, formations réalisées, outils déployés ou niveau de conformité atteint, qui renseignent peu sur la capacité réelle de l'entreprise à encaisser une attaque majeure. L'enjeu pour le conseil est désormais de comprendre quelles activités pourraient être paralysées, pendant combien de temps et avec quelles conséquences. La cybersécurité devient alors une question de risque acceptable, de continuité d'activité et de capacité à reprendre les opérations. Du sujet technique au risque d'entreprise, changer la perspective du conseil NIS2, DORA et, plus largement, le renforcement des exigences européennes ont contribué à faire sortir la cybersécurité de son périmètre exclusivement technique. Mais cette évolution comporte un écueil, celui de confondre conformité et maîtrise effective du risque. Une entreprise peut avoir documenté ses procédures, déployé les contrôles attendus et satisfait aux obligations qui lui sont applicables sans être capable de contenir suffisamment rapidement une attaque. Elle peut également disposer d'une infrastructure de sécurité sophistiquée et découvrir, au moment d'une crise, que les priorités de restauration de ses opérations critiques n'ont pas été clairement établies. La gouvernance cyber doit donc partir de scénarios concrets. L'indisponibilité d'un système de production, l'impossibilité pour les collaborateurs d'accéder à leur environnement de travail, la compromission d'un fournisseur critique ou l'exfiltration de données sensibles permettent de confronter les dispositifs de sécurité à leurs conséquences opérationnelles. Le dialogue avec le RSSI change alors de nature. Le nombre de menaces bloquées compte moins que la capacité à détecter rapidement une compromission sérieuse. L'existence de sauvegardes importe moins que la capacité à restaurer effectivement les activités prioritaires dans les délais exigés par l'entreprise. De même, le nombre de vulnérabilités identifiées est moins déterminant que leur capacité à ouvrir un chemin vers les actifs les plus critiques. Ce changement de perspective est essentiel puisque tous les risques ne peuvent pas être éliminés. Le rôle du conseil consiste précisément à déterminer ceux qui doivent être réduits ou transférés, ceux que l'entreprise peut accepter et ceux qui sont incompatibles avec la continuité de son activité. La cybersécurité devient ainsi une véritable discipline de gestion du risque plutôt qu'une accumulation de technologies. De la protection à la résilience, mesurer la capacité à réagir Le deuxième changement consiste à abandonner l'idée qu'une accumulation de technologies permettrait de construire une forteresse infranchissable. Les entreprises ont multiplié les solutions de sécurité au fil des années, générant davantage d'alertes et de données à analyser sans nécessairement améliorer dans les mêmes proportions leur capacité à prendre rapidement une décision lorsqu'une attaque survient. Pour un dirigeant, le nombre de technologies déployées devient donc moins significatif que le temps qui sépare les premiers signes d'une intrusion du moment où l'organisation est capable de comprendre la situation et d'agir. Lors d'une attaque, le temps est une variable majeure de risque. Une menace détectée et contenue rapidement n'a pas les mêmes conséquences qu'une intrusion qui laisse plusieurs heures ou plusieurs jours à un attaquant pour progresser dans le système d'information, compromettre des comptes, identifier les données critiques ou préparer leur chiffrement et leur exfiltration. C'est pour réduire cet intervalle que la cyberdéfense évolue vers des modèles associant technologies de protection, automatisation, intelligence artificielle et intervention humaine. Les services MDR s'inscrivent notamment dans cette logique en combinant surveillance continue, investigation des comportements suspects et capacité de réponse lorsqu'une menace réelle est identifiée. L'IA peut accélérer l'analyse de grandes quantités de signaux et faciliter l'identification des comportements suspects. Elle ne supprime cependant pas la nécessité de disposer d'experts capables de comprendre le contexte, de qualifier le risque et de décider de la réponse appropriée dans les situations complexes. Cette évolution impose également au conseil d'administration de regarder différemment les investissements cyber. L'augmentation d'un budget ou du nombre de solutions déployées ne constitue pas en soi un indicateur de maturité. Celle-ci se mesure davantage à la capacité de l'organisation à détecter une activité anormale, y compris en dehors des heures ouvrées, à mobiliser rapidement les bonnes compétences lorsqu'une attaque est confirmée et à avoir testé ses dispositifs de réponse dans des conditions réalistes. Cette logique doit enfin s'étendre aux décisions stratégiques de l'entreprise. Une acquisition, le choix d'un nouveau fournisseur, une migration vers le cloud ou le déploiement rapide d'outils d'IA peuvent créer de nouvelles dépendances, de nouveaux accès et de nouvelles voies d'attaque. Évaluer le risque cyber une fois ces décisions prises revient à intervenir trop tard. Il doit faire partie des critères de décision en amont. Le prochain stade de maturité des conseils d'administration ne consistera donc pas à parler davantage de cybersécurité, mais à en parler différemment. Un conseil n'a pas besoin de savoir interpréter une alerte ou administrer une plateforme de sécurité. Il doit en revanche connaître les activités réellement exposées, la durée pendant laquelle l'entreprise peut tolérer leur indisponibilité, sa capacité à détecter et contenir une attaque et les conditions dans lesquelles elle pourrait poursuivre ou restaurer ses opérations. Car le véritable test d'une stratégie cyber ne survient pas lorsque tous les voyants du tableau de bord sont au vert. Il survient lorsque les premières lignes de défense échouent et que l'entreprise doit démontrer sa capacité à continuer de fonctionner. Estelle Parain, responsable marketing & communication chez l'Oiseau Rare : « IA open source : comment maîtriser ses dépendances ? » Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ?