Avis d’expert de Matt Riley, Directeur Europe de la Sécurité de l’Information chez Sharp
Les outils de travail sont de plus en plus connectés : appareils, plateformes et services cloud communiquent entre eux pour automatiser les tâches du quotidien. Cette connectivité apporte de réels gains de productivité : collaboration plus rapide, meilleure visibilité, expérience plus fluide.
Elle impose aussi un arbitrage : chaque nouvelle connexion élargit la surface d’attaque, chaque fournisseur ou dépendance cloud multiplie les points de défaillance. La réponse n’est pas d’acheter un énième outil, mais de construire une gouvernance, un risque et une conformité (GRC) proportionnés à l’organisation.
Plus de connectivité, plus de capacités… et plus d’exposition
L’entreprise moderne fonctionne en écosystème : terminaux, applications et tiers sont interconnectés via intégrations, accès support ou flux de données partagés.
Concrètement, le risque ne se limite plus à l’IT : il se diffuse à travers :
• Les terminaux (ordinateurs portables, mobiles, imprimantes, salles de réunion, objets connectés et bâtiments intelligents)
• Les services cloud et SaaS (où la configuration et les droits d’accès constituent souvent la vraie vulnérabilité)
• Les fournisseurs et partenaires (qui peuvent détenir les données des utilisateurs ou influer sur leur résilience)
• Les utilisateurs, toujours plus sollicités par des décisions de sécurité
Avec l’automatisation des attaquants et l’IA, illustrées par les débats autour de « Claude Mythos » d’Anthropic, les organisations les plus exposées ne seront pas celles visées par des piratages « surhumains », mais celles où la responsabilité est mal définie, les correctifs en retard, et les plans de réponse non opérationnels.
La solution n’est pas d’ajouter des outils
Quand un programme de sécurité peine à avancer, c’est rarement par manque de compétence, mais parce que la responsabilité des contrôles est fragmentée et que le risque est discuté en termes techniques plutôt qu’en impact business.
Une approche GRC proportionnée repose sur trois fondamentaux :
- Une responsabilité claire : qui est responsable, et de quoi ?
La connectivité crée une responsabilité partagée, qui se dilue si personne n’a de vision de bout en bout. Le premier gain rapide consiste à clarifier la responsabilité sur les fondamentaux :
• Qui est responsable de l’application des correctifs sur les terminaux, serveurs, équipements réseau et services cloud ?
• Quel est le SLA (Service Level Agreement) pour les mises à jour critiques, et comment les exceptions sont-elles validées ?
• Quel est le processus pour les systèmes historiques qui ne peuvent pas être corrigés rapidement ?
• Qui gère les identités et accès, y compris les accès à privilèges et le cycle arrivées/départs ?
La clarté ne suffit pas : correctifs et configuration doivent être imposés via des politiques et des plateformes managées, plutôt que de reposer sur le bon vouloir de chacun.
- La visibilité : on ne peut pas protéger ce que l’on ne voit pas
Plus les environnements se connectent, plus la visibilité devient le socle des décisions de risque. Cela suppose notamment de :
• Connaître l’ensemble de son parc (y compris le shadow IT et les terminaux non gérés)
• Comprendre ce qui est connecté à quoi (intégrations, API, chemins d’accès administrateur)
• Maintenir une vision précise de l’emplacement des données et de qui peut y accéder
• Surveiller les signaux faibles de compromission, et pas seulement chercher à la prévenir
C’est souvent là que les organisations se font prendre : par l’accumulation de petits angles morts, plutôt que par une défaillance unique.
- Des décisions de risque fondées sur l’impact business
Tous les risques n’ont pas à être éliminés, mais tout risque significatif doit être attribué, compris et traité selon les priorités business. Une approche pragmatique consiste à s’accorder, au niveau de la direction, sur ce qui compte le plus :
• Quels systèmes stopperaient l’activité de l’entreprise en cas de panne ?
• Quelles données, si elles étaient exposées, entraîneraient un risque réglementaire ou réputationnel ?
• Quels fournisseurs ou services cloud seraient les plus difficiles à remplacer rapidement ?
Ces priorités définies, les investissements en sécurité deviennent plus rationnels : moins de cases à cocher, plus de contrôles qui réduisent réellement le risque.
Associer des contrôles solides à une culture qui responsabilise les équipes
La culture de sécurité compte d’autant plus que la connectivité augmente : une culture qui pointe du doigt pousse à dissimuler les erreurs, une culture qui accompagne incite à signaler les problèmes tôt.
La sensibilisation doit être vue comme un levier de performance, et non comme une contrainte : repérer l’ingénierie sociale, questionner les demandes inhabituelles, signaler rapidement toute activité suspecte.
Les études menées par Sharp montrent que ces habitudes créent une exposition non intentionnelle, liée à la friction et à la pression du temps plutôt qu’à la malveillance. La sécurité doit donc s’adapter à la façon dont les équipes travaillent réellement, pour que le chemin le plus sûr soit aussi le plus simple.
Transformer la connectivité en résilience
La connectivité accrue est devenue le mode de fonctionnement normal des organisations modernes. La vraie question est de savoir si l’approche de la sécurité entamée par les organisations a suivi le même rythme.
Plutôt que d’acheter un outil de plus, il convient de clarifier les responsabilités, améliorer la visibilité, et fonder les décisions de risque sur l’impact business. Associé à une culture qui accompagne plutôt que sanctionne, cela préparera mieux les organisations, que la prochaine actualité concerne Mythos, les deepfakes, ou une nouvelle vague de compromissions fournisseurs.
