Quand la pile de sécurité croît plus vite que la stratégie

Les entreprises exploitent en moyenne 83 solutions de sécurité issues de 29 éditeurs. Plus de la moitié des responsables affirment pourtant que cette fragmentation freine précisément leur défense.

À lire aussi : Cinq postes qui nécessitent un budget avant le SIEM · Quels contrôles ne pas supprimer lors de la réduction des outils

Après un incident de sécurité, le scénario est souvent le même dans les entreprises. On évalue un produit, on l’achète, on le déploie et la faille en cause est réputée comblée. Ce nouvel outil s’ajoute à un environnement déjà composé de dizaines de décisions ponctuelles de ce type.

Au final, on obtient un patchwork. De nombreux outils fonctionnent côte à côte. Presque aucun n’est relié aux autres et l’efficacité d’ensemble reste incertaine.

Chaque incident allonge la liste de courses

La Suisse illustre l’ampleur de cette pression. Depuis avril 2025, les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’Office fédéral de la cybersécurité (OFCS, BACS en allemand). Celui-ci a enregistré plus de 260 signalements de ce type jusqu’en février 2026.

En Allemagne aussi, la surface d’attaque s’étend. D’après le rapport 2025 du BSI (Office fédéral allemand de la sécurité des technologies de l’information), le nombre de vulnérabilités découvertes chaque jour a augmenté de 24 % en un an. Pour presque chaque nouvelle technique d’attaque, le marché propose un produit adapté.

Le résultat est chiffrable. Une étude de l’IBM Institute for Business Value, réalisée avec Palo Alto Networks, établit début 2025 une moyenne de 83 solutions de sécurité provenant de 29 éditeurs par entreprise. Or Palo Alto Networks vend lui-même des plateformes : le constat émane donc d’une partie intéressée.

Les fonds destinés à de nouveaux outils sont limités. Dans cette même enquête Sophos du printemps 2025, 10,5 % des dirigeants interrogés en Allemagne déclarent avoir abandonné des mesures de sécurité prévues faute de budget. Tout achat sans mandat clair évince donc une autre mesure financée par la même enveloppe.

Ce que la stratégie définit avant le premier outil

Le goulet d’étranglement tient rarement à la technique. Ce qui manque, c’est une stratégie qui établisse ce qu’il faut protéger, quel niveau de protection s’applique et dans quel ordre déployer les mesures avec les moyens disponibles.

Cette confrontation conditionne l’efficacité. Le meilleur gain de sécurité vient de la mesure adaptée, prise au bon moment, même si elle est plus modeste que le projet le plus ambitieux du marché.

Qui saute cette étape et se lance directement dans l’architecture et le déploiement perd son étalon. Les audits de sécurité produisent alors des constats sans contexte stratégique. Quelques mesures sont mises en œuvre, tandis que d’autres risques restent en suspens.

Trois niveaux, chacun avec sa question directrice

L’efficacité naît lorsque trois niveaux sont nettement séparés, puis alignés les uns sur les autres. Chaque niveau répond à sa propre question et transmet ses consignes au suivant.

1. Stratégie : que faut-il protéger ?

C’est ici que se prennent les décisions de principe. Quels processus ne doivent jamais s’interrompre ? Quelles données ne doivent jamais quitter l’entreprise ? Quel risque résiduel l’entreprise assume-t-elle en connaissance de cause ? Le résultat est un besoin de protection documenté et hiérarchisé, validé avec la direction.

2. Architecture : comment planifier les lignes de défense ?

L’architecture traduit le besoin de protection en structure. Elle définit les zones, les identités et les frontières de confiance et détermine où s’articulent détection et réaction. C’est là qu’on voit si un outil envisagé comble une lacune ou fait doublon avec une fonction existante.

3. Conception : quelle mesure déployer et où ?

Ce n’est qu’à ce niveau qu’il est question de produits, de configurations et de procédures d’exploitation. Chaque décision de conception se vérifie à l’aune des deux niveaux supérieurs : elle répond à un besoin de protection documenté et s’intègre dans la structure prévue.

Dans bien des entreprises, l’ordre est inversé. La décision d’achat vient d’abord, puis l’architecture et la stratégie sont justifiées après coup autour d’elle. Le tableau ci-dessous montre ce qui manque lorsqu’un niveau est sauté.

NIS2 rend l’ordre des priorités vérifiable

En Allemagne, la question de la stratégie est aussi devenue juridique depuis le 6 décembre 2025. Ce jour-là est entrée en vigueur la loi de transposition de NIS2, accompagnée de la nouvelle loi sur le BSI (BSIG), du nom de l’Office fédéral de la sécurité des technologies de l’information.

Le paragraphe 30 de la BSIG exige des entités concernées des mesures de gestion des risques appropriées, proportionnées et efficaces. La proportionnalité ne se justifie que par rapport à un besoin de protection documenté. Une simple liste de produits achetés suffit difficilement à l’établir.

Le paragraphe 38 de la BSIG engage la responsabilité de la direction. Celle-ci doit mettre en œuvre les mesures, en contrôler l’application et suivre régulièrement des formations. Si elle manque à ces obligations, elle répond de sa responsabilité envers l’entité.

Pour les entreprises suisses disposant d’établissements en Allemagne, cette règle s’applique directement, dès lors qu’ils relèvent de la loi. En Suisse même, l’obligation de signalement pour les infrastructures critiques donne une impulsion comparable : qui doit signaler doit d’abord savoir quels sont ses systèmes critiques.

L’intelligence artificielle crée de nouveaux flux de données dans l’architecture

L’IA accroît la pression en faveur de cette clarté. Chaque assistant, chaque fonction d’analyse et chaque processus automatisé génère des flux de données qui ne figurent dans aucun schéma réseau existant.

Une partie de ces flux apparaît sans avoir été planifiée. Selon une enquête de Bitkom, la fédération allemande du numérique, menée à l’été 2025, l’usage privé d’outils d’IA pour le travail est très répandu dans 8 % des entreprises allemandes et dans 17 % d’autres, il se rencontre au cas par cas.

Les agents d’IA posent un problème particulièrement délicat. Le développeur Simon Willison qualifie de « triade létale » (lethal trifecta) la situation où un agent accède à des données privées, traite des contenus issus de sources non fiables et peut communiquer avec l’extérieur. Lorsque ces trois caractéristiques se combinent, une page web ou un e-mail piégé peut amener l’agent à laisser fuiter des données.

La sécurité de l’IA (AI Security) relève donc de la même stratégie que tout autre système critique. Avant le déploiement, il faut savoir quelles données circulent vers quelle destination, qui y a accès et qui est responsable en cas d’incident. Gouvernance, transparence et responsabilités clairement définies s’appliquent aux systèmes d’IA comme au reste des infrastructures critiques.

Cinq questions à se poser avant le prochain achat

Les trois niveaux d’analyse débouchent sur un filtre simple, applicable à chaque nouvelle acquisition. Il tient sur une page et peut être intégré au processus d’achat.

Un outil qui répond à ces questions renforce la défense existante. Si deux réponses ou plus restent ouvertes, la décision doit revenir au niveau stratégique.

Pour les RSSI (responsables de la sécurité des systèmes d’information), le dialogue avec la direction générale et les achats change ainsi de nature. Il porte sur le besoin de protection et l’ordre des priorités, le produit venant en dernier. Chaque investissement devient alors défendable face aux auditeurs et aux autorités de contrôle.

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

La consolidation des outils suffit-elle à faire une stratégie de sécurité ?

La consolidation réduit le nombre d’outils et de contrats. Reste à savoir si les bonnes fonctions subsistent ensuite : seul le besoin de protection documenté permet d’en décider. Sans lui, la rationalisation risque d’entraîner la suppression de contrôles que les auditeurs regretteront plus tard.

Qui est responsable de la stratégie de sécurité au sein de l’entreprise ?

Elle est généralement élaborée par le RSSI (responsable de la sécurité des systèmes d’information, CISO en allemand) en concertation avec les directions métier. Les décisions relatives aux risques incombent à la direction générale. Dans les entités soumises à NIS2, celle-ci en porte aussi la responsabilité juridique.

Les applications d’IA nécessitent-elles une stratégie de sécurité spécifique ?

Elles ont besoin de règles propres, intégrées à la stratégie existante : outils validés, classes de données autorisées, journalisation et responsable désigné pour chaque cas d’usage. Pour les agents, une question supplémentaire se pose : quelle combinaison d’accès aux données et de communication vers l’extérieur peut être autorisée ?

Que valent des audits de sécurité sans stratégie ?

Les audits et tests d’intrusion mettent au jour des vulnérabilités concrètes. Reste à savoir lesquelles corriger en premier et cela ne se décide qu’une fois le besoin de protection défini. Avec une stratégie, le rapport d’audit devient une liste de mesures hiérarchisées.

Sélection de la rédaction

À lireL’IA ombre émerge souvent de la gouvernance elle-mêmeÀ lireITDR aux côtés du SIEM et de l’EDR : l’architecture de détection 2026À lireCISO à temps partiel : Ce qui peut être externalisé, ce qui doit rester interne

Plus du réseau MBF Media

Digital ChiefsLa responsabilité organisationnelle selon la NIS2 s’applique malgré l’enregistrement MyBusinessFutureLes fabricants signalent les incidents CRA à l’ENISA avant le CSIRT cloudmagazinEU AI Act : un report n’efface pas les obligations

Source de l’image : généré par IA (octobre 2026) · Photo de Martin Buck : Axians / kit presse

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.