Sécurité agentique : la meilleure défense du RSSI face aux délais de mise en conformité

Six heures pour alerter l'ANSSI, 72 heures pour un rapport complet : face à la directive NIS2, les RSSI n'ont plus le luxe du doute.

La sécurité agentique est essentielle pour respecter les délais stricts en matière de reporting et de conformité, en particulier lorsqu’il s’agit de fournir des informations précises sur les failles de sécurité des systèmes. 

Dès l’instant où des indices d’une cyberattaque sont détectés sur les systèmes d’une entreprise, une course contre la montre s’engage. Les professionnels de la sécurité informatique doivent non seulement bloquer et remédier à la faille le plus rapidement possible, mais aussi respecter des délais stricts pour la signaler aux autorités de régulation compétentes.

Ce processus de signalement peut les amener à entrer en contact avec jusqu’à cinq entités différentes, selon le type d’attaque et le secteur d’activité de l’entreprise. Chaque autorité de régulation a ses propres procédures de signalement à suivre, des questions auxquelles répondre et des délais à respecter.

Il s’agit d’une procédure très complexe et à plusieurs niveaux dans laquelle les entreprises peinent à se retrouver. Mais le fait de ne pas signaler un incident entraînerait de graves conséquences, notamment de lourdes amendes, une érosion de la confiance des clients et même, dans certains cas, la responsabilité personnelle des dirigeants.

Par exemple, la directive NIS2 impose aux grandes et moyennes organisations de différents secteurs critiques, tels que l’énergie, les transports, la santé, la finance et les infrastructures numériques, de transmettre une "alerte précoce" à l’autorité compétente du pays concerné (en France, c’est l’ANSSI). Cette alerte doit être réalisée dans les six heures suivant la première détection, suivie d’un rapport complet dans les 72 heures, ainsi que des mises à jour régulières si l’attaque se poursuit, et enfin un rapport final doit être remis dans un délai d’un mois.

La loi sur la cyber-résilience (Cyber Resilience Act), qui s’applique aux fabricants de tout produit comportant une composante numérique, suit une démarche similaire à celle de la directive NIS2. En ce qui concerne les violations de données à caractère personnel, le Règlement général sur la protection des données (RGPD) impose aux entreprises de signaler la violation à l’autorité compétente "sans retard injustifié et, dans la mesure du possible, au plus tard dans les 72 heures" suivant sa détection.

La loi sur l’IA, quant à elle, impose aux fournisseurs de systèmes d’IA "à haut risque" de signaler les incidents dans un délai de deux jours, s’ils impliquent une "violation généralisée" ou une perturbation grave et irréversible d’une infrastructure critique.

Ces exigences accrues en matière de signalement sont mises en place à un moment où les entreprises de toute l’Europe sont également confrontées à des menaces croissantes de la part des cybercriminels. 

En France, les organismes publics comme les entreprises ont connu une hausse significative des violations de données au cours des trois dernières années. Dans un rapport publié en mai 2025, la CNIL a révélé avoir reçu 6 167 notifications de violations de données l’année dernière, soit une augmentation de 10 % par rapport à l’année précédente. Elle souligne que les années 2024 et 2023 ont également battu des records et que, au cours des deux dernières années, environ 80 violations ont touché au moins un million de personnes en France, ce qui témoigne d’une augmentation significative de l’ampleur de ces incidents. Parmi les organisations ciblées en 2025 figurent la chaîne de supermarchés Auchan, trois agences régionales de santé, ainsi que La Poste.

C’est un défi de taille. Au lendemain d’une cyberattaque, les équipes de sécurité doivent, dans la mesure de leurs moyens, mettre en place une équipe d’intervention en cas d’incident, identifier les anomalies potentielles, limiter la propagation de la menace, supprimer les éléments malveillants et restaurer les systèmes et les données affectés. Cela prend du temps, et le problème, c’est que les délais de rapport commencent bien avant que l’on dispose d’une certitude absolue.

Déterminer l’étendue de la cyberattaque

Bien que le défi soit de taille, il n’est pas impossible à relever. Les entreprises qui y parviennent ont un point commun : elles définissent rapidement l’étendue de l’incident.

Au cours de la phase d’identification du cycle de vie de la réponse aux incidents, cela implique de mettre en corrélation les alertes provenant des terminaux, des systèmes compromis, des données consultées et des opérations perturbées – en rassemblant les informations contenues dans les journaux avant que la situation ne se refroidisse.

Le problème est que les preuves se trouvent rarement au même endroit. Lorsque les alertes se dispersent sur dix outils différents, l’enquête doit les suivre partout. Les équipes finissent par travailler en périphérie de l’incident plutôt qu’en son centre, ce qui nuit à l’évaluation de son ampleur.

Cela a des implications qui vont bien au-delà de l’enquête elle-même. Une évaluation imprécise de l’ampleur de l’incident conduit à une notification de violation inexacte. Il est impossible de rendre compte avec précision sans avoir d’abord déterminé l’étendue de l’incident.

 Ce qu’exige une évaluation précise de l’étendue de l’incident

Ce qu’il faut plutôt, c’est une base de données unifiée vers laquelle toutes les alertes sont acheminées à des fins de corrélation et d’analyse. Mieux encore, cette base de données devrait offrir un certain degré d’automatisation capable de "relier les points" au cours d’une enquête sans que le personnel informatique ait à rassembler manuellement toutes les preuves et à les passer au crible. Ce type de plateforme permet aux entreprises de mener plus efficacement des opérations de sécurité proactives.

C’est en optimisant le temps et les compétences de l’équipe de sécurité que l’IA apporte une réelle valeur ajoutée. Les corrélations automatisées, les conclusions et les suggestions générées par les machines libèrent ces professionnels pour qu’ils puissent se consacrer à ce qu’ils font le mieux : évaluer, juger et dynamiser leurs propres efforts d’enquête grâce à des informations qui, autrement, mettraient des heures à émerger.

Dans les configurations les plus efficaces, un workflow "agentique" déterminera si et comment les alertes sont liées, identifiera l’arborescence de l’attaque et déterminera quelles entités du système et du réseau sont impliquées. Il en résulte des enquêtes plus rapides et plus précises, ainsi que de meilleurs rapports destinés aux autorités réglementaires, qui résument de manière concise la portée d’un incident, son rayon d’impact, son état actuel et les prochaines étapes.

Au-delà de la conformité : l’argument en faveur de la résilience opérationnelle

Les avantages de cette utilisation de la technologie vont bien au-delà du simple dépôt en temps voulu des rapports réglementaires, bien sûr. Les entreprises capables de maîtriser une analyse plus rapide et plus précise des incidents de sécurité sont mieux armées pour y répondre à presque tous les égards : limiter les attaques, réduire les dommages, accélérer les délais de reprise et prendre des mesures proactives pour renforcer leurs défenses contre des violations similaires.

En d’autres termes, la sécurité "agentique" pourrait être le meilleur moyen non seulement de montrer aux régulateurs qu’une organisation prend au sérieux les risques liés à la sécurité informatique, mais aussi de transformer les risques actuels en résilience future.