Le risque cyber est-il une fatalité ?

Face aux cyberattaques dopées à l'IA, les entreprises doivent placer la cybersécurité au cœur de leur stratégie, renforcer leur résilience et faire de chaque collaborateur un acteur de leur sécurité.

Chaque semaine, de nouvelles avancées spectaculaires en matière d’intelligence artificielle promettent des gains d’efficacité inédits et un potentiel de transformation des métiers. Pourtant, face à ce potentiel, la confiance des dirigeants vacille. Les annonces de cyberattaques se multiplient, accompagnées de chiffres qui donnent le vertige : la France serait aujourd'hui le deuxième pays le plus ciblé au monde. Trois comptes y seraient compromis chaque seconde.

L’IA, si prometteuse par ailleurs, amplifie malheureusement ces fragilités. L’exploitation des vulnérabilités, qui prenait autrefois des semaines, se compte désormais en heures. Ces vagues massives n'épargnent plus personne : elles frappent indifféremment les bases de données commerciales ou administratives, la sphère publique comme le secteur privé. Quelle que soit la taille de la structure ou son domaine d’activité, nous sommes tous exposés.

Face à ce constat, le numérique est-il devenu trop dangereux, voire hors de contrôle ? Faut-il faire machine arrière, freiner la dématérialisation et se priver d’un formidable levier de transformation ?

Bien sûr, le risque zéro n’existe pas, pas plus dans le champ numérique que dans le monde physique. Pour autant, renoncer à un immense potentiel de transformation au nom du risque serait une erreur stratégique majeure. Le véritable danger serait le renoncement.

De la défense passive à la résilience stratégique

Le paradigme doit changer. La cybersécurité a longtemps été reléguée aux sous-sols de la DSI, perçue comme un centre de coûts, une variable d’ajustement technique et un frein à l’agilité opérationnelle. Cette vision est devenue obsolète et surtout dangereuse. La sécurité numérique est aujourd’hui un actif immatériel majeur, pilier de la valeur, réputation et pérennité de l’entreprise.

De plus, la fulgurance des attaques dopées à l’IA condamne à l'échec toute posture purement réactive dans laquelle la cybersécurité serait seulement une succession d’ajustements techniques au coup par coup.

Elle doit devenir structurelle et s’articuler autour de principes fondamentaux :

- Faire de la cyber un enjeu stratégique pour l’entreprise : le risque cyber doit sortir de sa bulle d’expertise pour intégrer la gouvernance au plus haut niveau. La cybersécurité, de par son impact sur le chiffre d'affaires, la responsabilité juridique ou encore la confiance client doit figurer à l’ordre du jour des comités de direction au même titre que le risque financier, l’innovation ou encore les enjeux environnementaux et sociaux.

- Se défendre à armes égales : exploiter la puissance de l’IA défensive pour détecter et neutraliser les menaces

- Objectiver la résilience plutôt que l’infaillibilité : L’illusion de la forteresse 100% étanche est une quête du Graal qui épuise et ne garantit pas l’imprévisible. La stratégie doit s’orienter vers une anticipation effective des plans de continuité d’activité capables d’absorber l’accident cyber.

L’humain reste le premier acteur de la sécurité du numérique

Beaucoup d’attaques relèvent de failles très simples, qui pourraient être facilement corrigées, comme le fait d’attacher sa ceinture en voiture n'empêche pas les accidents graves mais augmente considérablement la sécurité des passagers. Le respect de règles d’hygiène numérique élémentaires et une bonne sensibilisation des acteurs aux événements inhabituels améliorent fortement la sécurité de l’entreprise.

Aucune technologie, aussi sophistiquée soit-elle, ne pourra jamais remplacer le discernement humain. N’oublions pas que 70% des attaques réussies impliquent le facteur humain et qu’il est donc essentiel de rendre chacun acteur de la sécurité globale de l’entreprise.

Quelques bonnes pratiques simples peuvent ici être rappelées :

- Séparer les usages et éviter d’utiliser un même mot de passe pour plusieurs services ou encore proscrire absolument les mots de passe partagés entre plusieurs personnes.

- Généraliser le double facteur d’authentification (via application idéalement ou canal différenciant) comme sur la très grande majorité des services bancaires. Ce deuxième facteur, dit MFA, constitue un filet de sécurité important.

- Sensibiliser régulièrement l’ensemble de vos personnels et partenaires à rester vigilants s’ils reçoivent des messages étranges ou non sollicités, à signaler tous les messages anormaux et à ne pas y répondre.

- Entretenir le patrimoine numérique en assurant la mise à jour régulière de vos applications et systèmes.

- Appliquer les principes de moindre privilège et activer seulement les services qui sont utiles à vos collaborateurs.

Tout cela doit s’inscrire dans une culture proactive de la confiance et de la vigilance, bien loin des simples techniques de culpabilisation. Formé et valorisé, le collaborateur devient le premier pare-feu d’une organisation. Il ne faut pas subir le risque cyber, mais reprendre le contrôle de son avenir numérique.