La gestion des risques dans un monde hyperconnecté
Chaque nouvelle connexion étend la zone susceptible d’être attaquée, chaque intégration avec un fournisseur ou une solution cloud ajoute des points de vulnérabilité. La solution ne réside pas dans l’acquisition d’un nouvel outil mais dans l’établissement d’une gouvernance et d’une gestion des risques et conformités (GRC) adaptée à l’envergure de l’entreprise. Plus de connectivité entraîne certes plus de capacités mais aussi plus de risques.
Les entreprises modernes opèrent en réseau, reliant terminaux, applications et parties prenantes à travers diverses intégrations et partages de données.
De manière concrète, les risques ne se confinent plus au seul univers IT mais se propagent à travers différents éléments :
- Les terminaux (ordinateurs portables, smartphones, imprimantes, salles de conférence, dispositifs connectés et bâtiments intelligents)
- Les services cloud et SaaS, où la configuration et les permissions d’accès sont souvent les principales failles
- Les fournisseurs et partenaires, qui peuvent gérer des données sensibles ou influencer la résilience de l’entreprise
- Les utilisateurs, de plus en plus impliqués dans les décisions sécuritaires
Avec l’essor de l’automatisation des attaques et de l’intelligence artificielle, les entreprises les plus vulnérables ne sont pas nécessairement celles ciblées par des attaques dites « superhumaines », mais plutôt celles où les responsabilités ne sont pas clairement définies, où les mises à jour sont en retard, et où les plans de réponse sont inefficaces.
Ne pas se contenter d’accumuler les outils
Un programme de sécurité qui stagne n’est souvent pas le résultat d’un manque de compétences, mais plutôt d’une répartition éclatée des responsabilités et d’une approche trop technique du risque plutôt que centrée sur l’impact business.
Une démarche GRC efficace repose sur trois principes fondamentaux :
- Une responsabilité clairement définie : qui est responsable de quoi ?
La connectivité implique une responsabilité partagée, qui peut se diluer si personne n’a une vision globale. Un premier pas consiste à clarifier les responsabilités essentielles :
- Qui est en charge de l’application des correctifs sur les terminaux, serveurs, équipements réseau et services cloud ?
- Quel est le niveau d’accord sur le service (SLA) pour les mises à jour critiques, et comment sont gérées les exceptions ?
- Quel est le processus pour les systèmes anciens qui ne peuvent pas être mis à jour rapidement ?
- Qui gère les identités et les accès, y compris les accès privilégiés et les cycles d’arrivée/départ ?
La clarté est nécessaire, mais insuffisante : les mises à jour et les configurations doivent être régies par des politiques et des plateformes gérées, et non laissées à la discrétion individuelle.
- La visibilité : impossible de protéger ce qu’on ne peut pas voir
Plus il y a de connexions, plus la visibilité devient cruciale pour évaluer les risques. Cela implique de :
- Connaître tout son environnement informatique, y compris le shadow IT et les terminaux non gérés
- Comprendre les connexions entre les systèmes (intégrations, API, accès administrateur)
- Maintenir une cartographie précise des données et de leurs accès
- Surveiller les signaux faibles de compromission, pas seulement essayer de les prévenir
Ce sont souvent des accumulations de petits angles morts qui créent des failles, plutôt qu’un seul gros problème.
- Des décisions de gestion des risques basées sur l’impact business
Il n’est pas nécessaire d’éliminer tous les risques, mais il est crucial de comprendre, d’attribuer et de gérer les risques significatifs en fonction des priorités de l’entreprise. Une approche pragmatique consiste à s’accorder, au niveau de la direction, sur les aspects les plus critiques :
- Quels systèmes, en cas de défaillance, stopperaient l’activité de l’entreprise ?
- Quelles données, si exposées, représenteraient un risque réglementaire ou pour la réputation ?
- Quels fournisseurs ou services cloud seraient difficiles à remplacer rapidement ?
Une fois ces priorités établies, les investissements en sécurité deviennent plus ciblés : moins de formalités, plus de contrôles effectivement réducteurs de risques.
Convertir la connectivité en résilience
La connectivité accrue est désormais la norme pour les entreprises modernes. La véritable question est de savoir si la stratégie de sécurité adoptée a évolué au même rythme.
Plutôt que d’accumuler les outils, il est essentiel de clarifier les responsabilités, d’améliorer la visibilité et de baser les décisions de gestion des risques sur l’impact business. Associée à une culture qui supporte plutôt que de punir, cette approche prépare mieux les entreprises aux défis futurs, qu’ils concernent les deepfakes, Mythos, ou de nouvelles failles de sécurité liées aux fournisseurs.
A propos de l’auteur :
Matt Riley est un dirigeant spécialisé en cybersécurité et sécurité de l’information, actuellement European Head of Information Security chez Sharp Europe, basé au Royaume-Uni. Depuis 2013, il a progressé au sein du groupe Sharp, initialement chez Complete I.T. (acquis par Sharp UK en 2019), évoluant du management opérationnel à la direction de la transformation et de la sécurité, puis à la sécurité de l’information au niveau européen. Avant sa carrière dans la tech, il a occupé des postes de management opérationnel au NHS (Buckinghamshire Healthcare NHS Trust). Il est diplômé d’un Master en Leadership et Management de Buckinghamshire New University.
Ce poste, intitulé « Connectivité accrue ne doit pas rimer avec risque accru », est initialement paru sur Beaboss.fr, le site des dirigeants de petites et moyennes entreprises.
