par Bernard Laur
Si on plonge dans le détail des chiffres (slides 3 et suivants) on constate que l’an passé plus d’un million de personnes ont été victimes des pirates avec des prélèvements sur des comptes bancaires, des hameçonnages par des mails, des faux ordres de virement, la menace des rançongiciels, des violations de données personnelles, …
Du
côté des entreprises, on estime que deux tiers d’entre elles ont été victimes
d’au moins une attaque et souvent elles ne s’en sont même pas aperçues. La
liste des incidents connus, slides 4 et 5, est impressionnante et ce ne sont
que les incidents connus et publiés. Le reste est ignoré.
Outre
les détournements de fonds, les extorsions et les chantages il y a surtout le
vol de données. Il faut être clair. Aujourd’hui toutes vos données personnelles
et tous vos petits secrets sont connus des pirates. Personne n’y échappe. C’est
une véritable petite industrie. Les pirates pénètrent tous les sites contenant
des données nominatives, les copient en quelques instants et les stockent sur
leurs serveurs puis les agrègent et les valident. Ils disposent ainsi d’un
profil complet de chacun d’entre nous et les proposent à qui veut bien les
acheter.
Les
pertes au niveau mondial sont considérables. On estime qu’elles sont comprises
entre 10.500 et 23.000 milliards de dollars et ces montants sont en forte
augmentation. Ils auraient presque triplé au cours des cinq dernières années.
C'est un fléau mondial qui se traduit par le développement de mafias puissantes
et dangereuses. Sans compter le jeu trouble des états hostiles comme la Chine,
la Russie ou la Corée du Nord.
Or, face à ce péril, les entreprises et les administrations sont assez démunies. Elles ont du mal à mettre en œuvre une stratégie efficace et à mobiliser les moyens nécessaires. Lorsqu’on analyse les incidents connus on constate que ces organisations réagissent trop lentement, sans compter les très nombreux cas où elles ne réagissent pas du tout car elles ne se sont aperçues de rien. En moyenne le délai de réaction est compris entre 30 et 45 jours. Or les voleurs agissent en quelques minutes, voire en une poignée de secondes.
Mais
le plus étonnant est le fait que 70 % des attaques exploitent le même trou dans
la raquette (slides 8). En général, ce sont de graves défauts d’organisation de
l’exploitation des serveurs et des réseaux et plus généralement la faiblesse de
la gouvernance des données.
Les deux faces de l’Intelligence Artificielle
Mais
l’Intelligence Artificielle permet aussi de lutter contre le piratage en
détectant instantanément des mouvements anormaux constatés sur le réseau, sur
un des serveurs ou sur une base de données qu’un professionnel même très averti
et disponible aurait du mal à détecter. Le système à base d’IA est capable de
mettre en œuvre instantanément des mesures permettant de bloquer l’intrusion.
Il est aussi possible, grâce à l’IA, de mieux gérer les données et de protéger
plus efficacement les informations personnelles.
Il
est pour cela nécessaire de mettre en œuvre des SOC (Security Operations
Center) et des VOC (Vulnerability Operations Center) utilisant des agents IA.
Ces systèmes réagissent immédiatement à toute attaque et mettent immédiatement
l’intru en quarantaine. Il est ensuite possible de mettre en œuvre une des
nombreuses parades capables de répondre à presque tous les types d’attaques
possibles (slide 15).
A
ces risques s’ajoutent les difficultés liées à l’insaisissable Shadow AI. C’est
un problème peu visible mais certain, lié à l’utilisation sans contrôle et sans
sécurisation d’un système d’IA Générative comme la version gratuite de ChatGPT
ou de Gemini par les salariés de l’entreprise comme ils le font à domicile. Sans
véritablement s’en rendre compte ils peuvent en utilisant des informations
stratégiques et confidentielles de l’entreprise dans leurs prompts les voir
recyclées par ces mêmes IA et donc accédées par des personnalités externes et
concurrentes ou mal intentionnées. Ainsi via les recherches effectuées par un salarié
du service marketing ou du département de R&D, un concurrent peut être
amené à détecter, voire à pouvoir prendre connaissance de ce que prépare
l’entreprise.
De
même de nouveaux LLM très puissants comme Mythos ont des capacités d’analyse
offensive redoutables qui peuvent déstabiliser un grand nombre d’autres
entreprises.
On
s’aperçoit par ailleurs que l’arrivé récente des agents AI autonomes, qui est
perçue comme une opportunité majeure, comporte aussi des risques importants de
perte de contrôle de ces agents par les personnes et les entreprises qui les
ont mis en œuvre, induisant en cela des risques sécuritaires critiques.
Pour
éviter ces situations dommageables il est aujourd’hui absolument impératif de
mettre en place des outils et une gouvernance efficace dans des délais courts.
La gouvernance est constituée par divers mesures simples que chaque professionnel connait mais, l’expérience le montre, ils ont souvent tendance à les oublier. Parmi ces mesures les plus importantes sont :
· Avoir
une stratégie globale de sécurité qui permette de concevoir et de construire un
dispositif de sécurité cohérent et efficace fédérant sécurité informatique,
cybersécurité et sécurité IA. Sans elle il est difficile de s’assurer de
l’efficacité des multiples outils et mesures mis en oeuvre. Des méthodologies
d’approche globale telles que « Zero Trust » deviennent
incontournables.
Il faut ensuite
blinder tous les accès aux systèmes et notamment aux données de façon à être
certain à 100 % que la personne qui se connecte est bien celle qui est
autorisée à le faire. Ceci est, par exemple, obtenu grâce à une double (ou
multiple) authentification et devra par exemple intégrer l’authentification des
agents IA utilisés.
· Autre
point clés, il est nécessaire de sécuriser la « supply chain », c’est
à dire tous les accès des partenaires notamment des fournisseurs et des
sous-traitants. L’expérience montre que c’est un des moyens d’intrusion des
pirates les plus fréquents.
· On
doit aussi crypter toutes les données sensibles et notamment toutes les
informations personnelles. De plus les clés de cryptage doivent être rendues
inaccessibles. Toute tentative d’escalade des privilèges doit être détectée et
le cas échéant bloquée.
· Il
faut renforcer les SOC et les VOC (Security Operations Center et Vulnerability
Operations Center) avec des agents IA puissants et efficaces.
· Une
attention particulière doit être portée à l’application de la réglementation de
sécurité. Elle est vaste et complexe : ISO 27001, NIS2, DORA, RGPD,
ISO/IEC 27017, …
· En
matière de cloud il faut être très attentif aux risques liés à l’extra-territorialité
(FISA, Cloud Act) et aux risques de coupure de services par des puissances
étrangères. Il faut pour cela ne pas stocker des données sensibles ni effectuer
des traitements vitaux sur des sites qui ne sont pas souverains (non certifiés
SecNumCloud ou équivalent).
· Et
surtout il faut largement communiquer les règles de sécurité de base, former
toutes les personnes concernées et leur fournir une assistance réactive et de
qualité.
Le
point le plus fragile des systèmes est actuellement constitué par le manque
d’outils permettant une administration, supervision, détection, intervention
globale et consolidée sur le système d’information, dans des délais cohérents
avec les risques, prenant en compte à la fois les systèmes, les applications,
les réseaux dans un contexte hybride (multicloud, systèmes internes) notamment
dans les grandes organisations fonctionnant dans de nombreux pays et avec de
nombreuses filiales ou partenaires. Il existe des plateformes unifiées comme
celles de Microsoft Security, de CrowdStrike Falcon Plateform ou de Palo Alto
Networks qui couvrent entre 70 et 85 % du périmètre à sécuriser mais le marché
est en attente d’outils capables d’une couverture globale (multi-systèmes,
multi-fournisseurs) et intégrant une IA avancée prenant en charge
l’intervention au-delà de la supervision.
Contrairement à ce qui est souvent répété il existe déjà de nombreux moyens permettant de renforcer la sécurité des systèmes d’information. Parmi ceux-ci citons :
· L’approche
Globale « Zero Trust », « SaSE » (slide 21),
· Le
MFA (Multi Factor Authentification), le Passwordless et le PassKeys (slide 22),
· La
mise sous contrôle des Agents IA (slide 23),
· Le
chiffrement, l’anonymisation, la pseudonymisation et à terme le cryptage
quantique (slide 24),
· Le
renforcement des SOC et des VOC avec des agents IA (slide 25),
· Le
développement de la souveraineté numérique et de la résilience pour garantir la
continuité de service (slide 27).
· La
maîtrise des règlements et des lois qui sont très nombreux et finissent par
constituer un « enfer » réglementaire (slides 29 à 31)
Comme on le voit les opérations à mener sont nombreuses et délicates. Pour y arriver il est indispensable de développer dans l’entreprise une culture de la sécurité. Il est souvent difficile d’y arriver car très fréquemment la culture technique de l’entreprise nécessaire est inexistante. De plus l’investissement en cybersécurité est souvent insuffisant, ce qui se traduit par un grave sous-équipement.
Un avenir complexe et difficile
En termes de cybersécurité, 2025 a été pire que 2024, elle-même pire que 2023, elle-même pire que 2022, …. Dans ces conditions, que nous réservent 2026 et 2027 ?
En
2025 le nombre d’attaques de ministères, d’administrations, de services
publics, de sociétés majeures et de PME / ETI a battu tous les records :
67 % des entreprises françaises ont été victimes d’une cyberattaque. A cela
s’ajoute le fait qu’en un an le nombre de violations d’informations
personnelles a doublé.
Le
retour d’expérience sur ce qui s’est passé en 2025 et les challenges majeurs
pour 2026 (dont certains marqués par l’urgence) situent les enjeux et les
priorités à venir :
· Maîtriser l‘IA générative et l’agentique, et notamment le
shadow AI, incontestables catalyseurs et générateurs d’une grande part des
problèmes rencontrés. L’IA est-elle seulement le problème ou peut-elle
constituer la solution ?
· Faire évoluer la gestion des identités et la sécurité
d’accès
dont les faiblesses sont à l’origine de 80% des attaques.
· Contrôler la supply-chain
d’approvisionnement et la dépendance logicielle pour diminuer la surface
d’attaque.
· Développer une administration globale du Cloud, du SaaS et plus
généralement du système d’information afin de le sécuriser et d’en garantir la
résilience.
· Assurer la conformité règlementaire et la souveraineté dans le cadre
d’une véritable gouvernance cyber-sécuritaire.
Ce
texte est un résumé de la conférence faite par Bernard Laur au Club de la
Gouvernance des Systèmes d’Information le Mercredi 24 Juin 2026 : « Les
nouveaux enjeux de la cybersécurité ». Elle a permis de faire le point
sur ce sujet et de répondre à quelques questions clés comme :
- Quel est
l’importance et la nature des risques liés à la cybersécurité ?
- Quid de la
confidentialité des données personnelles ?
- Comment les
pirates pénètrent les réseaux et accèdent aux données
confidentielles ?
- Pour quelles
raisons les entreprises et les administrations réagissent si tardivement
aux incidents de sécurité ?
- Pourquoi
l’Intelligence Artificielle modifie considérablement la situation ?
- Que faire
pour diminuer les risques liés aux cyberattaques ?
- Quels sont
les méthodes et les outils à mettre en œuvre ?
- Quelles sont
les priorités pour améliorer la situation ?
- ….
- La situation
actuelle de la cybersécurité Slide 3
- L’Intelligence
Artificielle a tout changé Slide 12
- Et maintenant
que faire ? Slide 17
- La réglementation Slide 28
- La meilleure
défense c’est l’attaque Slide 31
