Une démarche de sécurité qui commence par le choix d’un outil ou d’une liste de bonnes pratiques part rarement du bon endroit. Les mesures les plus efficaces sont presque toujours celles qui découlent d’une poignée de questions posées en amont, sur l’entreprise elle-même avant de l’être sur la technique.
Qui êtes-vous, et pourquoi seriez-vous une cible ?
La première question à se poser porte sur le contexte de l’entreprise, pas sur ses systèmes.
Une forte concurrence sur son marché, une tension dans le recrutement, un capital scientifique ou technique important, changent la nature du risque bien avant qu’un seul pare-feu soit configuré.
Il faut aussi se demander si l’activité est réglementée : la finance, la santé, l’énergie et le transport ont chacun leurs propres exigences.
Quel est le profil des utilisateurs du système d’information ? Dans quelle mesure l’entreprise dépend-elle de sous-traitants pour fonctionner ?
Ces éléments dessinent un profil de risque propre à chaque organisation, qu’aucun référentiel générique ne peut deviner à sa place.
Une idée reçue a la vie dure : penser qu’une petite structure présente trop peu d’intérêt pour attirer l’attention d’un attaquant.
C’est rarement vrai. Dès qu’il y a de l’argent, il y a un intérêt, et une bonne partie des attaques ne cible personne en particulier : elles cherchent simplement une porte mal fermée.
Que perdriez-vous réellement ?
Deuxième question, souvent négligée : qu’est-ce que l’entreprise a concrètement à perdre ? Trois scénarios méritent d’être posés froidement.
Que se passerait-il si le site, le CRM ou l’ERP étaient interrompus pendant plusieurs heures, voire plusieurs jours ?
Que se passerait-il si les données des clients, les maquettes produits ou le code source venaient à être divulgués ?
Et que se passerait-il si ces mêmes données étaient modifiées à l’insu de l’entreprise, sans même être volées ?
Ces trois questions couvrent à elles seules l’essentiel de ce qu’on cherche à protéger en sécurité de l’information : la disponibilité, la confidentialité et l’intégrité.
Elles ont aussi le mérite de rendre le risque concret pour une direction qui n’a pas de culture technique : on ne parle plus de vulnérabilités abstraites, mais d’un site de production à l’arrêt ou d’un plan produit entre les mains d’un concurrent.
D’où viendrait le problème ?
La menace ne se limite pas au pirate informatique isolé ou à l’État hostile qu’on imagine spontanément.
Un concurrent, un ancien collaborateur mécontent, une simple panne matérielle ou une erreur de saisie peuvent produire exactement les mêmes conséquences qu’une cyberattaque ciblée.
Du côté des failles qui rendent ces scénarios possibles, on retrouve des constantes. La crédulité humaine face à un message bien construit, des vulnérabilités techniques non corrigées ou une mauvaise configuration en font partie.
S’y ajoutent des données exposées par accident, le recours à des outils ou des IA non validés par l’entreprise, des mots de passe faibles, ou une absence de cloisonnement qui permet à un incident localisé de se propager à l’ensemble du système.
Aucune de ces failles n’exige un attaquant sophistiqué pour être exploitée.
Avec quels moyens peut-on agir ?
Une démarche de sécurité qui ignore les moyens réels de l’entreprise, ses compétences internes, le temps disponible, les ressources humaines et le budget, produit des plans qui restent sur le papier.
C’est d’ailleurs l’une des causes les plus fréquentes d’échec : des mesures pensées pour une structure plus grande ou mieux dotée, qui ne survivent pas au premier trimestre.
La sécurité fonctionne quand les mesures sont pensées à partir de ce que fait réellement l’entreprise, ses métiers, ses contraintes, son rythme, plutôt qu’à partir d’un cadre théorique plaqué de l’extérieur.
Structurer la réponse en quatre chantiers
Une fois ces questions posées, la réponse peut se construire autour de quatre chantiers qui se complètent.
S’organiser d’abord : identifier ses risques, cerner le cadre réglementaire applicable, définir une politique de sécurité cohérente avec le contexte identifié plus haut, et la décliner en rôles et responsabilités clairs pour qu’elle ne reste pas un document sans porteur.
Se protéger ensuite : sensibiliser le personnel, qui reste la première ligne de défense face à la crédulité évoquée plus haut, et sécuriser les communications comme les infrastructures.
Se défendre également : mettre en place une capacité de supervision adaptée à la taille de l’organisation, assurer une veille sur les menaces et les vulnérabilités, et auditer régulièrement ses systèmes, ses tiers et ses processus plutôt que de supposer que tout fonctionne comme prévu.
Devenir résiliente enfin : un plan de sauvegarde cohérent avec les impacts identifiés plus haut, un plan de continuité et de reprise d’activité, et une procédure de gestion de crise testée avant d’en avoir besoin.
Un travail continu, pas un projet ponctuel
Cette logique, identifier ses enjeux, en déduire ses risques, définir des règles adaptées, appliquer des mesures cohérentes avec ses moyens et ses impacts, rejoint largement ce qu’exige une norme comme ISO 27001 pour les entreprises qui vont jusqu’à la certification.
Elle reste pertinente pour toute organisation, certifiée ou non.
Les menaces évoluent, la sécurité doit donc évoluer avec elles. Ce n’est pas un projet qu’on clôture, c’est un travail qui se poursuit au fil de l’activité.
HoliRisk accompagne les dirigeants et les RSSI dans la construction d’une démarche de sécurité proportionnée à leur contexte, leurs risques et leurs moyens. Échangeons sur votre situation.