Une entreprise peut disposer d’un pare-feu, d’une protection des postes et de plusieurs tableaux de bord tout en restant exposée sur un compte administrateur oublié ou une sauvegarde jamais restaurée. La question n’est pas « quel outil acheter ensuite ? », mais « quel scénario pourrait interrompre l’activité et quelle preuve avons-nous que le contrôle fonctionne ? ».
Décrire les scénarios, pas seulement les actifs
Commencez par quelques services essentiels : messagerie, identité, application métier, données financières ou portail client. Pour chacun, examinez les comptes privilégiés, les accès externes, les dépendances et la conséquence d’une indisponibilité ou d’une fuite. Le cadre de cybersécurité du NIST (CSF 2.0) organise cette démarche en six fonctions : gouverner, identifier, protéger, détecter, répondre et rétablir. Il relie les responsabilités de la direction aux mesures opérationnelles.
Un scénario concret est plus utile qu’une liste de faiblesses : « un compte fournisseur compromis permet de modifier des coordonnées bancaires » indique déjà quels accès, validations et journaux examiner. Les risques doivent être discutés avec les métiers qui supporteraient l’impact.
- Noter le service touché, le chemin d’attaque plausible, le responsable et les contrôles existants.
- Identifier les décisions à prendre si le scénario se produit, avant de sélectionner une solution.
Classer les corrections avec des preuves
Une vulnérabilité très médiatisée n’est pas automatiquement la première à corriger dans tous les environnements. Vérifiez si le produit est présent, accessible, exposé et critique. Le catalogue KEV de l’agence américaine CISA recense des vulnérabilités dont l’exploitation est avérée. Il aide à prioriser les corrections, en tenant compte de votre inventaire et de votre exposition réelle. Les comptes sans authentification forte, les accès permanents de prestataires ou les sauvegardes non testées peuvent, eux aussi, justifier une action urgente.
Attribuez chaque correction à un responsable et à une échéance adaptée au risque. Une mesure terminée doit laisser une preuve : configuration contrôlée, accès révoqué, restauration testée ou exercice de réponse documenté.
Inclure les nouveaux usages de l’IA
Les agents IA ajoutent des identités capables de consulter des données ou d’exécuter des actions. Leur gouvernance suppose de savoir qui les crée, qui les approuve, quelles permissions ils reçoivent et comment les désactiver. Les mécanismes exacts varient selon les plateformes et leurs licences ; il faut donc examiner l’environnement réel avant de promettre un contrôle uniforme.
Un inventaire des agents, des propriétaires identifiés et des droits limités au besoin constituent un premier périmètre raisonnable. Les informations sensibles ne doivent pas devenir accessibles à un agent simplement parce qu’il facilite un processus.
Préparer la reprise autant que la prévention
Le comité de sécurité doit voir autre chose qu’un pourcentage de conformité. Un tableau utile présente les scénarios prioritaires, les mesures en attente, les exceptions acceptées, les essais réalisés et les décisions nécessaires. Testez au moins un enchaînement complet : détection, qualification, communication, isolation et restauration d’un service critique. La leçon principale vient souvent d’une dépendance ou d’un rôle mal défini, pas d’une technologie manquante.
La maturité se construit par cycles courts : réduire les expositions les plus importantes, vérifier le résultat et réévaluer quand les usages, partenaires et architectures changent.
À retenir
La bonne priorité combine impact métier, exposition réelle, facilité d’exploitation et capacité de l’organisation à détecter puis rétablir.
