Si demain une cyberattaque paralyse votre entreprise, le problème ne sera pas que «les ordinateurs ne fonctionnent pas». Le problème sera que vous ne pourrez pas vendre, produire, facturer, servir vos clients ni tenir vos engagements.

Et pendant que l'activité est arrêtée, les salaires, les contrats, les pénalités, les réclamations et le dommage à la réputation continuent de courir.

Voir les choses ainsi change tout. La cybersécurité pour les entreprises n'est pas une question informatique, c'est une question d'entreprise.

C'est l'erreur que commettent encore beaucoup d'organisations, traiter la cybersécurité comme une question technique que doit résoudre le service informatique. Elles achètent un antivirus, installent un pare-feu, font une sauvegarde et considèrent que le problème est maîtrisé.

Mais la cybersécurité ne consiste pas à acheter des outils. Elle consiste à décider quels risques l'entreprise peut assumer, ce qu'elle doit protéger, combien elle peut perdre et où elle doit investir pour éviter qu'un incident compromette ses objectifs.

C'est pourquoi la cybersécurité est stratégie, gouvernance, gestion des risques, conformité réglementaire, culture, continuité d'activité et prise de décision. La technologie n'est qu'une partie de la solution.

Points clés

• La cybersécurité pour les entreprises est une décision d'entreprise, pas seulement une tâche technique.
• Gérer, c'est-à-dire décider quoi protéger et pourquoi, passe avant exploiter.
• Un seul e-mail de phishing peut toucher la finance, le juridique, la réputation et la continuité.
• Tout repose sur quatre couches, stratégie, gouvernance, tactique et opération.
• Se conformer à ISO 27001, ENS, NIS2 ou RGPD, c'est prouver la maîtrise, pas accumuler des documents.
• Avant d'acheter des outils, analysez les risques et investissez là où vous réduisez vraiment l'exposition.

En cybersécurité, exploiter n'est pas la même chose que gérer

Une entreprise peut avoir un antivirus, un pare-feu, des sauvegardes, un prestataire informatique et plusieurs outils de protection. Cela ne signifie pas qu'elle gère bien sa cybersécurité.

Exploiter consiste à exécuter des tâches, appliquer des correctifs, examiner des alertes, créer des utilisateurs, bloquer des e-mails malveillants, configurer des systèmes ou restaurer une sauvegarde.

Gérer commence avant. Cela consiste à décider ce qui doit être protégé en premier, quels risques sont acceptables, qui a l'autorité pour les assumer, combien l'entreprise peut investir et comment elle vérifiera que les mesures fonctionnent. Cela répond au quoi, au pourquoi et au pour quoi faire.

La différence semble minime, mais elle change complètement la façon d'investir. Une équipe technique peut corriger cent vulnérabilités et laisser ouverte la seule qui permet d'arrêter la production. Elle peut conserver des sauvegardes qui n'ont jamais été restaurées, engager un SOC sans définir qui répond à ses alertes ou réaliser un pentesting dont les conclusions restent des mois sans correction.

La vision technique demande quel outil manque. La vision stratégique demande quel risque menace l'entreprise.

Les deux sont nécessaires, mais elles doivent être utilisées dans le bon ordre, d'abord on comprend l'activité, ensuite on priorise les risques et, enfin, on sélectionne correctement les personnes, les processus et la technologie nécessaires.

Il y a une règle qu'il convient de retenir avant d'approuver tout achat.

La priorité ne devrait pas être décidée par le fournisseur qui vend un outil. Elle doit être décidée par l'analyse des risques de l'entreprise.

Un e-mail de phishing peut toucher toute l'organisation

Une personne du service financier reçoit un e-mail apparemment envoyé par la direction. Le message demande de vérifier une facture urgente et contient un lien qui imite la page de connexion de Microsoft 365. Elle saisit ses identifiants et l'attaquant parvient à entrer dans son compte.

Cela ressemble au problème d'une seule personne. En réalité, cela peut se transformer en une crise qui touche toute l'entreprise.

La technologie et la cybersécurité doivent révoquer des sessions, bloquer des accès, analyser des journaux, examiner des règles de transfert et déterminer s'il existe d'autres comptes compromis.

La finance doit vérifier si de fausses factures ont été envoyées, des numéros de compte modifiés ou des virements frauduleux demandés.

Le juridique et la protection des données doivent évaluer si des informations personnelles ou confidentielles ont été consultées, conserver les preuves et déterminer s'il existe des obligations de communication ou de notification.

La communication et le service client peuvent devoir répondre à des questions, informer les personnes concernées et protéger la réputation de l'entreprise.

La direction doit prendre des décisions, mobiliser des ressources, prioriser des services, contacter des fournisseurs, évaluer une interruption opérationnelle et coordonner la réponse.

L'incident a commencé par un clic, mais il peut finir par toucher l'argent, les clients, la réputation et la continuité de l'activité.

C'est pourquoi la protection contre le phishing ne se résout pas uniquement avec un filtre de messagerie. Elle exige une authentification multifacteur, des procédures pour valider les paiements, un contrôle des accès, de la formation, des simulations, une capacité de détection et un plan de réponse. Et une chose souvent oubliée, si une personne craint d'être blâmée, elle mettra probablement plus de temps à signaler le problème.

Les quatre couches que toute entreprise doit gérer

La cybersécurité d'entreprise peut se comprendre à travers quatre niveaux. Ce ne sont pas des services séparés, mais des parties d'une même chaîne.

• Stratégie. Décide ce que l'entreprise doit protéger et pourquoi. Elle part des objectifs de l'entreprise, des processus critiques et de l'impact de perdre des informations, d'arrêter un service ou de manquer à un contrat.
• Gouvernance. Établit qui décide, qui supervise et qui répond. Elle définit les responsabilités, les politiques, les indicateurs, les exceptions et les canaux de reporting pour que la sécurité ne reste pas dans un vide.
• Tactique. Transforme les risques en feuille de route. Elle priorise les projets, les responsables, le budget et les dates, de la protection de la messagerie à la gestion des accès, la continuité, les audits, la formation ou le pentesting.
• Opération. Maintient les contrôles en fonctionnement chaque jour. Elle inclut la supervision, les correctifs, les sauvegardes, la gestion des utilisateurs, la réponse aux incidents et la récupération.

L'idée essentielle est simple. La stratégie fixe le cap, la gouvernance attribue les responsabilités, la tactique organise le travail et l'opération l'exécute.

Si l'une des quatre échoue, des problèmes apparaissent. Sans stratégie, on achète des solutions sans critère. Sans gouvernance, personne ne prend de décisions. Sans tactique, tout paraît urgent. Sans opération, les plans restent des documents.

La culture de cybersécurité se prouve dans les décisions

La formation est importante, mais la culture ne se crée pas uniquement avec un cours annuel. Elle se crée par les décisions que l'entreprise répète chaque jour.

Si la direction évite l'authentification multifacteur parce qu'elle la trouve gênante, le reste de l'organisation comprend que les contrôles sont facultatifs. Si un responsable exige un paiement urgent sans suivre la procédure de validation, il transmet que la vitesse compte plus que la sécurité. Si une personne signale une erreur et reçoit une réprimande publique, le prochain incident mettra plus de temps à atteindre la bonne équipe.

Une bonne culture de cybersécurité permet à chaque personne de comprendre quelles informations elle manipule, quels risques existent à son poste et que faire quand elle détecte quelque chose d'étrange.

La formation doit s'adapter aux fonctions réelles. La finance doit reconnaître la fraude au président, les factures manipulées et les changements de compte bancaire. Les ressources humaines doivent protéger la documentation personnelle et les processus d'arrivée et de départ. Le développement doit travailler avec du code sûr, des dépendances et des secrets. La direction doit connaître les risques critiques et savoir quelles décisions lui reviennent pendant une crise.

Les simulations de phishing, les capsules de formation et les rappels périodiques sont utiles quand ils ont un objectif concret, sont mesurés et ne servent pas à humilier celui qui échoue.

L'objectif n'est pas de transformer chaque employé en spécialiste. C'est de faire en sorte qu'il reconnaisse les situations à risque, suive les procédures et sache qui alerter.

Pour renforcer la sensibilisation, des organismes comme l'INCIBE proposent des ressources et un accompagnement pour les entreprises.

Se conformer n'est pas collectionner des documents

La conformité réglementaire fait partie de la cybersécurité, mais elle ne devrait pas devenir une activité séparée de l'entreprise.

La norme ISO 27001 aide à établir un système de management de la sécurité de l'information fondé sur les risques et l'amélioration continue. L'Esquema Nacional de Seguridad définit des exigences pour les systèmes relevant de son périmètre. La directive NIS2 renforce la gestion des risques, la supervision et la réponse aux incidents dans certaines entités. Et le RGPD exige de protéger correctement les données personnelles.

À ces exigences peuvent s'ajouter des obligations contractuelles, des conditions d'assureurs, des exigences de clients, une réglementation sectorielle ou des engagements liés au travail avec les administrations et les grandes entreprises.

Le problème apparaît quand chaque exigence est gérée comme un projet indépendant. Les politiques, les réunions, les contrôles et les preuves sont dupliqués. L'entreprise finit par travailler pour l'audit au lieu d'utiliser l'audit pour s'améliorer.

Une approche plus utile consiste à identifier les contrôles communs, comme l'inventaire, la gestion des accès, les fournisseurs, les incidents, la continuité, la classification de l'information, la formation, l'analyse des risques et la conservation des preuves. Ensuite, on adapte les exigences spécifiques de chaque cadre.

Se conformer ne signifie pas avoir des dossiers pleins de procédures. Cela signifie pouvoir prouver que les risques sont connus, que les mesures sont appliquées et que leur efficacité est révisée.

Si vous traitez des données personnelles, l'Agence espagnole de protection des données publie des guides et des critères d'application utiles.

Dans quoi investir en premier en cybersécurité

Il n'existe pas de liste universelle d'outils. L'investissement dépend du secteur, de la taille, des données traitées, de la dépendance technologique, de l'exposition à internet, des fournisseurs et de l'impact d'une interruption.

Avant d'acheter une nouvelle solution, il convient de répondre à cinq questions.

• Quel processus ou actif voulons-nous protéger?
• Quel scénario de risque voulons-nous réduire?
• Quels contrôles existent déjà?
• Quel impact aurait le fait de ne pas agir?
• Comment saurons-nous si l'investissement a fonctionné?

Dans beaucoup d'entreprises, les premières améliorations n'exigent pas une plateforme sophistiquée. Elles exigent de bien utiliser ce qui existe déjà.

Activer l'authentification multifacteur, supprimer les anciens comptes, réviser les autorisations, vérifier les sauvegardes, mettre à jour les systèmes exposés, protéger la messagerie, documenter les contacts d'urgence et former les équipes peut réduire plus de risque qu'un outil coûteux mal configuré.

Vient ensuite l'amélioration progressive, avec l'inventaire des actifs, la gestion continue des vulnérabilités, l'EDR, la segmentation, la sécurité du cloud, la supervision, les tests de récupération, le pentesting, la révision des applications web et des API, l'évaluation des fournisseurs ou les services gérés de détection et de réponse.

L'investissement doit équilibrer quatre capacités.

• Prévenir, pour réduire la probabilité de réussite d'une attaque.
• Détecter, pour découvrir au plus tôt ce qui a franchi les barrières.
• Répondre, pour contenir l'incident et coordonner les décisions.
• Récupérer, pour rétablir l'activité dans le délai dont l'entreprise a besoin.

Investir uniquement dans la prévention crée un faux sentiment de sécurité. Aucun contrôle n'est infaillible. La résilience naît du fait d'admettre que quelque chose peut échouer et de préparer l'organisation à limiter l'impact.

Pentesting, analyse de vulnérabilités et audits, à quoi sert chacun

Ces services sont souvent confondus, bien qu'ils répondent à des questions différentes.

Une analyse de vulnérabilités cherche des faiblesses connues de manière large et reproductible. Elle permet de détecter des versions obsolètes, des configurations non sécurisées, des services exposés ou des failles connues. Elle est utile pour maintenir une vision continue et prioriser les corrections.

Un pentesting ou test d'intrusion tente d'exploiter des vulnérabilités de manière contrôlée. Son objectif est de vérifier jusqu'où un attaquant pourrait aller, quelles combinaisons de failles sont dangereuses et quel impact réel l'accès aurait.

Un audit de sécurité peut examiner la technologie, les processus, les configurations, les preuves et la conformité. Son périmètre est plus large et dépend de l'objectif défini.

Le hacking éthique apporte de la valeur quand il existe un périmètre clair, une autorisation, des règles d'engagement et un processus de correction ultérieur. Un rapport qui finit archivé ne réduit aucun risque.

Il ne convient pas non plus de traiter le pentesting comme une certification permanente. C'est une photographie prise à un moment précis. Les systèmes changent, de nouvelles vulnérabilités apparaissent et de nouvelles applications sont publiées. C'est pourquoi il doit s'intégrer dans un programme continu de gestion des vulnérabilités, de développement sûr et de révision des changements.

Erreurs fréquentes qui font perdre du temps et de l'argent

• Acheter avant de diagnostiquer. L'outil peut être bon et, malgré tout, ne pas résoudre le risque prioritaire.
• Tout déléguer au prestataire informatique. Le prestataire peut exploiter des systèmes, mais l'entreprise doit décider quel risque elle accepte et quel impact elle peut assumer.
• Confondre avoir des sauvegardes et pouvoir récupérer. Une sauvegarde n'est utile que lorsqu'elle est restaurée avec succès et dans le délai nécessaire.
• Faire un audit et ne pas corriger. Détecter des problèmes sans attribuer de responsables, de dates et de suivi crée un faux sentiment de progrès.
• Former une fois par an. La sensibilisation perd en efficacité si elle n'est pas reliée à des situations réelles et à des comportements concrets.
• Mesurer l'activité au lieu du risque. Le nombre d'alertes, de correctifs ou de cours ne prouve pas à lui seul que l'entreprise est mieux protégée.
• Ne pas préparer la communication. Pendant une crise, le manque de messages, de responsables et de critères peut augmenter le dommage.

Éviter ces erreurs n'exige pas un grand investissement. Cela exige de la clarté, de la discipline et du suivi.

Le feu de maturité, où en est votre entreprise?

Rouge, réactive. L'entreprise agit quand un incident apparaît. Il n'y a pas de responsable clair, les actifs critiques ne sont pas identifiés, les sauvegardes ne sont pas testées et la sécurité dépend de décisions isolées. La priorité doit être d'obtenir de la visibilité, de protéger les accès les plus sensibles, de réviser les sauvegardes, d'identifier les risques critiques et de définir des contacts pour les incidents.

Ambre, en développement. Il existe des outils, des politiques et quelques audits. De la formation est dispensée et une partie des risques a été identifiée, mais les initiatives sont déconnectées. Il manque des métriques, des responsables et une feuille de route commune. La priorité doit être de transformer les actions ponctuelles en un programme continu, avec des objectifs, des responsables, des dates et des indicateurs.

Vert, gérée. La cybersécurité est reliée aux objectifs de l'entreprise. La direction connaît les principaux risques, il existe des responsables, la réponse et la récupération sont testées, et les investissements sont priorisés selon l'impact. Être au vert ne signifie pas être invulnérable. Cela signifie connaître l'exposition, prendre des décisions éclairées et s'améliorer en continu.

Que faire durant les quatre-vingt-dix prochains jours

Il n'est pas nécessaire de lancer un projet gigantesque. Une entreprise peut beaucoup progresser en trois mois si elle travaille avec ordre.

Trente premiers jours, comprendre. Identifier les processus critiques, les systèmes, les données et les fournisseurs essentiels. Nommer un responsable. Réviser les accès privilégiés, l'authentification multifacteur, la protection de la messagerie, l'exposition externe et les sauvegardes. Analyser les incidents précédents et les obligations pertinentes. Le résultat doit être une photographie compréhensible de la situation actuelle.

Jours trente et un à soixante, prioriser. Réaliser une analyse des risques, sélectionner les scénarios les plus importants et les transformer en actions. Chaque mesure doit avoir un responsable, un délai, un coût approximatif et un résultat attendu. Dans cette phase, on peut planifier des revues techniques, des analyses de vulnérabilités, du pentesting, de la formation, des améliorations des sauvegardes, une révision des fournisseurs ou des procédures de réponse. Le résultat doit être une feuille de route réaliste, pas une liste interminable.

Jours soixante et un à quatre-vingt-dix, agir et mesurer. Corriger les failles urgentes, tester une restauration, réviser les accès, dispenser une formation spécifique et réaliser un exercice de réponse. La direction devrait recevoir un tableau de bord bref avec les risques, les actions ouvertes, les décisions en attente et l'évolution. Le résultat doit être une amélioration visible et un système de suivi.

Après les quatre-vingt-dix jours, le cycle continue. Les risques changent quand apparaissent de nouveaux services, fournisseurs, employés, vulnérabilités ou exigences. La cybersécurité est une capacité qui se maintient, pas un projet qui se termine.

Questions fréquentes

Pourquoi la cybersécurité est-elle un problème d'entreprise et pas seulement informatique? Parce qu'un incident n'arrête pas seulement les ordinateurs, il arrête les ventes, la facturation, le service client et le respect des contrats. Les conséquences sont économiques, juridiques et réputationnelles, donc les décisions doivent être prises depuis l'entreprise et pas seulement depuis la technique.

Quelle différence y a-t-il entre une analyse de vulnérabilités, un pentesting et un audit? L'analyse de vulnérabilités détecte des faiblesses connues de manière large et continue. Le pentesting tente de les exploiter de manière contrôlée pour mesurer l'impact réel. L'audit examine la technologie, les processus et la conformité avec un périmètre plus large. Ils se complètent, ils ne se remplacent pas.

Dans quoi mon entreprise devrait-elle investir en premier? Avant d'acheter des outils, il convient d'analyser les risques. Dans la plupart des cas, les premières améliorations sont d'activer l'authentification multifacteur, de réviser les accès et les autorisations, de vérifier les sauvegardes, de mettre à jour les systèmes exposés et de former l'équipe. Elles réduisent en général plus de risque qu'une plateforme chère mal configurée.

L'ISO 27001 ou l'ENS sont-ils obligatoires pour mon entreprise? Cela dépend de votre activité et de vos clients. L'ENS peut être obligatoire pour les organismes du secteur public et pour certains prestataires qui fournissent des services ou des solutions dans son périmètre d'application. L'ISO 27001 est généralement demandée par un grand client comme garantie. NIS2 peut s'appliquer selon le secteur, la taille et l'activité de l'entité, tandis que le RGPD s'applique quand des données personnelles sont traitées. Chez Shield, nous vous aidons à savoir ce qui s'applique à vous et à le préparer.

À quelle fréquence convient-il de faire un pentesting? À titre de référence, beaucoup d'organisations réalisent un pentesting annuel et répètent les tests lorsqu'il y a des changements importants, comme une nouvelle application, une migration, une modification majeure d'infrastructure ou la correction de vulnérabilités critiques. La fréquence adaptée doit être définie selon le risque, l'exposition, les exigences contractuelles et les changements réalisés. Le pentesting est une photographie d'un moment précis, il fonctionne donc mieux dans un programme continu de gestion des vulnérabilités.

La véritable décision d'entreprise

L'entreprise qui attend de subir un incident pour prendre la cybersécurité au sérieux a déjà pris une décision, elle a accepté un risque sans en connaître les conséquences.

Il ne s'agit pas de dépenser plus ni d'accumuler des outils. Il s'agit de savoir ce qui a besoin de protection, ce qui peut arrêter l'activité, quelles obligations doivent être respectées et quel investissement réduit réellement l'exposition.

La cybersécurité cesse d'être un problème purement technique quand la direction commence à poser les bonnes questions, que peut-il arriver, quel impact cela aurait-il, qui doit décider et comment l'organisation se rétablira-t-elle.

Chez Shield Cybersecurity, nous aidons à répondre à ces questions et à les transformer en actions, avec des services de vCISO et CISO as a Service, analyse des risques, plans directeurs, audits de sécurité, pentesting, hacking éthique, analyse de vulnérabilités, formation, simulations de phishing et préparation aux incidents.

L'objectif n'est pas de vendre de la technologie inutile. C'est d'investir là où cela compte vraiment, de réduire les risques qui menacent l'activité et de construire une organisation prête à prévenir, répondre et récupérer.

Par où commencer? Demandez un rapport d'état gratuit de votre cybersécurité et nous vous dirons, en langage d'entreprise, quoi protéger en premier.