Les failles de sécurité sont souvent dues à des contrôles mal configurés.
Cessons de confondre volume et efficacité. Aujourd’hui, la plupart des entreprises ont déployé plus de 40 outils de cybersécurité : pare-feu, systèmes de protection des points d’accès, plateformes SIEM, etc. Pourtant, 61 % des responsables de la cybersécurité ont signalé une violation au cours des 12 derniers mois en raison d’une mauvaise configuration ou d’une défaillance des contrôles. Il ne s’agit pas d’une pénurie d’outils. C’est un problème de clarté.
Les outils de sécurité ne fonctionnent pas s’ils ne sont pas correctement configurés. Et ils ne restent efficaces que s’ils le restent. L’hypothèse dangereuse que font de nombreuses entreprises est la suivante : « Nous avons acheté les meilleurs outils, nous devons donc être protégés : « Nous avons acheté les meilleurs outils, nous devons donc être protégés ». Cette hypothèse vous fait perdre du temps, de l’argent et vous expose à des risques.
Vous pouvez disposer des systèmes les plus avancés, mais si les contrôles ne sont pas adaptés aux besoins réels de votre entreprise, ou pire, s’ils sont laissés dans les paramètres par défaut, ils deviennent des obligations. Les paramètres qui ne sont pas revus régulièrement dérivent. Les menaces changent. Les activités de l’entreprise évoluent. Résultat ? Des contrôles qui semblent impressionnants sur le papier, mais qui ne fonctionnent pas quand il le faut.
La véritable sécurité commence par le fait de savoir si vos configurations actuelles vous protègent réellement, et pas seulement de vérifier si les outils sont installés. C’est là que la plupart des organisations échouent. La violation n’est pas une surprise. La surprise, c’est le temps qu’il faut pour se rendre compte que les contrôles n’étaient pas efficaces au départ.
L’augmentation du nombre d’outils de sécurité n’améliore pas automatiquement la cybersécurité
Plus n’est pas mieux. Mieux vaut être plus intelligent. Les entreprises sont encore coincées dans un état d’esprit où la sécurité passe par l’achat d’outils supplémentaires. Mais les attaquants ne se soucient pas du nombre de plateformes pour lesquelles vous avez signé des contrats. Ce qui les intéresse, c’est de savoir si vos défenses sont mal configurées, car c’est là qu’ils s’introduisent.
Nous avons vu les conséquences réelles de l’échec de cet état d’esprit. En 2024, Blue Shield of California a été victime d’une violation qui a exposé les données de 4,7 millions de membres, à cause d’une simple erreur de configuration du site web. Il ne s’agissait pas d’un manque de logiciel. Il s’agissait d’un manque de surveillance sur quelque chose qui aurait dû être routinier.
Cela devrait vous mettre la puce à l’oreille. Le problème n’est pas que votre entreprise manque d’outils, mais que nombre d’entre eux ne sont pas alignés, intégrés ou testés par rapport aux risques réels. Et la complexité joue contre vous. Plus vous ajoutez d’outils sans une gouvernance et une interopérabilité claires, plus il est difficile d’assurer la protection.
Les dirigeants doivent exiger des comptes clairs sur la manière dont ces outils fonctionnent ensemble et sur la prévention active des menaces les plus importantes pour votre entreprise. Si votre pile de sécurité n’est qu’un patchwork de contrôles déconnectés, vous n’êtes pas plus sûr, vous êtes juste plus difficile à gérer.
N’investissez pas dans les apparences. Investissez dans la performance, la validation et la pertinence. Le monde évolue rapidement. Les opérations de sécurité doivent en faire autant.
L’amélioration de l’efficacité de la cybersécurité passe par un changement d’organisation
La sécurité ne peut être isolée. Elle n’est pas l’apanage de l’équipe de cybersécurité, mais nécessite un alignement total sur les opérations informatiques, les dirigeants d’entreprise et les propriétaires d’actifs.Elle nécessite un alignement total sur les opérations informatiques, les dirigeants d’entreprise et les propriétaires d’actifs. L’efficacité du contrôle commence par la compréhension de ce que vous protégez, de son importance et des personnes qui doivent être impliquées pour en assurer la sécurité.
Lorsque les équipes travaillent en vase clos, des lacunes se créent. Pour que les contrôles fonctionnent, les personnes les plus proches des systèmes, les propriétaires de vos actifs, doivent faire partie de la solution. Ils savent où se trouvent les données sensibles, quels systèmes ne peuvent pas être mis hors ligne et quelles fonctions de l’entreprise seraient les plus touchées en cas d’attaque. En l’absence de ces informations, les décisions en matière de sécurité sont prises dans le vide. C’est une vulnérabilité.
Les équipes de sécurité doivent travailler comme des systèmes intégrés avec le reste de l’entreprise. Sans collaboration, vous ne pouvez pas attendre de vos contrôles des performances cohérentes et réalistes. Et ce n’est pas tout. La formation doit également évoluer. Il ne suffit pas de former le personnel de sécurité aux outils, il lui faut un contexte clair sur les systèmes qu’il protège et les opérations commerciales qui les sous-tendent.
Si vos équipes ne comprennent pas quelles menaces sont urgentes et pourquoi, elles n’optimiseront pas pour obtenir les bons résultats. Vous finissez par protéger les mauvaises choses ou par appliquer les mauvais contrôles, alors que le risque réel reste intact.
De haut en bas, les organisations doivent adapter leur modèle de fonctionnement. Recruter les bonnes personnes. Partager les responsabilités. Lier les performances en matière de sécurité aux résultats de l’entreprise. C’est ainsi que vous comblerez le fossé entre la présence et l’efficacité des contrôles.
Mesures axées sur les résultats (ODM) et accords de niveau de protection (PLA)
Soyons clairs : si vous ne mesurez pas la sécurité en fonction des résultats réels, vous ne faites que deviner. Les mesures axées sur les résultats (ODM) et les accords de niveau de protection (PLA) vous donnent une image réelle de l’efficacité de vos défenses dans la pratique, et pas seulement en théorie.
Les ODM montrent la rapidité avec laquelle les erreurs de configuration sont résolues. Ils révèlent si vos systèmes de détection peuvent réellement identifier les menaces actives. Les APL vont plus loin en définissant des attentes en matière de performances, la manière dont une couche de défense est censée fonctionner, dans quelles conditions et à partir de quels seuils. Ensemble, ils font de la sécurité quelque chose de mesurable, de reproductible et d’améliorable.
Sans ces mesures, vous gérez la sécurité sur la base d’hypothèses. Cela ne fonctionne pas. Les attaquants ne devinent pas, ils testent vos défenses en permanence. Vous avez besoin de données qui prouvent que vos contrôles sont adaptés, qu’ils fonctionnent et qu’ils sont alignés sur les priorités réelles de l’entreprise.
Il s’agit également d’une question de responsabilité. Si vous ne pouvez pas suivre les performances ou démontrer l’efficacité, comment pouvez-vous justifier vos investissements ? Pour les dirigeants, il s’agit de clarifier les choses et d’éliminer les angles morts. Lorsque des ODM et des PLA sont en place, vous ne vous contentez pas de faire confiance à vos contrôles, vous savez qu’ils fonctionnent.
L’avantage n’est pas seulement une meilleure visibilité, mais aussi de meilleures décisions. Les priorités sont mieux ciblées. Les ressources vont là où elles sont le plus nécessaires. Et votre organisation renforce sa résilience en s’appuyant sur des preuves, et non sur des espoirs. C’est ce qui rend un programme de sécurité moderne fiable et évolutif.
L’optimisation continue des contrôles de sécurité est essentielle pour suivre l’évolution des menaces.
Les contrôles de sécurité se dégradent s’ils sont statiques. Ce qui fonctionnait il y a trois mois pourrait ne plus fonctionner aujourd’hui, non pas parce que le logiciel a échoué, mais parce que le paysage des menaces a changé et que le contrôle n’a pas évolué. C’est cette lacune que les entreprises continuent de sous-estimer : la vitesse à laquelle une protection efficace devient obsolète.
Les cybermenaces évoluent rapidement. De nouvelles vulnérabilités apparaissent. Les attaquants changent de tactique. Pendant ce temps, les environnements cloud évoluent et changent tous les jours. Si vos contrôles ne sont pas régulièrement évalués et ajustés, votre surface de défense s’éloigne de ce qu’elle est censée protéger. Il ne s’agit pas d’un risque hypothétique, cela se produit dans les environnements de production de tous les secteurs d’activité.
Les cycles trimestriels d’application de correctifs et les vérifications annuelles de la configuration ne sont plus adaptés à une entreprise dynamique. Si vous ne pouvez pas valider aujourd’hui si vos couches de prévention et de détection fonctionnent, la sécurité devient réactive. C’est inefficace. Vous avez besoin de contrôles qui s’adaptent aussi rapidement que votre infrastructure et vos adversaires.
Pour cela, il faut intégrer l’optimisation dans les opérations quotidiennes. Vos équipes doivent régulièrement poser des questions difficiles et pertinentes : Ce contrôle est-il toujours en mesure d’atténuer les principaux risques ? Les règles de détection sont-elles alignées sur les profils de menace actuels ? Nos mesures compensatoires sont-elles à jour ou ont-elles expiré en silence ?
La maintenance des contrôles de sécurité ne peut pas être facultative ou abstraite. Il doit s’agir d’un processus structuré avec une appropriation claire, une validation de routine et une itération rapide. Les organisations qui traitent l’optimisation de la sécurité comme un mouvement quotidien, et non comme un projet, sont celles qui gardent une longueur d’avance.
L’optimisation de la sécurité doit être intégrée dans le cycle de vie du système
La sécurité ne peut pas être une réflexion après coup. Si vous essayez de l’ajouter après que les systèmes ont déjà été déployés et fonctionnent, vos contrôles des risques auront du mal à suivre. L’optimisation doit être intégrée dans le cycle de vie, dans la manière dont les systèmes sont conçus, développés, maintenus et mis à l’échelle.
Cela signifie qu’il faut abandonner l’idée que la cybersécurité est une fonction autonome. Ce n’est pas le cas. Il s’agit d’une capacité opérationnelle intégrée au fonctionnement des entreprises modernes. Lorsque les équipes de sécurité travaillent de manière isolée, elles ne peuvent pas comprendre pleinement ce qu’elles protègent, ni comment les systèmes se comportent en production. Cela conduit à des inadéquations entre la logique de contrôle et l’environnement de risque réel.
Les équipes de sécurité doivent travailler aux côtés des ingénieurs informatiques, des développeurs et des propriétaires d’actifs. Ce sont eux qui connaissent les configurations, les flux de travail, les dépendances et l’utilisation réelle des systèmes en question. Sans leur contribution, vous n’avez pas de visibilité claire. Sans leur collaboration, les contrôles ne résistent pas à la pression.
Pour que cette démarche soit durable, les organisations ont besoin d’une structure. Cela inclut des groupes de travail interfonctionnels, une appropriation partagée des décisions relatives aux risques et une intégration dans le cadre plus large de la gestion continue de l’exposition. Cela crée un modèle de travail où chaque changement, qu’il s’agisse de l’infrastructure, du code ou de l’accès, est évalué en fonction de son impact et optimisé en fonction du contexte.
La cohérence des performances dans le monde réel passe par la cohérence des opérations. Les entreprises qui y parviennent donnent la priorité à la reproductibilité, à la connaissance des systèmes et à la discipline des processus. La sécurité devient quelque chose de pratique et d’orienté vers l’action, parce qu’elle est déployée là où c’est important, avec clarté et responsabilité partagée.
L’avenir de la cybersécurité
La plupart des programmes de sécurité reposent encore sur des défenses statiques. On part du principe qu’une fois les contrôles en place, ils sont efficaces jusqu’à preuve du contraire. Ce raisonnement ne correspond plus à la façon dont les menaces opèrent ni à la rapidité avec laquelle les environnements numériques évoluent. Si vos contrôles ne sont pas testés et ajustés régulièrement, vous avez déjà perdu du terrain.
Pour être efficace, la sécurité doit être gérée de manière active, en validant que les protections sont en place, en confirmant qu’elles sont alignées sur la surface de risque actuelle et en s’assurant qu’elles sont efficaces face aux menaces réelles. Il n’y a pas de valeur à long terme dans les contrôles qui étaient efficaces l’année dernière mais qui n’ont pas été modifiés depuis.
Les dirigeants doivent cesser de considérer la sécurité comme une case à cocher pour la conformité ou comme une fonction d’arrière-guichet. La sécurité doit être intégrée dans la manière dont les performances de l’entreprise sont mesurées et gérées. Cela implique de créer des boucles de rétroaction où les données sur les menaces, les cas d’utilisation de l’entreprise et les résultats conduisent à des améliorations de la sécurité, et non à une documentation statique ou à des contrôles historiques.
Il s’agit d’un changement d’état d’esprit. Les organisations qui considèrent les contrôles de cybersécurité comme itératifs et fondés sur des preuves resteront en phase avec les besoins de l’entreprise et maintiendront leur résilience à long terme. L’efficacité opérationnelle s’en trouve également renforcée. Les décisions d’investissement sont plus précises. Les équipes se concentrent moins sur les risques théoriques et davantage sur les risques validés et actuels.
La sécurité est plus efficace lorsqu’elle est directement liée à l’impact. Si un contrôle échoue, vous devez savoir ce que cela signifie pour les utilisateurs, les données et la continuité de l’activité. Cette clarté n’est possible que lorsque les contrôles sont surveillés, testés et adaptés en permanence, et non lorsqu’ils sont supposés fonctionner correctement parce que rien n’a mal tourné… jusqu’à présent.
L’immobilisme n’est pas neutre. En matière de cybersécurité, l’immobilisme est synonyme de risque accru. Les entreprises préparées à l’avenir seront celles qui considèrent la sécurité comme une pratique dynamique, intégrée et en constante évolution.
En conclusion
Si vous mesurez encore la sécurité en fonction du nombre d’outils déployés, vous vous trompez d’indicateur. C’est sur l’efficacité des contrôles, c’est-à-dire sur l’efficacité de vos défenses dans le monde réel, qu’il faut se concentrer. Les violations ne sont pas dues à une pénurie d’outils, mais au fait que trop d’outils n’ont pas été testés, n’ont pas été modifiés ou ne sont pas adaptés à ce qu’il faut protéger.
Aujourd’hui, la sécurité est une fonction de l’adaptabilité. Les menaces évoluent. Les systèmes changent. Les priorités de l’entreprise changent. Si vos contrôles ne sont pas validés et optimisés en permanence, tout sentiment de protection est temporaire et souvent faux.
En tant que chef d’entreprise, votre rôle n’est pas de gérer des configurations ou de choisir des produits. Il consiste à créer un environnement dans lequel les résultats sont mesurables, la responsabilité partagée et les opérations synchronisées avec les risques. Cela signifie qu’il faut soutenir l’alignement interfonctionnel, exiger des mesures de performance fondées sur des données et traiter la sécurité comme une capacité permanente, et non comme un investissement ponctuel.
Ce qui compte, c’est la clarté. Les contrôles fonctionnent ou ne fonctionnent pas. Les organisations qui y parviennent sont celles qui investissent dans la validation, et non dans les hypothèses. En matière de cybersécurité, la confiance ne vient pas du montant que vous dépensez, mais de la certitude que vos défenses fonctionnent au moment le plus important.
