Montée des attaques étatiques et impact croissant sur les entreprises

Inquiétude croissante face aux cyberattaques soutenues par des États

Plus que jamais, les cybermenaces émanant d’États-nations deviennent un véritable risque stratégique pour les entreprises. Il ne s’agit pas d’une spéculation, mais d’une affirmation catégorique de 88 % des responsables de la cybersécurité au Royaume-Uni et aux États-Unis. Il ne s’agit pas de petits pourcentages, mais d’une préoccupation quasi-universelle. Ce qui change, c’est que les menaces ne proviennent plus seulement de pirates isolés ou même de groupes criminels organisés. Nous sommes désormais confrontés à des acteurs étatiques hostiles et bien financés qui opèrent avec précision, patience et persistance.

Ces menaces ne s’annoncent généralement pas par des attaques spectaculaires et perturbatrices. Elles s’infiltrent progressivement dans les réseaux, recueillant silencieusement des données ou s’insérant dans des processus critiques. Une fois qu’elles sont entrées, les dommages potentiels augmentent rapidement : de l’exfiltration de données à l’arrêt des opérations. La surface de menace s’est élargie car chaque connexion numérique d’une organisation peut désormais constituer un point d’entrée potentiel. Si votre infrastructure touche des contrats gouvernementaux, des droits de propriété intellectuelle sensibles ou joue un rôle dans les chaînes d’approvisionnement nationales, vous avez mis une cible sur votre dos.

Ce que cela signifie au niveau de l’exécutif est simple : La cybersécurité est désormais directement liée à la valeur de l’entreprise et à la stabilité nationale. La gouvernance doit refléter cette réalité. Elle ne peut plus être considérée comme une simple fonction informatique. La posture de sécurité est mise sur la table du conseil d’administration, et elle y reste.

Pour les entreprises opérant à l’échelle mondiale, cette question est encore plus cruciale. Contrairement aux frontières physiques, les frontières numériques n’arrêtent pas les attaquants. Nous évoluons dans un monde où le risque circule désormais entre les plateformes cloud, les écosystèmes de fournisseurs et les appareils connectés, le tout en temps réel. C’est pourquoi il est essentiel pour les organisations de détecter les attaques, d’y répondre et de les anticiper avant qu’elles ne prennent de l’ampleur.

Extension des menaces pesant sur les infrastructures critiques et les opérations du secteur privé

Les cyberattaques ne frappent pas seulement les centres de données. Elles touchent les systèmes du monde réel, les transports, les services publics, la logistique. Le signal est clair : si des systèmes numériques gèrent vos opérations, vous êtes concerné. Les agences gouvernementales le signalent déjà. Le Centre national de cybersécurité du Royaume-Uni a expressément désigné les acteurs chinois, russes, iraniens et nord-coréens comme des opérateurs hautement qualifiés et à haut risque. Ces groupes ne se contentent pas de deviner, ils ciblent des systèmes d’importance stratégique.

Un exemple a attiré l’attention du public : l’examen par le gouvernement britannique des autobus fabriqués en Chine et contrôlés à distance. Il ne s’agit pas seulement des transports publics, mais de ce qui se passe lorsque des couches de commande numérique sont installées sur du matériel critique, potentiellement manipulé depuis l’étranger. La même logique s’applique aux réseaux privés qui gèrent les réseaux électriques, les télécommunications ou les infrastructures financières. Les secteurs public et privé sont de plus en plus dépendants l’un de l’autre, ce qui rend la collaboration non négociable.

Les dirigeants doivent penser à leur entreprise au-delà des processus internes. Si vos systèmes sont reliés à une chaîne d’approvisionnement sensible ou s’ils jouent un rôle dans une infrastructure critique, vous avez la responsabilité de supprimer ces vulnérabilités. Les acteurs étatiques recherchent les maillons les plus faibles. Ce lien peut être un fournisseur tiers, un vieux logiciel fonctionnant en arrière-plan ou une mauvaise configuration du cloud.

Le secteur privé est de plus en plus frustré par le soutien limité des pouvoirs publics. Un tiers des entreprises estiment que le secteur public n’en fait pas assez pour les aider à se défendre contre ces menaces sophistiquées. Les chefs d’entreprise doivent combler eux-mêmes cette lacune en investissant dans la détection avancée, en partageant des informations avec des partenaires de confiance et en sécurisant non seulement leurs systèmes, mais aussi leurs écosystèmes.

Ignorez la menace et vous risquez d’être exploité. Affrontez-la avec détermination et vous prendrez l’avantage.

Risques opérationnels, financiers et de réputation importants

Les cybermenaces émanant d’États-nations ont un impact sur tous les niveaux d’une entreprise. Si les attaquants parviennent à accéder à vos systèmes centraux, les conséquences dépassent rapidement le stade du désagrément. Elles se traduisent par des défaillances opérationnelles, des pertes financières et des atteintes à la réputation dont il est difficile de se remettre. Les attaques DNS, par exemple, peuvent mettre hors service des systèmes entiers. Les pannes de cloud, intentionnelles ou exploitées par des acteurs de la menace, peuvent bloquer l’accès à des services essentiels ou perdre des volumes massifs de données sensibles.

Selon une étude récente, 41 % des organisations considèrent ces types de défaillances comme leur principale préoccupation. Les atteintes à la réputation suivent de près, 40 % d’entre elles s’inquiétant de l’impact que les incidents pourraient avoir sur la confiance des clients ou des partenaires, même si la compromission se fait indirectement par l’intermédiaire d’un fournisseur. Enfin, 38 % citent la perturbation de la chaîne d’approvisionnement comme un autre risque majeur. Tous ces risques ont un point commun : ils évoluent rapidement et échappent souvent au contrôle total de l’entreprise, à moins qu’elle ne s’y prépare.

Lorsque les entreprises stockent des données dans des régions connues pour abriter des acteurs adverses, où les gouvernements peuvent directement ou indirectement accéder aux informations ou les intercepter, le risque est encore plus élevé. Près de 35 % des dirigeants ont indiqué qu’il s’agissait d’une préoccupation majeure. Combiné à l’intensification de la pression réglementaire et aux attentes croissantes des parties prenantes concernant la résilience de l’entreprise, le coût de la non-conformité ou de la défaillance d’un système a dépassé le simple impact financier. Il se répercute désormais sur les capacités de leadership et la crédibilité de l’organisation.

Pour cela, il faut que les dirigeants s’alignent. Les équipes chargées de la cybersécurité ne peuvent pas travailler de manière isolée. Elles ont besoin du soutien du conseil d’administration et d’une coordination interfonctionnelle pour mettre en place des cadres solides et réactifs. Si la stratégie consiste uniquement à patcher les systèmes après une attaque, vous avez déjà perdu du terrain.

Fréquence élevée des cyberincidents et conséquences graves

La plupart des entreprises ne se contentent pas de s’inquiéter des cybermenaces, elles les subissent. Près de neuf entreprises sur dix ont signalé au moins un cyberincident au cours de l’année écoulée. Il ne s’agit pas de perturbations mineures. Les violations de données ont touché 31 % des répondants, les attaques de phishing 30 %, les infections par logiciels malveillants 29 % et les atteintes à la sécurité du cloud 27 %. Dans de nombreux cas, il ne s’agit pas seulement de corrections techniques ; les données des employés et des clients finissent par être exposées, ce qui entraîne des défaillances en matière de conformité et des problèmes de confiance à long terme.

Le coût de ces incidents augmente et frappe durement les entreprises. Soixante et onze pour cent des organisations ont été condamnées à une amende pour violation de la sécurité au cours de l’année écoulée. Parmi elles, 30 % ont payé des amendes supérieures à 250 000 livres sterling. Près de la moitié d’entre elles ont été condamnées à des amendes comprises entre 100 001 et 1 million de livres sterling. Ces amendes ne tiennent pas compte des coûts cachés : les retombées pour les dirigeants et les perturbations internes. Un tiers des entreprises touchées ont vu des cadres ou des membres du conseil d’administration licenciés ou sanctionnés en conséquence directe de la violation.

Les dégâts ne s’arrêtent pas là. Dans 18 % des cas de violations majeures impliquant des informations sur les employés, les entreprises ont été contraintes d’interrompre leurs activités ou de modifier l’ensemble de leur stratégie. Dans le contexte actuel, une attaque n’est pas seulement un revers temporaire, elle peut obliger à redéfinir complètement l’activité de l’entreprise.

C’est un signal d’alarme. Les dirigeants devraient considérer les cyberrisques comme faisant partie de la continuité des activités et de la planification des immobilisations, et non comme un simple soutien opérationnel. Le taux d’incidents confirme que les défenses de base ne suffisent pas. Si vous n’intégrez pas dans vos opérations des stratégies dynamiques et informées des menaces, l’exposition est tout simplement trop élevée.

Prendre au sérieux la cybersécurité, c’est reconnaître que les dirigeants seront de plus en plus souvent jugés non seulement sur leurs performances, mais aussi sur la manière dont ils ont protégé l’entreprise contre des menaces à fort impact que tout le monde a vu venir.

Contrôle au niveau du conseil d’administration et augmentation des investissements dans la cyber-résilience

Les cybermenaces parrainées par des États ne sont plus l’apanage des équipes techniques, mais font désormais partie des discussions sur les risques stratégiques dans les conseils d’administration. Les équipes dirigeantes réévaluent la manière dont elles définissent et mesurent la résilience. Les registres des risques sont mis à jour, l’exposition de la chaîne d’approvisionnement fait l’objet d’une attention renouvelée et les stratégies de réponse aux incidents commencent à refléter des niveaux de menace plus réalistes. Il s’agit d’une évolution positive, mais elle n’est pas encore assez rapide. La fréquence des violations importantes et des lourdes pénalités indique un décalage évident entre les ambitions en matière de sécurité et l’état de préparation opérationnelle.

De nombreuses organisations réagissent de manière décisive. Soixante-quatorze pour cent des responsables de la sécurité ont déclaré avoir augmenté leurs investissements dans des initiatives axées sur la résilience. Il s’agit notamment de développer les capacités de renseignement sur les menaces, de mettre à jour les protocoles de réponse et de renforcer les contrôles sur les réseaux tiers. L’objectif est simple : réagir plus rapidement, détecter plus profondément et minimiser les conséquences opérationnelles en cas de compromission des systèmes.

Cependant, la stratégie doit évoluer parallèlement à l’exécution. Les investissements réactifs après un incident ne renforcent pas la sécurité à long terme. Ils ne font que corriger l’exposition à court terme. Le contrôle du conseil d’administration ne doit pas s’arrêter aux examens et à l’établissement du budget, il doit aussi responsabiliser tous les services. La cybersécurité n’est plus l’apanage de l’informatique. Les services juridiques, de conformité, d’approvisionnement et de communication ont tous un rôle à jouer dans la défense de l’entreprise.

Les entreprises préparées savent deux choses : premièrement, la défense parfaite n’existe pas ; deuxièmement, la résilience compte plus que les représailles. Vous n’essayez pas de gagner une guerre numérique, vous essayez d’y survivre sans briser votre entreprise.

Sam Peters, Chief Product Officer chez IO, l’a clairement exprimé : « La résilience, et non les représailles, sera la mesure exacte de la défense nationale et de l’entreprise en 2026. » Cette perspective reflète ce que les équipes les plus intelligentes font dès maintenant, en testant les systèmes de manière agressive, en cartographiant l’exposition à travers leurs chaînes d’approvisionnement et en s’alignant avec les régulateurs pour rester en conformité avec les règles mondiales changeantes.

Faits marquants

• Inquiétude accrue face aux menaces émanant d’États : 88 % des cyberdirigeants au Royaume-Uni et aux États-Unis considèrent désormais les attaques d’États-nations comme un risque majeur pour les entreprises, ce qui pousse les conseils d’administration à considérer la cybersécurité comme une priorité stratégique essentielle plutôt que comme une question technique.
• Élargissement de la cible aux infrastructures et aux entreprises privées : Les pirates informatiques des États-nations ciblent activement les infrastructures critiques et les chaînes d’approvisionnement du secteur privé. Les dirigeants doivent réévaluer l’exposition numérique liée aux systèmes sensibles et exiger une modélisation proactive des menaces dans toutes les opérations connectées.
• Augmentation des coûts liés aux données, à la réputation et aux opérations : Les attaques DNS, les pannes de cloud et les compromissions de la chaîne d’approvisionnement figurent parmi les principaux risques. Les dirigeants devraient intégrer le cyberrisque dans les plans de continuité des activités afin de se protéger contre les perturbations à grande échelle et l’érosion de la marque.
• La fréquence des incidents est élevée et les conséquences sont graves : Près de 90 % des entreprises ont été confrontées à un cyberincident l’année dernière, et nombre d’entre elles ont dû payer des amendes, subir des retombées pour leurs dirigeants ou être contraintes à des changements opérationnels. Les décideurs doivent investir dans des contrôles préventifs et dans la responsabilisation des dirigeants afin de réduire l’exposition aux réglementations et les dommages commerciaux.
• Les conseils d’administration renforcent la résilience, mais des lacunes subsistent : 74 % des responsables de la sécurité déclarent avoir augmenté leurs investissements dans le renseignement sur les menaces et la défense de la chaîne d’approvisionnement, mais les taux d’infraction et les pénalités restent élevés. Les conseils d’administration devraient exiger des critères de résilience mesurables et veiller à l’alignement des fonctions sur l’exécution de la cybersécurité.