La sécurité de l’information ne se résume plus à empêcher un rançongiciel de chiffrer des fichiers. Le panorama de la cybermenace publié par l’ANSSI en 2025 signale une hausse des incidents d’exfiltration de données, alors même que les attaques par rançongiciel reculent légèrement. Ce glissement change la nature du problème : ce n’est plus seulement la disponibilité des systèmes qui est en jeu, mais la confidentialité des informations qui transitent, se stockent et sortent du périmètre de l’entreprise.
Exfiltration de données : le risque que les listes de bonnes pratiques ignorent
La plupart des guides de sécurité informatique se concentrent sur les mots de passe, les mises à jour et les sauvegardes. Ces mesures restent utiles, mais elles protègent avant tout la disponibilité des systèmes. Elles ne répondent pas au scénario où un attaquant copie silencieusement des bases clients, des documents stratégiques ou des données personnelles avant de les revendre ou de les publier.
A lire aussi : Comment l’IA enfreint-elle la loi ?
Surveiller les sorties de données suppose des outils et des réflexes différents. Il faut observer le trafic réseau sortant, détecter les volumes inhabituels de téléchargement, et surtout contrôler les accès privilégiés aux bases de données. Un compte administrateur compromis peut extraire des milliers d’enregistrements sans déclencher d’alerte si aucune règle de détection n’a été configurée.
Les solutions de type DLP (Data Loss Prevention) permettent de poser des règles sur les flux sortants : bloquer l’envoi de fichiers contenant des numéros de carte bancaire, alerter quand un utilisateur copie un volume anormal de documents vers un service cloud externe. Ces dispositifs ne sont pas réservés aux grandes entreprises. Plusieurs éditeurs proposent des versions adaptées aux PME, intégrées directement aux suites de protection existantes.
A voir aussi : Quelle obligation de conformité comprend des exigences de sécurité qui s’appliquent spécifiquement à l’Union européenne ?
Chaîne d’approvisionnement logicielle : cartographier ses dépendances
Les analyses européennes récentes, notamment le rapport ENISA Threat Landscape 2025, soulignent qu’un fournisseur de maintenance, un logiciel tiers ou un produit d’accès distant vulnérable peut servir de point d’entrée vers plusieurs organisations simultanément. Le périmètre de sécurité d’une entreprise ne s’arrête pas à ses propres serveurs.
Améliorer la sécurité de l’information passe donc par un travail que peu d’organisations mènent rigoureusement : recenser chaque dépendance logicielle et chaque prestataire disposant d’un accès. Un outil de supervision installé par un sous-traitant il y a trois ans, un plugin WordPress oublié, un connecteur API vers un partenaire commercial : chacun de ces points constitue une surface d’attaque.
Les mesures concrètes à envisager :
- Établir un inventaire à jour de tous les logiciels tiers, y compris les composants open source intégrés dans les applications internes
- Évaluer chaque fournisseur critique sur ses pratiques de sécurité, sa politique de correctifs et sa capacité à notifier rapidement une compromission
- Limiter les privilèges accordés aux prestataires au strict nécessaire et prévoir une procédure de révocation rapide en cas d’incident
- Vérifier que les outils d’accès distant utilisés par les sous-traitants sont à jour et configurés avec une authentification multifacteur
Cette cartographie n’est pas un exercice ponctuel. Elle doit être révisée à chaque changement de prestataire, à chaque mise en production d’un nouveau composant, et au minimum une fois par an.
Directive NIS2 : la sécurité de l’information devient une obligation de gouvernance
La directive européenne NIS2 étend les obligations de cybersécurité à 18 secteurs d’activité. Elle impose une gestion formalisée des risques, des procédures de notification d’incidents dans des délais stricts, et une responsabilité directe de la direction de l’entreprise. La sécurité de l’information n’est plus un sujet technique délégué à la DSI : c’est un sujet de gouvernance qui engage les dirigeants.
En France, le processus de transposition législative est en cours. Les retours terrain divergent sur le calendrier exact d’application et sur le périmètre des entités concernées parmi les structures de taille intermédiaire. En revanche, le cadre général ne fait pas débat : toute organisation traitant des données dans un secteur couvert par NIS2 devra documenter sa politique de gestion des risques, ses procédures de réponse aux incidents et ses mécanismes de continuité d’activité.
Pour les entreprises qui n’ont jamais formalisé ces éléments, le chantier est conséquent. Il ne s’agit pas d’acheter un outil supplémentaire, mais de structurer une démarche :
- Désigner un responsable de la sécurité des systèmes d’information, même à temps partiel dans les structures plus petites
- Rédiger une politique de sécurité couvrant la classification des données, la gestion des accès et la réponse aux incidents
- Mettre en place des exercices de crise pour tester les procédures de notification et de reprise d’activité
- Documenter les décisions de la direction concernant l’acceptation ou le traitement des risques identifiés
Sensibilisation des utilisateurs : dépasser le quiz annuel
La majorité des compromissions initiales passent par un utilisateur qui clique sur un lien, ouvre une pièce jointe ou communique un identifiant. Les programmes de sensibilisation existent dans beaucoup d’organisations, mais leur efficacité réelle pose question quand ils se limitent à un module e-learning suivi une fois par an.
Les campagnes de simulation de phishing ciblées produisent des résultats plus mesurables que les formations génériques. Elles permettent d’identifier les profils les plus exposés, d’adapter le message et de suivre l’évolution du taux de clic dans le temps.
La sensibilisation ne concerne pas uniquement les utilisateurs finaux. Les développeurs qui intègrent des bibliothèques tierces, les administrateurs qui configurent des règles de pare-feu, les responsables métier qui valident des accès : chaque rôle dans l’organisation manipule des informations selon des risques spécifiques. Un programme de sensibilisation efficace segmente ses messages par fonction, pas par niveau hiérarchique.
Améliorer la sécurité de l’information en 2025-2026 demande de regarder au-delà des fondamentaux. La protection des données sortantes, la maîtrise de la chaîne d’approvisionnement, la conformité réglementaire NIS2 et une sensibilisation réellement adaptée aux risques de chaque métier forment un socle plus solide qu’une simple liste de réflexes numériques. Le travail est continu, et les organisations qui documentent leurs choix aujourd’hui seront mieux armées face aux obligations qui se précisent.
