La plupart des revues de sécurité échouent avant même de commencer. Non parce que les tests sont faibles, mais parce que la direction y entre sans savoir ce qu’elle cherche à établir. Voici les questions auxquelles je voudrais des réponses — et celles dont l’absence de réponse m’inquiéterait.
Pourquoi je regarde cela comme un auditeur
J’ai consacré la première partie de ma carrière à la finance et à la comptabilité avant de me tourner vers la cybersécurité. Ce parcours a durablement changé ma façon de lire une revue de sécurité. En audit, on ne demande pas si quelqu’un fait bien son travail. On demande s’il peut le démontrer — preuves à l’appui, devant un tiers, après coup. Cette distinction constitue toute la discipline.
La plupart des revues de sécurité sont présentées comme des exercices techniques : un scan, une liste de vulnérabilités, une cotation de gravité, un plan de remédiation. Tout cela est utile. Mais un lecteur formé à l’audit pose d’autres questions. Qui est responsable de ce contrôle ? Quand a-t-il été testé pour la dernière fois, par qui, et qu’a réellement prouvé ce test ? Si ce contrôle défaillait ce soir, combien de temps avant que quelqu’un s’en aperçoive ? Aucune de ces questions n’est technique. Toutes déterminent si le travail technique compte.
À retenir
- Une violation coûte en moyenne 10,22 M$ aux États-Unis ; la moyenne mondiale est de 4,44 M$.
- Détection et confinement prennent en moyenne 241 jours — un plus bas sur neuf ans, mais toujours huit mois.
- Le phishing reste le point d’entrée le plus fréquent, devant la compromission de la chaîne d’approvisionnement.
- 63 % des organisations victimes n’avaient aucune politique de gouvernance de l’IA.
- L’IA fantôme non maîtrisée a ajouté environ 670 000 $ au coût moyen d’une violation.
Ce que les chiffres justifient réellement
Le rapport Cost of a Data Breach d’IBM, qui en est à sa vingtième édition et s’appuie sur 600 organisations dans 16 pays et 17 secteurs, situe le coût moyen mondial d’une violation à 4,44 millions de dollars — une baisse de 9 %, la première en cinq ans. L’amélioration provient d’une détection et d’un confinement plus rapides, favorisés par l’automatisation.
Les États-Unis ont évolué en sens inverse, atteignant un record de 10,22 millions de dollars, sous l’effet des sanctions réglementaires et d’une détection plus lente. Cette divergence est le chiffre le plus instructif du rapport : la technologie dont disposent les entreprises américaines et européennes est globalement identique. Ce qui diffère, c’est le coût réglementaire de l’erreur. L’Europe devrait y voir un indicateur avancé, non une curiosité.
Huit mois d’accès non détecté n’est pas un problème de sécurité. C’est un problème de gouvernance déguisé en problème technique.
Le chiffre auquel je reviens le plus souvent est 241 jours : le délai moyen pour identifier et contenir une violation. C’est le meilleur résultat depuis neuf ans, et cela reste huit mois. Demandez-vous ce qu’un intrus disposant de huit mois d’accès discret pourrait faire de vos flux de paiement, de vos données clients ou de votre propriété intellectuelle : l’abstraction disparaît vite.
Les questions que je poserais en séance
Une revue de sécurité est une conversation d’entreprise qui se trouve impliquer de la technologie. Voici les questions que je voudrais voir posées, dans cet ordre.
- Que protégeons-nous exactement ? Non pas « nos systèmes » — les données, processus et flux de revenus précis dont la perte changerait l’entreprise. Si la direction ne peut en nommer les cinq principaux, la revue n’a pas de périmètre.
- Comment le saurions-nous ? La couverture de détection compte davantage que la mise en scène de la prévention. Lesquels de nos systèmes critiques génèrent des alertes réellement lues par un humain, et sous quel délai ?
- Qui a accès, et qui l’a approuvé ? Les accès s’accumulent silencieusement. Demandez la liste des comptes à privilèges, la date de leur dernière revue et le nombre appartenant à des personnes ayant changé de poste ou parti.
- Qu’avons-nous testé, et qu’est-ce que cela a prouvé ? Un test que tout le monde réussit signifie généralement que le test était trop facile. Demandez ce qui a échoué, ce qui en a été tiré et ce qui a changé en conséquence.
- Qu’est-ce qui dépend de quelqu’un d’autre ? La compromission de la chaîne d’approvisionnement figure désormais parmi les principaux vecteurs d’entrée. Quels tiers pourraient arrêter nos opérations, et qu’avons-nous vérifié à leur sujet au-delà d’un questionnaire signé ?
- À quoi ressembleraient les 24 premières heures ? Qui déclare l’incident, qui parle aux régulateurs et aux clients, et cela a-t-il déjà été répété ? Un plan jamais exercé est un document, pas une capacité.
La faille IA que personne n’avait budgétée
Le constat le plus inconfortable des données de cette année concerne l’intelligence artificielle. Parmi les organisations ayant subi un incident de sécurité lié à l’IA, 97 % ne disposaient pas de contrôles d’accès appropriés autour de ces systèmes. Par ailleurs, 63 % des organisations victimes n’avaient aucune politique de gouvernance de l’IA, et seul un tiers environ disposait d’un processus d’approbation pour le déploiement de l’IA.
La conséquence financière est mesurable. Là où l’IA fantôme était répandue — des collaborateurs utilisant des outils non approuvés de leur propre initiative —, le coût moyen d’une violation a augmenté d’environ 670 000 dollars. C’est le schéma que je décrivais dans notre précédent article sur l’adoption de l’IA : l’usage non officiel signale un besoin non satisfait, et l’ignorer ne le fait pas cesser. Cela déplace simplement vos données hors de votre champ de vision.
Un chiffre mérite une alerte à lui seul. Seules 49 % des organisations victimes déclaraient vouloir accroître leur investissement en sécurité, contre 63 % l’année précédente. La baisse des coûts moyens semble avoir été interprétée comme une réassurance. J’y vois plutôt le bénéfice temporaire d’une détection accélérée, dans un environnement de menace qui ne s’est pas adouci.
Lire le rapport qu’on vous remet
Les dirigeants manquent rarement de documentation sur la sécurité. Ils manquent d’une grille pour l’interroger. Voici celle que j’utilise.
| Si le rapport indique… | La question à poser |
|---|---|
| « Aucune vulnérabilité critique identifiée. » | Quel était le périmètre, et qu’en a-t-on exclu ? C’est généralement dans les exclusions que réside le risque. |
| « Les contrôles sont en place. » | En place, ou opérant efficacement ? Conception et fonctionnement sont deux constats distincts, comme tout auditeur le confirmera. |
| « La remédiation est en cours. » | Portée par qui, financée sur quel budget, échéance à quelle date ? Sinon, c’est une intention. |
| « Nous suivons les bonnes pratiques du secteur. » | Selon quel référentiel, évalué par qui, et quand ? Une bonne pratique n’est pas un contrôle. |
| « Ce système est géré par notre prestataire. » | À quoi le contrat les oblige-t-il, et avons-nous déjà vérifié qu’ils le font ? |
Où les conseils se trompent
Traiter la sécurité comme une question de dépense
La question du conseil est rarement « dépensons-nous assez ? » mais « qu’est-ce qui céderait en premier, et à quelle vitesse récupérerions-nous ? ». Le budget découle de cette réponse ; il ne peut s’y substituer.
Confondre conformité et sécurité
La conformité prouve que vous respectiez une norme à une date donnée. La sécurité est une propriété continue d’un système. Les organisations pleinement conformes à un référentiel et néanmoins compromises ne prouvent pas l’échec des référentiels : elles rappellent que la certification est un plancher.
Examiner la revue trop tard
Une revue de sécurité présentée au conseil une fois achevée invite à l’acceptation plutôt qu’à la contestation. La direction devrait en définir le périmètre en amont — car le périmètre détermine les constats bien plus que l’outillage.
La certification vous dit ce qui était vrai le jour de l’audit. La résilience vous dit ce qui reste vrai lors d’une mauvaise nuit.
Ce qu’il faut faire avant la prochaine revue
- Écrivez les cinq choses qui ne doivent pas défaillir. Faites-les valider au niveau de la direction avant tout travail technique. Le reste n’est que priorisation.
- Demandez des preuves, pas des assurances. Journaux, résultats de tests, approbations datées. Le standard d’audit — un tiers pourrait-il le vérifier ? — est le bon niveau d’exigence.
- Faites entrer les systèmes d’IA dans le périmètre. Inventoriez-les, appliquez des contrôles d’accès et fournissez des outils autorisés avant que l’usage fantôme ne tranche à votre place.
- Répétez les 24 premières heures. Un exercice sur table de deux heures avec le comité de direction révèle davantage de failles que la plupart des évaluations techniques.
- Étendez la revue aux tiers critiques. Votre exposition inclut quiconque peut arrêter vos opérations, quel que soit son employeur.
- Restituez les constats en termes financiers. Convertissez l’exposition en délai de reprise, chiffre d’affaires à risque et conséquence réglementaire. Les conseils agissent sur cette base, rarement sur des cotations de gravité.
En conclusion
L’objet d’une revue de sécurité n’est pas d’être rassuré. C’est de découvrir ce que l’on ignore, tant que le découvrir coûte encore peu. Les organisations qui gèrent bien les incidents ne sont presque jamais celles dotées de l’outillage le plus sophistiqué : ce sont celles où quelqu’un avait déjà posé les questions gênantes, consigné les réponses et vérifié qu’elles restaient valables.
Si votre prochaine revue est planifiée et que vous ne savez pas encore ce que vous voulez qu’elle démontre, c’est le premier point à corriger. C’est aussi la conversation que je préfère avoir.
À propos de l’auteur
Loick Moukouri
Fondateur d’Auvantyx
Loick Moukouri est le fondateur d’Auvantyx. Son parcours associe la comptabilité et la finance à la cybersécurité, au cloud et aux technologies numériques. Il pilote la vision du cabinet, son offre de services et son réseau de spécialistes afin d’aider les organisations à transformer leurs priorités métier en décisions technologiques, sécuritaires et de gestion des risques concrètes.
Tous les chiffres cités proviennent des sources publiques suivantes, consultées en juin 2026.
