<\/p>\n\n\n\n
L\u2019\u00e9volution technologique et la transformation num\u00e9rique des entreprises ont radicalement modifi\u00e9 le paysage des risques contemporains. Longtemps, la gestion des menaces au sein des organisations a \u00e9t\u00e9 structur\u00e9e en silos herm\u00e9tiques : d’un c\u00f4t\u00e9 la s\u00fbret\u00e9, charg\u00e9e de la protection physique des sites, des biens et des personnes, et de l’autre la cybers\u00e9curit\u00e9, d\u00e9volue \u00e0 la protection des syst\u00e8mes d’information et des donn\u00e9es. <\/p>\n\n\n\n
Ce d\u00e9couplage se retrouve d\u00e8s le choix des termes : \u00ab S\u00e9curit\u00e9 \u00bb dans un cas, \u00ab S\u00fbret\u00e9 \u00bb dans l\u2019autre. Dans le cas de la gestion physique des risques, on parle de s\u00fbret\u00e9 pour la pr\u00e9vention de la malveillance, par opposition \u00e0 la s\u00e9curit\u00e9 qui s\u2019adresse \u00e0 l\u2019accidentologie. Pourtant, la cybers\u00e9curit\u00e9 r\u00e9pond bien \u00e0 des probl\u00e9matiques de malveillance elle aussi.<\/p>\n\n\n\n
Un choix des termes qui est peut-\u00eatre avant tout li\u00e9 \u00e0 l\u2019influence anglo-saxonne, puisqu\u2019en anglais on parle au contraire de Security, et donc Cybersecurity, pour parler de malveillance par opposition \u00e0 la Safety qui g\u00e8re l\u2019accidentel. Peu importe son origine, les mots ne sont jamais neutres et renforcent le sentiment bien ancr\u00e9 qu\u2019il s\u2019agit de deux domaines distincts qu\u2019il est logique de compartimenter.<\/p>\n\n\n\n
D\u00e9-siloter S\u00fbret\u00e9 et Cybers\u00e9curit\u00e9 : un imp\u00e9ratif strat\u00e9gique face \u00e0 la convergence des menaces<\/strong><\/strong><\/p>\n\n\n\n Cette s\u00e9paration a une justification pratique, \u00e0 savoir des comp\u00e9tences techniques distinctes et donc des parcours potentiellement tr\u00e8s diff\u00e9rents pour les praticiens des deux domaines. Cela a des cons\u00e9quences en termes de cultures de travail et potentiellement de dialogue. <\/p>\n\n\n\n Mais cette base est souvent entretenue par habitude et culture d\u2019entreprise, ce qui s’av\u00e8re en r\u00e9alit\u00e9 \u00eatre une faille strat\u00e9gique majeure. L\u2019interp\u00e9n\u00e9tration croissante des mondes physique et num\u00e9rique rend ces deux domaines indissociables, car une br\u00e8che dans l’un entra\u00eene in\u00e9vitablement une vuln\u00e9rabilit\u00e9 dans l’autre. La norme ISO 22340 : 2024 sur la s\u00e9curit\u00e9 et la r\u00e9silience<\/a> donne pourtant en ligne directrice la n\u00e9cessit\u00e9 d\u2019inclure la cybers\u00e9curit\u00e9 dans une approche de s\u00fbret\u00e9 pr\u00e9ventive.<\/p>\n\n\n\n L\u2019actualit\u00e9 r\u00e9cente d\u00e9montre que les adversaires des entreprises \u2014 qu\u2019il s\u2019agisse de cybercriminels, d\u2019acteurs \u00e9tatiques ou de menaces internes \u2014 exploitent pr\u00e9cis\u00e9ment les zones d\u2019ombre situ\u00e9es \u00e0 la jonction de ces deux disciplines. La s\u00fbret\u00e9 et la cybers\u00e9curit\u00e9 doivent d\u00e9sormais \u00eatre pens\u00e9es comme les deux faces d\u2019une m\u00eame pi\u00e8ce : la r\u00e9silience globale de l\u2019organisation.<\/p>\n\n\n\n Le facteur Humain : au c\u0153ur de la convergence S\u00fbret\u00e9-Cyber<\/strong><\/p>\n\n\n\n L\u2019un des enseignements les plus fondamentaux de ces derni\u00e8res ann\u00e9es est que l\u2019espace virtuel de la cyber-attaque prend presque syst\u00e9matiquement racine dans une r\u00e9alit\u00e9 humaine et physique. Si les syst\u00e8mes de d\u00e9fense technique se sont consid\u00e9rablement arm\u00e9s, le facteur humain demeure la porte d\u2019entr\u00e9e privil\u00e9gi\u00e9e des pirates informatiques. Cette porosit\u00e9 entre le comportemental et le num\u00e9rique replace la culture de s\u00fbret\u00e9 au centre de la strat\u00e9gie de d\u00e9fense globale.<\/p>\n\n\n\n L\u2019ing\u00e9nierie sociale repr\u00e9sente la manifestation la plus flagrante de l\u2019indissociabilit\u00e9 des risques. Elle consiste \u00e0 manipuler psychologiquement un individu pour l\u2019amener \u00e0 commettre une erreur de s\u00e9curit\u00e9 : cliquer sur un lien malveillant, divulguer un mot de passe ou brancher une cl\u00e9 USB infect\u00e9e. Ces techniques ne reposent pas sur une faille logicielle, mais sur l\u2019exploitation de traits humains universels : la peur, l\u2019urgence, la cupidit\u00e9 ou encore l\u2019exc\u00e8s de courtoisie.<\/p>\n\n\n\n Le cabinet Trinity observe que l\u2019absence de \u00ab\u00a0culture s\u00fbret\u00e9\u00a0\u00bb chez les collaborateurs annule l\u2019efficacit\u00e9 des meilleures \u00e9quipes cyber et des technologies les plus pouss\u00e9es. Une intrusion num\u00e9rique est souvent la cons\u00e9quence d\u2019une faille comportementale qui rel\u00e8ve typiquement des enjeux de s\u00fbret\u00e9. D\u00e8s lors, la formation des \u00e9quipes ne doit plus se limiter \u00e0 des modules de cybers\u00e9curit\u00e9 th\u00e9oriques, mais int\u00e9grer une compr\u00e9hension profonde des m\u00e9canismes de manipulation physique et psychologique.<\/p>\n\n\n\n Le vol et l\u2019intrusion physiques, menaces qui rel\u00e8vent typiquement de la probl\u00e9matique s\u00fbret\u00e9, sont \u00e9galement des portes d\u2019entr\u00e9e de choix pour des cyberattaquants. La capacit\u00e9 de rentrer sur un site et d\u2019acc\u00e9der physiquement \u00e0 des postes de travail, ou encore plus simplement de voler l\u2019ordinateur ou le t\u00e9l\u00e9phone d\u2019un collaborateur en d\u00e9placement, sont des moyens id\u00e9aux pour s\u2019introduire dans un syst\u00e8me d\u2019information.Le cas particulier de l\u2019Insider Threat est lui aussi au croisement des domaines. Les acc\u00e8s physiques et logiques d\u2019un employ\u00e9 qui se retourne contre son entreprise impose une surveillance hybride, capable de corr\u00e9ler des comportements physiques inhabituels (acc\u00e8s aux locaux \u00e0 des heures indues) avec des activit\u00e9s num\u00e9riques anormales (exportation massive de donn\u00e9es).<\/p>\n\n\n\n La fragilit\u00e9 des syst\u00e8mes de s\u00fbret\u00e9 connect\u00e9s<\/strong><\/p>\n\n\n\n La convergence n\u2019est pas seulement une affaire d\u2019humains ; elle est inscrite dans l\u2019architecture m\u00eame des syst\u00e8mes de s\u00e9curit\u00e9 modernes. Aujourd\u2019hui, les instruments de s\u00fbret\u00e9 \u2014 vid\u00e9osurveillance IP, contr\u00f4les d\u2019acc\u00e8s biom\u00e9triques, alarmes, capteurs thermiques \u2014 sont souvent int\u00e9gr\u00e9s au r\u00e9seau informatique de l\u2019entreprise. Cette num\u00e9risation de la s\u00fbret\u00e9 physique cr\u00e9e une double vuln\u00e9rabilit\u00e9.<\/p>\n\n\n\n Les \u00e9quipements de s\u00fbret\u00e9 physique peuvent \u00eatre des maillons faibles de la cybers\u00e9curit\u00e9. Un portique de s\u00e9curit\u00e9 ou une cam\u00e9ra mal configur\u00e9e peut servir de point d\u2019entr\u00e9e \u00e0 un pirate pour s\u2019introduire dans le r\u00e9seau principal de l\u2019entreprise. De nombreux syst\u00e8mes de contr\u00f4le d’acc\u00e8s reposent sur des protocoles anciens ou des mat\u00e9riels dont les micrologiciels (firmwares) ne sont pas mis \u00e0 jour, offrant ainsi des \u00ab\u00a0portes d\u00e9rob\u00e9es\u00a0\u00bb aux attaquants.<\/p>\n\n\n\n Inversement, la neutralisation num\u00e9rique de ces \u00e9quipements peut servir \u00e0 faciliter voire permettre des attaques physiques. La possibilit\u00e9 de d\u00e9sactiver \u00e0 distance un syst\u00e8me de vid\u00e9osurveillance ou de contr\u00f4le d\u2019acc\u00e8s mal configur\u00e9 est une faille de s\u00fbret\u00e9 majeure. <\/p>\n\n\n\n L\u2019\u00e8re des menaces hybrides<\/strong><\/p>\n\n\n\n De mani\u00e8re g\u00e9n\u00e9rale, l\u2019\u00e9poque est marqu\u00e9e par le recours aux menaces hybrides, mani\u00e9es aussi bien par des acteurs \u00e9tatiques, qui ciblent d\u00e9sormais les actifs priv\u00e9s (logistique, \u00e9nergie, m\u00e9dias) pour affaiblir les \u00e9conomies nationales, que par des groupes criminels. Ces op\u00e9rations combinent cyber-espionnage, sabotage physique et manipulation informationnelle.<\/p>\n\n\n\n Trinity a ainsi d\u00e9crit dans un article d\u00e9di\u00e9 \u00ab La d\u00e9sinformation, un poison silencieux pour les entreprises<\/a> \u00bb, comment la d\u00e9sinformation est devenue une arme contre les organisations. Un sujet lui aussi \u00e0 la convergence de la s\u00fbret\u00e9 et de la cybers\u00e9curit\u00e9 au vu des moyens employ\u00e9s et de ses cons\u00e9quences dans le monde physique.<\/p>\n\n\n\n La n\u00e9cessit\u00e9 d\u2019une nouvelle approche organisationnelle<\/strong><\/p>\n\n\n\n Le constat est sans appel : le mod\u00e8le de direction s\u00e9par\u00e9e (DSI pour le cyber, Direction de la S\u00fbret\u00e9 pour le physique) est obsol\u00e8te face aux menaces hybrides. La solution ne peut d\u00e8s lors pas se situer uniquement dans la course aux \u00e9quipements et \u00e0 la technologie, ni \u00e0 la seule formation des \u00e9quipes, mais commence par la n\u00e9cessit\u00e9 d\u2019un nouveau mod\u00e8le de gouvernance.<\/p>\n\n\n\n L\u2019id\u00e9e n\u2019est pas de trouver une solution miracle et chaque organisation doit s\u2019adapter en accord avec sa culture d\u2019entreprise, mais des pistes existent. Par exemple, l\u2019unification des directions sous la supervision d\u2019un \u00ab Chief Security Officer \u00bb qui fasse converger l\u2019ensemble de la gestion des risques, qu\u2019ils soient d\u2019origine cyber ou physique : moyens informatiques (IT), cyber op\u00e9rationnelle (OT)<\/a>, protection des infrastructures et gestion de crise globale.<\/p>\n\n\n\n Ce CSO \u00ab nouvelle g\u00e9n\u00e9ration \u00bb doit disposer d’une visibilit\u00e9 directe au Conseil d’Administration et aligner ses d\u00e9cisions sur les objectifs financiers et r\u00e9putationnels de l’entreprise. La directive europ\u00e9enne NIS2 acc\u00e9l\u00e8re cette tendance<\/a> en rappelant notamment que la cybers\u00e9curit\u00e9 s\u2019\u00e9tend aux proc\u00e9dures de contr\u00f4le d\u2019acc\u00e8s, \u00e0 la sensibilisation des collaborateurs et la gestion des cha\u00eenes d\u2019approvisionnement.Sans aller jusqu\u2019\u00e0 la fonte de ces piliers dans une m\u00eame direction, le dialogue entre RSSI et Directeur S\u00fbret\u00e9 doit, d\u2019une mani\u00e8re ou d\u2019une autre, devenir un r\u00e9flexe et un pr\u00e9requis indispensable \u00e0 toute d\u00e9marche structurante dans l\u2019un ou l\u2019autre des sujets. Toute d\u00e9marche s\u00fbret\u00e9 globale doit passer par la communication puis la coordination des \u00e9quipes<\/a>, par exemple en cr\u00e9ant un \u00ab groupe de convergence \u00bb capable de parler aux deux mondes.<\/p>\n\n\n\n Audit et Pr\u00e9vention : adopter une approche 360\u00b0<\/strong><\/p>\n\n\n\n La protection d’une entreprise moderne n\u00e9cessite de d\u00e9passer les audits de conformit\u00e9 classiques pour passer \u00e0 des tests de r\u00e9silience globaux. Les plans de r\u00e9silience (gestion de crise, PCA, PRA) doivent int\u00e9grer ce changement de paradigme en int\u00e9grant trois piliers : <\/p>\n\n\n\nFaire face : vers un concept de \u00ab Cybers\u00fbret\u00e9 \u00bb ? <\/strong><\/h2>\n\n\n\n
\n