Les 5 piliers de la cybersécurité dans une grande entreprise

Lorsqu’on évoque la cybersécurité d’une grande entreprise, on imagine généralement des pare-feu et des équipes qui surveillent les menaces 24 h/24. La réalité est moins spectaculaire, mais bien plus complexe. À grande échelle, la cybersécurité n’est pas un simple mur de défense, mais un ensemble de fondements qui interagissent pour protéger les données, les systèmes et les personnes. Négligez-en un seul et il y aura des failles.

L’urgence est déjà bien visible. Chaque année, les entreprises investissent massivement dans leur cybersécurité, embauchent davantage de personnel et multiplient les outils technologiques. Selon un rapport de 2024, les entreprises de plus de 5 000 employés accordent plus d’attention (21 %) à la sécurité que les entreprises plus petites. Et pourtant, les risques ne cessent de s’intensifier.

Ce même rapport révèle que 81 % des professionnels de la sécurité considèrent le paysage des menaces actuel comme le plus difficile de ces cinq dernières années. Dans les grandes et moyennes entreprises, près de huit responsables de la sécurité sur dix se disent préoccupés par l’utilisation que les hackers font de l’IA générative pour générer du phishing et de l’ingénierie sociale convaincants. 80 % des personnes interrogées soulignent également le risque croissant représenté par la sécurité de la chaîne d’approvisionnement : un problème à prendre au sérieux lorsque l’on sait qu’une très grande part de l’activité des entreprises est assurée par des réseaux tiers.

Les organismes de régulation placent la barre plus haut, et à juste titre. Des cadres réglementaires tels que le RGPD et la directive NIS2 imposent désormais une gestion des risques structurée et une obligation de rendre des comptes. Dans ce contexte, cinq piliers se distinguent pour réduire l’exposition aux risques, renforcer la résilience et favoriser la mise en conformité à une époque où toute défaillance peut coûter extrêmement cher.

1. Bien définir les responsabilités

Les grandes entreprises doivent définir clairement qui est « responsable » en matière de cybersécurité. Il s’agit souvent du responsable de la sécurité des systèmes d’information (RSSI) ou d’une personne spécialisée dans la sécurité,

un modèle que l’on retrouve dans le cadre réglementaire. La directive NIS2 exige en effet que la direction s’implique dans la stratégie de cybersécurité en approuvant et en supervisant les mesures de sécurité. Le Centre national de cybersécurité (NCSC) néerlandais insiste lui aussi sur le fait que l’attribution des responsabilités est l’une des principales missions du conseil d’administration d’une société.

Lorsque le haut de la pyramide hiérarchique assume la responsabilité, le ton est donné dans toute l’entreprise. Cette attitude indique que la cybersécurité est une priorité majeure pour la société.

En quoi l’attribution claire des responsabilités influe-t-elle sur les résultats en matière de sécurité ?

Une responsabilité clairement définie permet une réponse plus rapide aux crises, une application cohérente des politiques et une réduction des lacunes. Lorsque personne, dans l’entreprise, ne sait qui est responsable de quoi, il y a davantage de risques de retard, de perte de données et de défaut de conformité susceptibles de nuire à la réputation de la société.

C’est pourquoi le RGPD oblige de nombreuses entreprises à nommer un Délégué à la protection des données (DPD) qui délimite de manière visible les responsabilités et veille à ce que les décisions prises soient cohérentes entre les différentes postes de l’entreprise.

Des responsables engagés renforcent la vigilance. Lorsque la direction traite activement les cyberrisques, les collaborateurs sont plus aguerris en matière de sécurité. L’inverse est tout aussi vrai : si l’engagement de la direction n’est pas visible, les équipes se sentent isolées, stressées et sont davantage susceptibles de commettre des erreurs. Plus important encore, la cybersécurité ne peut pas reposer uniquement sur les épaules de l’équipe informatique. Elle doit être intégrée dans l’exercice de chaque fonction pour que chacun soit à même de prendre des décisions éclairées et responsables, même lorsque personne ne regarde.

Quelques mesures pratiques pour définir clairement la responsabilité en matière de cybersécurité

1. Nommer un RSSI ou un responsable de la sécurité : donnez-lui l’autorité, un contact direct avec la direction et les ressources nécessaires pour assurer une prise de décision rapide et efficace.
2. Assurer la supervision au niveau du conseil d’administration : gardez la cybersécurité à l’ordre du jour du conseil d’administration. Passez en revue les dernières informations et organisez des simulations pour transformer les risques abstraits en scénarios concrets.
3. Définir clairement les rôles : attribuez des responsabilités spécifiques aux services comme les RH, le département juridique ou informatique pour garantir qu’aucune tâche essentielle n’est négligée au quotidien comme en temps de crise.
4. Former et encourager : au lieu d’organiser de longues sessions de formation générique, sensibilisez les cadres supérieurs et le personnel en leur proposant des programmes adaptés à leurs fonctions.
5. Intégrer la cybersécurité dans la gouvernance : associez les mesures de sécurité aux indicateurs clés de performance (KPI) et aux évaluations de performance pour garantir un exercice des responsabilités qui dépasse le simple cadre des politiques et produise des résultats mesurables.

2. Protéger les actifs à l’échelle de l’entreprise

Chercher à protéger votre environnement sans avoir de visibilité, c’est comme essayer de sécuriser un bâtiment sans en connaître toutes les entrées. Toute stratégie de sécurité commence par un inventaire précis et à jour des actifs – ordinateurs portables, serveurs, services cloud et systèmes de stockage de données. Chacun de ces actifs peut être une porte d’entrée par laquelle des attaquants s’engouffrent. La directive NIS2 renforce ce point, en exigeant une gestion structurée des actifs.

Pourquoi l’inventaire des actifs n’est-il pas négociable en cybersécurité ?

Tout dispositif passant entre les mailles du filet – oubli d’application d’un correctif sur un ordinateur portable, sur une imprimante en réseau ou compte abandonné sur le cloud – peut mettre en péril des réseaux entiers. Le télétravail et l’IoT rendent les choses encore plus complexes, puisque les entreprises gèrent aujourd’hui des milliers d’actifs. Il est donc impossible de tous les superviser manuellement.

La visibilité est essentielle dans les secteurs où la transformation numérique a entraîné la création de réseaux interconnectés de machines, d’interfaces et de systèmes connectés au cloud. Sans une cartographie minutieuse de ces actifs, les équipes de sécurité ne sont pas en mesure de hiérarchiser efficacement les risques.

Que se passe-t-il lorsque l’inventaire est négligé ?

Les actifs qui ne sont pas surveillés constituent des portes dérobées qui passent inaperçues. Souvent, d’anciens serveurs, des systèmes OT non gérés ou le Shadow IT sont en cause. De nombreux actifs OT peuvent rester 20 ans ou plus sans correctifs de sécurité. Les outils d’IA déployés sans garanties appropriées peuvent également poser des problèmes.

Or, si les attaquants découvrent un périphérique inconnu sur le réseau, même les mots de passe ou les pare-feu les plus performants ne seront d’aucune aide. Il faut aussi noter que certaines normes, comme ISO 27001, exigent également une gestion des actifs. Par conséquent, négliger cette étape comporte des risques à la fois techniques et juridiques.

Quelques mesures pratiques pour protéger vos actifs

1. Automatiser la détection : installez des outils qui détectent systématiquement tous les nouveaux appareils, applications et services, dans les environnements sur site, cloud et hybrides.
2. Centraliser l’inventaire : conservez un seul inventaire à jour du matériel, des logiciels, des comptes et des stockages de données et permettez à vos équipes d’y accéder dans le cadre de leur travail quotidien.
3. Classifier les actifs : triez les actifs par niveau de sensibilité pour pouvoir orienter les ressources vers les systèmes susceptibles de causer le plus de dommages en cas de compromission.
4. Assurer le suivi des changements dans le cycle de vie : mettez automatiquement à jour les inventaires à chaque ajout, retrait ou reconfiguration d’actif, afin d’éviter tout angle mort.
5. Surveiller le Shadow IT : détectez rapidement les outils ou services non autorisés qui sont utilisés et choisissez soit de les intégrer officiellement dans votre gouvernance, soit de les faire disparaître progressivement.
6. Conserver une bonne visibilité sur la chaîne d’approvisionnement : surveillez les systèmes des fournisseurs et exigez des vérifications ou des certifications régulières pour éliminer tout risque caché à ce niveau.

3. Identifier et évaluer les risques de cybersécurité

Lorsque tous les actifs sont visibles, vous pouvez passer à l’étape suivante : déterminer les menaces qui pèsent sur chacun d’eux. Pour bien évaluer le risque, il convient de se poser trois questions : quels problèmes pourraient se poser ? Selon quelle probabilité ? et quelles en seraient les conséquences ? Il ne s’agit pas de réaliser un audit ponctuel, mais d’enclencher un processus de réévaluation continu qui suit l’évolution des systèmes et des menaces.Il est crucial d’adopter une approche qui s’adapte en fonction des risques. Vous pourriez dépenser tout votre budget informatique à traquer chaque vulnérabilité sans pour autant éliminer le risque. Il vaut mieux vous concentrer sur les points les plus exposés.

Pourquoi la notion de « risque » doit-elle devenir votre boussole ?

La cybersécurité ne consiste pas à éliminer tous les risques, mais à bien les appréhender. La directive NIS2 exige que les politiques mises en place par les entreprises soient fondées sur une analyse du risque. Le Règlement européen sur l’intelligence artificielle, pour sa part, demande que les systèmes d’IA soient soumis à un cadre adapté aux risques qu’ils présentent. Le RGPD impose également des mesures proportionnées aux risques encourus par les personnes.

Quels sont les coûts d’une négligence en matière de cyberrisque ?

Si elles ne procèdent pas aux évaluations régulières demandées, les entreprises s’exposent à des violations de données, à des pannes de leurs systèmes et à des amendes. Les coûts de la cybercriminalité devraient passer de 9 220 milliards de dollars en 2024 à 13 820 milliards de dollars d’ici 2028. Dans le cadre de la directive NIS2, les entités considérées comme essentielles s’exposent à des pénalités allant jusqu’à 10 millions d’euros ou 2 % de leur chiffre d’affaires mondial, tandis que les entités importantes risquent 7 millions d’euros ou 1,4 % — le montant le plus élevé étant retenu.

Quelques mesures pratiques pour évaluer les risques

1. Procéder à des évaluations régulières : procédez à un contrôle intégral chaque année et après chaque modification organisationnelle ou technologique majeure, en y associant des tests de vulnérabilité.
2. Adopter des cadres structurés : appuyez-vous sur des normes comme le NIST CSF ou ISO 27005 pour que l’analyse des risques reste cohérente, transparente et facile à communiquer.
3. Tenir à jour un registre des risques : consignez les risques en leur attribuant des niveaux de gravité et de probabilité et mettez ce registre régulièrement à jour pour que la direction puisse définir des priorités en se basant sur des données précises.
4. Envisager un vaste éventail de menaces : n’axez pas uniquement votre évaluation sur les failles techniques, mais aussi sur les risques humains, physiques et liés aux tiers afin de couvrir tout l’éventail des risques.
5. Assurer une évaluation continue : associez des outils de surveillance à des analyses post-incident pour faire évoluer votre gestion des risques en continu, au lieu de vous contenter d’une vérification annuelle.

4. Appliquer des contrôles de sécurité ciblés

Une fois que vous avez identifié les principaux risques auxquels vous êtes exposés, l’étape suivante consiste à mettre en place des contrôles à plusieurs niveaux : administratifs (politiques et processus), techniques (outils et surveillance) et physiques (installations sécurisées, badges d’accès). L’objectif est d’assurer une défense en profondeur : si un contrôle échoue, les autres prennent le relais.

Pourquoi est-il important de mettre en place des défenses à plusieurs niveaux en cybersécurité ?

La superposition des différents niveaux limite les risques, car les attaquants ont plus de mal à parvenir à leurs fins. Face à un paysage des menaces qui évolue rapidement, boosté par des outils d’IA perfectionnés et par des cybercriminels qui se professionnalisent de plus en plus, la technologie seule n’est plus suffisamment efficace. Le facteur humain reste le point d’entrée le plus fréquent. Pour vraiment protéger l’entreprise, il faut donc adopter une approche globale associant le personnel, les processus et la technologie. La directive NIS2 insiste également sur des mesures fondamentales telles que l’authentification multifacteur (MFA) et la formation.

Quels sont les risques d’une négligence en matière de contrôles de sécurité ?

On ne compte plus les piratages qui sont dus à des négligences aussi simples que l’absence de MFA sur des comptes administrateurs. Le manquement à des mesures de cyberhygiène basiques, comme l’application de correctifs, la segmentation du réseau ou la réalisation de backups fiables peut entraîner des pertes de données, des pannes prolongées, voire une interruption totale de l’activité. Lorsque les autorités s’en mêlent, cela peut non seulement nuire à la réputation de l’entreprise, mais aussi lui coûter des pénalités très importantes.

Quelques conseils pratiques pour mettre en place des mesures de sécurité ciblées

Contrôles administratifs

• Rédiger des politiques concrètes : fixez des règles claires, faciles à comprendre et à appliquer pour les collaborateurs, en précisant les conditions pour une utilisation acceptable des systèmes, un accès sécurisé et une bonne réponse aux incidents.
• Sensibiliser davantage : remplacez les formations ponctuelles par des contenus attrayants qui sont proposés régulièrement au personnel pour l’aider à adopter, peu à peu, de bonnes habitudes en matière de sécurité.
• Appliquer des mesures de responsabilisation : vérifiez les accès, appliquez la séparation des tâches et mettez en place un processus structuré de désinscription des employés qui quittent l’entreprise afin de prévenir toute menace interne.
• S’entraîner à bien réagir en cas d’incident : organisez des simulations pour que le personnel sache quel est son rôle en situation d’urgence et pour veiller à ce que les délais de signalement soient toujours respectés.

Contrôles techniques

• Renforcer l’authentification : appliquez la MFA à tous les systèmes et surveillez l’apparition de techniques visant à contourner les contrôles comme la fatigue MFA ou l’ingénierie sociale.
• Appliquer les correctifs et configurer de manière sécurisée : automatisez les mises à jour et appliquez des configurations plus strictes pour éliminer les vulnérabilités courantes.
• Segmenter les réseaux : limitez les mouvements latéraux en isolant les systèmes sensibles et en utilisant des pare-feux et des VPN pour renforcer les limites.
• Protéger les terminaux : déployez un EDR sur tous les dispositifs, surveillez les terminaux en continu et cryptez les disques durs pour protéger les données en cas de perte ou de vol de matériel.
• Chiffrer et sauvegarder les données : sécurisez les données sensibles en transit et au repos, et testez la récupération à partir de sauvegardes qui suivent le principe du 3-2-1.

Contrôles physiques

• Restreindre l’accès aux installations : protégez les salles de serveurs et les espaces sensibles à l’aide de portes verrouillées, de badges et de contrôles d’autorisation.
• Surveiller les zones sensibles : la vidéosurveillance, les registres de visiteurs et les alertes en temps réel réduisent le risque d’intrusion non autorisée.
• Éliminer le matériel en toute sécurité : effacez ou détruisez les disques durs et les dispositifs avant leur mise hors service pour éviter les fuites de données.

Promouvoir la discipline sur le lieu de travail : instaurez des politiques exigeant que les bureaux restent dégagés et que les badges soient visibles pour garantir des comportements sécurisés au quotidien.

5. La cybersécurité devrait être inscrite dans les habitudes de l’entreprise

La cybersécurité ne fonctionne réellement que lorsqu’elle devient une routine quotidienne, dans laquelle tout le personnel, depuis les ouvriers jusqu’aux ingénieurs, fait sa part. Il suffit d’un clic imprudent pour réduire à néant des années d’investissement. L’intégration de la sécurité dans les flux de travail garantit une résilience durable.

L’importance de la culture de la sécurité

Les menaces évoluent quotidiennement. Si l’on ne s’entraîne pas, les anciennes habitudes reviennent et les nouveaux risques passent inaperçus. Dans les mesures fondamentales à mettre en place, la directive NIS2 mentionne la cyberhygiène numérique et la formation. Dans un contexte où les hackers utilisent des outils d’IA sophistiqués pour créer des deepfakes et des campagnes de phishing multicanal, la meilleure façon de se prémunir contre les erreurs humaines est de construire une culture axée sur la sécurité.

Que risque-t-on à négliger la résilience à long terme ?

Une entreprise qui traite la sécurité comme un simple audit annuel finit par se complaire dans ses travers. Les collaborateurs oublient les procédures, les erreurs se multiplient et finissent par ouvrir la porte à des violations de données. L’erreur humaine est impliquée dans 82 % des violations. Ce sont alors les équipes de sécurité qui doivent supporter toute la charge, au risque de finir en burn-out : 83 % du personnel informatique reconnaît que la fatigue a déjà entraîné des incidents.

Quelques mesures pratiques

1. Proposer des formations continues : organisez des sessions courtes et fréquentes pour maintenir le personnel en éveil face aux menaces actuelles sans les submerger d’informations.
2. Organiser des simulations : soumettez le personnel à des simulations de phishing ou d’incidents réalistes, en lien avec les risques propres à votre secteur et aux canaux de communication que vous utilisez.
3. Montrer l’exemple : les cadres supérieurs devraient participer aux exercices et s’impliquer visiblement dans les priorités de sécurité.
4. Intégrer la cybersécurité dans les flux de travail : intégrez des points de contrôle de sécurité dans les processus comme les achats ou la planification de projet pour qu’ils deviennent une routine.
5. Encourager en reconnaissant les progrès réalisés : mettez à l’honneur le personnel qui adopte de bonnes pratiques de sécurité pour que ces bons gestes deviennent la norme.

SoSafe peut vous aider à renforcer la résilience

Pour appliquer concrètement ces fondements de la cybersécurité, SoSafe a développé une plateforme de formation en ligne qui associe science du comportement, gamification et analyse des données. Vous y trouverez des formations courtes et sur mesure qui s’adaptent au profil de risque de chaque collaborateur, ce qui favorise l’engagement et garantit un changement de comportement durable.

La boîte à outils aide les grandes entreprises à réduire leur taux de clics en cas de phishing, à adopter une meilleure cyberhygiène dans la gestion de leurs actifs et à développer une culture axée sur la sécurité, le tout dans le respect des normes de conformité telles que le RGPD et la directive NIS2. Dès le premier déploiement, les entreprises constatent un impact mesurable : les menaces sont signalées plus rapidement, le personnel est plus vigilant et les équipes sont mieux préparées pour protéger les actifs sensibles.

Grâce à SoSafe, le facteur humain n’est plus un point faible, mais une puissante ligne de défense.

Conclusion

Dans une grande entreprise, la cybersécurité doit reposer sur des fondements cohérents qui favorisent la résilience à long terme.

Les cinq pratiques que nous venons de passer en revue : bien définir les responsabilités, dresser un inventaire des actifs, évaluer les risques, appliquer des contrôles à plusieurs niveaux et intégrer la sécurité dans les habitudes de l’entreprise constituent, ensemble, le cœur d’une stratégie de sécurité efficace. Bien appliquées, elles forment une culture d’entreprise capable de résister aux perturbations et de s’adapter à l’évolution des menaces.

La cybersécurité n’est pas une finalité ultime mais un processus continu de consolidation des bonnes habitudes, d’adaptation au changement et de protection de ce qui compte le plus : vos collaborateurs, vos données et votre réputation.

Vous êtes prêt·e à poser ces fondements ? Parcourez les ressources que nous avons conçues à l’intention des responsables de la sécurité informatique et découvrez comment SoSafe peut vous aider à construire une résilience durable.