Cybersécurité : comment confondre le soin et le médicament

Posez la question autour de vous. Pour la plupart des gens, faire de la cybersécurité consiste à installer des protections. Un pare-feu, un antivirus, une authentification à deux facteurs, et le tour est joué. Les éditeurs de solutions entretiennent soigneusement cette croyance, puisqu'elle transforme une discipline en catalogue de produits. C'est confondre le soin et le médicament.

La réalité du métier commence ailleurs, par une question que peu d'organisations se posent sérieusement. Qu'est-ce qui, chez nous, a de la valeur, et pour qui. Les données clients, les plans de fabrication, la messagerie du dirigeant, la simple capacité à facturer demain matin. Tant que cette cartographie n'existe pas, empiler des outils revient à poser des serrures sur des portes choisies au hasard, pendant que la fenêtre du fond reste ouverte.

Vient ensuite l'exercice qui définit vraiment la discipline, et qui la distingue de l'informatique classique. Un informaticien conçoit un système pour qu'il fonctionne. Un professionnel de la sécurité regarde le même système et se demande comment il va être détourné. Ce renversement de perspective a un nom, le raisonnement adversarial, et il ne s'apprend dans aucune fiche produit. L'éditeur qui exige un partage réseau en accès total n'est pas un mauvais technicien. Son logiciel fonctionne, ses clients sont livrés, son support répond. Simplement, personne dans son équipe n'a jamais regardé l'architecture avec les yeux de celui qui voudra la traverser. Le développeur du dimanche qui publie une application sans règle d'accès aux données commet exactement la même faute, avec trente ans d'écart et un outil d'intelligence artificielle en plus.

Une fois les menaces comprises, le cœur du métier se révèle, et il déçoit souvent ceux qui rêvaient de technique pure. Faire de la cybersécurité, c'est arbitrer. Chaque mesure a un coût, en argent, en temps, en confort d'utilisation. Chaque risque a une probabilité et un impact. Le travail consiste à décider, en connaissance de cause, ce qu'on réduit, ce qu'on transfère à un assureur et ce qu'on accepte d'assumer. Oui, accepter. Une organisation qui prétend refuser tout risque ment, ou s'apprête à paralyser sa propre activité. Et une règle d'or gouverne ces arbitrages. Toute mesure qui empêche les gens de travailler sera contournée. Le mot de passe complexe finit sur un post-it, la procédure trop lourde finit ignorée, et la sécurité théorique devient une vulnérabilité pratique. La meilleure protection n'est pas la plus forte, c'est celle qui survit au contact des utilisateurs.

Il faut ajouter une vérité que le marché déteste. La sécurité n'est pas un état, c'est un processus. On n'est jamais « sécurisé », au sens où l'on serait vacciné une fois pour toutes. On maintient un niveau de risque acceptable dans un environnement qui bouge en permanence. De nouvelles vulnérabilités sont publiées chaque jour, les usages changent, les attaquants s'industrialisent, et la configuration irréprochable d'il y a deux ans est devenue une passoire sans que personne n'ait touché à rien. C'est pour cela que le métier ressemble moins à la construction d'une forteresse qu'à l'entretien d'une digue. Le travail n'est jamais fini, et c'est précisément quand on croit qu'il l'est que l'eau passe.

Reste la partie la moins visible et probablement la plus importante. La cybersécurité est une affaire d'humains bien avant d'être une affaire de machines. La majorité des compromissions commencent par un courriel ouvert, un lien cliqué, un mot de passe réutilisé, une consigne d'éditeur appliquée sans discussion. Former les équipes, écrire des règles applicables, préparer la réponse à l'incident, savoir qui appeler et quoi débrancher le jour où l'écran affiche une demande de rançon, tout cela relève autant du métier que la configuration d'un pare-feu. Une organisation qui a répété son plan de crise avec un incident simulé est mieux protégée qu'une organisation suréquipée qui découvrira le sien en le vivant.

Alors, faire de la cybersécurité, c'est quoi. C'est connaître la valeur de ce qu'on protège, penser comme celui qui veut le prendre, arbitrer honnêtement entre le risque et l'usage, entretenir la digue sans jamais la déclarer finie, et préparer les humains au jour où elle cédera quand même. Les outils viennent après, au service de ce raisonnement. Ceux qui vendent l'inverse ne vendent pas de la sécurité. Ils vendent des serrures, et le choix des portes reste à votre charge.