5 obstacles à la cyber-résilience

Pénuries de compétences et équipes surchargées

L'obstacle le plus répandu et le plus évident à la résilience cybernétique est que la plupart des organisations ne disposent tout simplement pas de professionnels qualifiés en nombres suffisants pour réussir.

Dans l'« Étude sur la main-d'œuvre en cybersécurité de l'ISC2 2025 », 95 % des organisations ont signalé manquer d'au moins une compétence en cybersécurité, et 59 % ont décrit ce besoin comme critique ou significatif. De même, l'enquête du Forum économique mondial, intitulée « Global Cybersecurity Outlook 2025 », a révélé que seulement 14 % des organisations étaient confiantes de disposer des personnes et des compétences dont elles ont besoin.

Le budget est probablement un facteur contributif à la raison pour laquelle le travail de résilience accuse du retard, mais Scott Beale estime que le véritable problème est le temps : « sans temps délibérément dédié, le développement sera presque toujours supplanté par la prochaine tâche urgente », juge-t-il. Et selon lui, « cela crée un fossé dangereux entre avoir un plan de résilience et avoir des personnes prêtes à le mettre en œuvre ».

La préparation de la main-d'œuvre doit faire partie intégrante de la stratégie de résilience dès le départ, ajoute-t-il : « pour chaque investissement dans la technologie, les organisations devraient également se demander quelles compétences leurs employés doivent acquérir, qui est responsable des décisions critiques et si les équipes ont pratiqué le travail en collaboration sous pression ».

Dette technique et systèmes patrimoniaux

La dette technique est un défi difficile à surmonter. Elle s'accumule au fil des ans par le biais d'acquisitions, de rotation du personnel et de correctifs progressifs.

« Personne ne s'est assis pour concevoir l'environnement que possèdent la plupart des organisations aujourd'hui », relève Craig Birch, évangéliste technologique et ingénieur de sécurité principal chez Cayosoft, un fournisseur de logiciels d'identité. Du coup, « on se retrouve avec des privilèges permanents, des dépendances non documentées et des systèmes auquel tout le monde a peur de toucher parce que personne n'est absolument certain de ce qui pourrait tomber en panne ».

Le remplacement d'une infrastructure de ce type est perturbateur pour les processus-mêmes qu'elle supporte, ce qui la maintient près du bas de la liste des priorités.

« La plupart des organisations exécutent des processus critiques sur une infrastructure qui n'a jamais été conçue en tenant compte du paysage des menaces actuel », constate Matthieu Chan Tsin, vice-président senior et directeur général des services de résilience chez Cowbell, un conseiller et assureur en cybersécurité.

Souvent, un correctif rapide peut résoudre un problème, mais seule une refonte complète élimine la dette.

« Si quelque chose est cassé, il est plus facile de justifier la correction et les dépenses associées que de faire la même chose pour quelque chose qui pourrait ne pas tomber en panne pendant des années, mais qui prendra des années à mettre en œuvre », analyse Chris Hickman, directeur de la sécurité chez la société de cybersécurité Keyfactor.

Malheureusement pour les objectifs de résilience, chaque achat individuel semble rationnel au moment où il est effectué.

« Il y a un problème à court terme, et il y a un produit qui résout ce problème spécifique », explique M.K. Palmore, fondateur et conseiller principal chez Apogee Global RMS. Pour lui, « le piège est qu'un portefeuille de décisions rationnelles ponctuelles produit une architecture que personne ne concevrait intentionnellement ».

La façon de corriger la dette technique est donc d'éviter de répondre au défi actuel avec des solutions incomplètes qui ne traitent que le problème limité pour lequel elles ont été achetées. Au lieu de cela, estime M.K. Palmore, il faut « évaluer chaque acquisition par rapport à l'orientation de l'environnement, pas seulement au problème du moment ».

Risque tiers et de la chaîne d'approvisionnement

Les environnements informatiques modernes dépendent de services tiers qui introduisent inévitablement des facteurs de risque tout au long de la chaîne d'approvisionnement, et qui compliquent les efforts de résilience cybernétique. Souvent, la seule information qu'une organisation possède sur son risque de chaîne d'approvisionnement est un questionnaire annuel aux fournisseurs.

« Les questionnaires n'offrent aucune visibilité sur les risques en temps réel », estime Chris Teekema, responsable de la détection et de la réponse gérées chez BlueVoyant, un fournisseur de services de sécurité managés.

La chaîne de dépendance d'une entreprise s'étend bien au-delà de sa liste formelle de fournisseurs. Cela rend la chaîne complète difficile à visualiser.

« Votre résilience est en fin de compte limitée par chaque dépendance critique nécessaire au fonctionnement de l'entreprise », observe Heath Renfrow, cofondateur de Fenix24, un fournisseur de services de reprise après sinistre.

Lorsqu'un partenaire ou une technologie n'a pas été audité, il est extrêmement difficile d'identifier une exposition. « Une organisation peut renforcer ce qu'elle contrôle directement, mais peut toujours hériter d'une exposition par le biais d'un partenaire qu'elle ne contrôle pas et qu'elle ne peut pas auditer entièrement », relève Shane Barney, CISO chez Keeper Security, un fournisseur de gestion d'identité.

Réduire le risque de la chaîne logistique est un processus actif qui va au-delà des questionnaires annuels : « la résilience n'est pas une case à cocher que l'on coche une fois que la direction a donné son approbation. Pour être efficace, elle doit être un ensemble de comportements continus », souligne Chan Tsin.

Éparpillement des identités et accès non gérés

En tant que passerelle vers les informations d'une organisation, l'identité est un élément essentiel de la résilience cybernétique.

Les organisations disposent de nombreux contrôles de sécurité et de résilience pour répondre aux risques liés à l'identité, mais si une identité compromise permet un accès non autorisé, les contrôles risquent de ne pas être efficaces : « une seule identité compromise génère le même rayon d'impact qu'une défection de rançongiciel à l'échelle du réseau », relève Chris Teekema.

Le problème de l'identité devient de plus en plus difficile à résoudre car les agents d'IA et les workflows automatisés sont ajoutés rapidement, souvent avant que quiconque n'ait déterminé qui les possède ou comment gérer leur accès. Las, « ces identités peuvent détenir des autorisations déléguées, traverser des frontières de systèmes et effectuer des changements beaucoup plus rapidement qu'une personne », explique Craig Birch.

La clé pour surmonter cet obstacle est de prévenir l'accès non géré : « la résilience cyber moderne commence par la compréhension de qui et de quoi a accès à quoi, et, plus important encore, comment une activité malveillante pourrait obtenir des privilèges supplémentaires non justifiés », juge Morey Haber, conseiller en sécurité principal chez BeyondTrust.

Plans non validés et préparation non testée

Les organisations découvrent souvent qu'elles ne sont pas résilientes lorsque les systèmes tombent en panne et que leurs plans de résilience cybernétique n'ont pas fonctionné. Les efforts de résilience peuvent paraître bons sur le papier, mais ils ne tiennent pas toujours dans le monde réel.

« Le plus grand problème que je constate est que les organisations confondent encore la cybersécurité avec la résilience cyber », déplore Heath Renfrow : « elles dépensent d'énormes sommes d'argent pour essayer de prévenir un incident, mais un effort relativement faible pour prouver qu'elles peuvent fonctionner et se rétablir lorsque la prévention échoue ».

Les équipes de sécurité peuvent mener des exercices de simulation, mais ceux-ci ne testent pas entièrement la résilience opérationnelle.

« Une organisation dispose de sauvegardes, d'un plan de récupération et d'un exercice de simulation dans son calendrier, donc tout le monde se sent raisonnablement préparé », explique Craig Birch. Mais, souligne-t-il, « le véritable test survient lorsque l'identité est compromise, que les systèmes clés sont indisponibles et que l'attaquant pourrait toujours avoir un point d'appui. Un plan qui n'a jamais été testé dans ces conditions peut donner aux gens une confiance dangereuse ».

La véritable résilience, explique-t-il, nécessite un test approprié : « les organisations doivent pratiquer la récupération dans des conditions réalistes, cartographier les dépendances entre les systèmes et accorder à la récupération de l'identité la même attention qu'elles accordent aux données et à l'infrastructure ». En outre, « elles doivent également disposer d'un moyen clair de vérifier la persistance de l'attaquant avant que les employés et les clients ne commencent à dépendre à nouveau de l'environnement ».

Être résilient face aux cybermenaces est plus qu'avoir sulement un plan de récupération et une stratégie qu'un RSSI peut présenter au conseil d'administration : « cessez de traiter la résilience comme un document », conseille Heath Renfrow, et « commencez à la traiter comme une capacité opérationnelle mesurable »,

Sean Michael Kerner est un consultant informatique, un passionné de technologie et un bricoleur. Il a déployé des Token Ring, configuré NetWare et est connu pour compiler son propre noyau Linux. Il conseille des organisations industrielles et des médias sur les questions technologiques.