La sécurité informatique en entreprise ne se résume plus à empiler des couches de protection périmétrique. Les retours d’expérience publiés par la CNIL en 2024 sur les violations massives de données montrent que les failles exploitées sont souvent structurelles : cloisonnement insuffisant entre frontend et backend, absence de journalisation exploitable, sous-traitants non audités. Nous abordons ici les axes techniques et réglementaires qui changent réellement la posture de défense d’une organisation.
Journalisation et cloisonnement des flux : les deux angles morts récurrents
La majorité des compromissions analysées par la CNIL en 2024 partagent un point commun : les entreprises touchées ne disposaient pas d’une journalisation suffisante pour reconstituer la chaîne d’attaque. Journaliser ne signifie pas stocker des logs dans un coin. La CNIL recommande une journalisation systématique des accès applicatifs, API, système et réseau, couplée à des alertes automatisées permettant une levée de doute rapide par un opérateur humain.
A lire également : Réparez votre smartphone rapidement : astuces et conseils pour prolonger sa durée de vie
Le cloisonnement effectif des données entre les couches applicatives constitue le second enseignement. Un attaquant qui compromet un serveur web ne devrait jamais accéder directement aux bases de données métier. Nous recommandons de segmenter les réseaux par zones de confiance, avec des règles de filtrage strictes entre chaque segment, et de vérifier périodiquement que ces règles n’ont pas été contournées par des évolutions d’infrastructure.
Pour approfondir ces pratiques, les informations du site Simpler Computing détaillent les approches adaptées aux structures qui n’ont pas encore formalisé leur architecture de sécurité.
A lire en complément : Comment afficher une URL masquée et comprendre son utilité pour votre sécurité en ligne
Transposition NIS2 en France : obligations concrètes pour les entreprises
La directive NIS2 modifie profondément le périmètre des entreprises soumises à des obligations de cybersécurité. Sa transposition en droit français impose aux entités concernées de nommer un responsable de la sécurité des systèmes d’information (RSSI), de réaliser une analyse de risques annuelle et de notifier tout incident significatif dans les 24 heures.
Les sanctions prévues peuvent atteindre 2 % du chiffre d’affaires mondial ou 10 millions d’euros. Ce niveau de pénalité place la conformité cybersécurité au même rang que la conformité RGPD en termes de risque financier.
L’erreur fréquente consiste à traiter NIS2 comme un exercice documentaire. Produire une politique de sécurité sans vérifier sa mise en oeuvre technique ne protège ni contre les attaques ni contre les sanctions. Nous observons que les entreprises qui tirent le meilleur parti de cette contrainte réglementaire sont celles qui intègrent l’analyse de risques dans leur cycle de gestion de projet, pas dans un rapport annuel figé.
Mesures techniques et organisationnelles attendues
- Mise en place d’un processus de détection d’incidents avec des indicateurs de compromission actualisés, et un circuit d’escalade défini avant qu’une crise ne survienne.
- Intégration d’exigences de sécurité dans les contrats avec les sous-traitants, incluant un droit d’audit et une obligation de notification en cas de compromission de leur propre système d’information.
- Vérification périodique de la sécurité des prestataires ayant accès aux données ou aux systèmes, par des tests techniques ou des questionnaires structurés.
Cyber Resilience Act : ce qui change pour les logiciels et objets connectés en entreprise
Le règlement européen 2024/2847, dit Cyber Resilience Act (CRA), publié au Journal officiel de l’UE le 20 novembre 2024, introduit des exigences de sécurité par conception pour tous les produits comportant des éléments numériques. Concrètement, tout logiciel ou objet connecté commercialisé dans l’UE devra respecter des critères de sécurité dès sa mise sur le marché.
Pour les entreprises utilisatrices, l’impact est indirect mais réel. Les éditeurs de logiciels et fabricants d’équipements devront fournir des mises à jour de sécurité pendant toute la durée de vie prévue du produit. Un produit sans suivi de correctifs ne pourra plus être commercialisé légalement. Cela change la manière d’évaluer les fournisseurs : le critère de maintenance logicielle devient un critère de conformité réglementaire, pas seulement un avantage commercial.
Les entreprises qui utilisent des solutions logicielles sur mesure ou des objets connectés industriels doivent anticiper dès maintenant la question du cycle de vie sécuritaire de ces produits. Un capteur IoT déployé sans politique de mise à jour deviendra un point de vulnérabilité et un risque de non-conformité.
Gestion des sous-traitants : le maillon que les politiques de sécurité ignorent
Les violations massives de données analysées par la CNIL montrent que la compromission passe régulièrement par un prestataire. Un sous-traitant qui accède à votre système d’information avec des identifiants à privilèges élevés et sans supervision représente un risque équivalent à une absence de pare-feu.
La CNIL recommande d’intégrer explicitement dans les contrats les exigences de sécurité applicables aux sous-traitants. Cela va au-delà d’une clause générique de confidentialité :
- Définir les mesures de protection attendues (chiffrement, authentification multifacteur, cloisonnement des accès) avec des critères vérifiables.
- Prévoir un droit d’audit technique, exercé au moins une fois par an ou après tout incident déclaré par le prestataire.
- Exiger une notification rapide en cas de compromission du système du sous-traitant, même si les données de votre entreprise ne semblent pas directement touchées.
Un sous-traitant non audité est une porte ouverte sur votre système d’information. La formalisation contractuelle seule ne suffit pas : sans vérification technique, elle reste déclarative.
Les entreprises qui renforcent leur sécurité informatique en 2024 ne peuvent plus se contenter de protéger leur propre périmètre. Entre NIS2, le Cyber Resilience Act et les retours de la CNIL, le cadre réglementaire impose désormais une approche étendue à toute la chaîne de valeur numérique. La sécurité se joue autant dans les contrats et les audits que dans les pare-feu.