Le NCSC appelle les entreprises à renforcer immédiatement leur résilience cyber : à l’ère de l’incertitude, les opérations de sécurité doivent primer sur la « certitude »

Le NCSC met en garde les entreprises : n’attendez pas la certitude, la résilience cyber doit être mise en œuvre immédiatement

Le Centre national britannique de cybersécurité (NCSC) a récemment lancé, lors d’Infosecurity Europe, un avertissement à forte portée managériale : dans un contexte de changements technologiques rapides, de tensions géopolitiques persistantes et d’élargissement constant de la surface d’attaque, les entreprises ne peuvent plus adopter comme stratégie de sécurité celle consistant à « attendre des signaux de menace plus clairs avant d’ajuster ». Paul Chichester, directeur des opérations du NCSC, a déclaré que l’environnement actuel est rempli de variables, que les défis auxquels les organisations sont confrontées sont plus complexes que jamais, et que les équipes de sécurité doivent faire progresser la construction de la résilience dans l’incertitude, plutôt que d’attendre passivement le retour à une situation stable.

Cette prise de position ne vise pas une attaque particulière, mais constitue un jugement sur l’ensemble de l’environnement de menace des entreprises. Son importance tient au fait que, lorsque la vitesse d’évolution des menaces dépasse celle de la gouvernance organisationnelle, de la visibilité des actifs et de la coordination des réponses, le modèle de sécurité traditionnel consistant à « détecter et corriger au fil de l’eau » devient rapidement inefficace. Pour les CISO, les CIO, les responsables informatiques et les équipes SOC, cela signifie que l’objectif de cybersécurité doit passer de « bloquer autant que possible toutes les attaques » à « garantir que les activités critiques peuvent continuer à fonctionner même lorsqu’une attaque survient ».

Ce qui s’est passé : le NCSC élève la « résilience » au rang de priorité immédiate

Le message central du NCSC s’articule autour de quatre points :

1. Réduire la surface d’attaque : si l’adversaire ne peut pas atteindre la plateforme cible, la valeur des IA de pointe ou d’autres outils d’attaque diminue fortement. 2. Gérer les systèmes hérités et l’informatique parallèle (shadow IT) : les systèmes obsolètes, les actifs non répertoriés et les environnements déployés de façon temporaire au sein de l’entreprise font perdre le contrôle aux défenseurs. 3. Renforcer l’identité et le contrôle des accès : le NCSC souligne clairement que l’identité est devenue le fondement du futur socle de sécurité, et que le zero trust et la gestion des accès ne sont plus facultatifs. 4. Préparer la réponse avant l’incident : les exercices sur table, les simulations de réponse aux incidents et la préparation à la crise au niveau du conseil d’administration influencent de manière significative la vitesse et la qualité de réaction de l’entreprise lors d’un véritable sinistre.

Ces recommandations peuvent sembler élémentaires, mais elles montrent précisément où se situe le problème : dans un environnement complexe, ce qui détermine réellement l’ampleur des pertes n’est souvent pas la possession d’un outil avancé, mais le niveau de maîtrise des actifs, du contrôle des identités et de la coordination organisationnelle.

Analyse technique et des risques : la menace n’est pas un incident isolé, mais une pression composite

• Du point de vue des méthodes d’attaque, les risques décrits par le NCSC ne se limitent pas à une seule famille de logiciels malveillants ou à une vulnérabilité particulière, mais constituent un ensemble de menaces composites :- Vol d’identité et abus d’identifiants : à mesure que les charges de travail des entreprises migrent vers le cloud et les plateformes SaaS, les attaquants ont de plus en plus tendance à pénétrer l’environnement métier via le phishing, le détournement de session, l’abus d’OAuth et des contrôles d’accès faibles.
• Surface d’exposition des systèmes hérités : les terminaux anciens, les serveurs non corrigés et les équipements de périphérie non intégrés à une gestion unifiée restent des points d’entrée à haut risque pour les mouvements latéraux et l’élévation de privilèges.
• Propagation via la chaîne d’approvisionnement et les tiers : lorsque l’informatique d’entreprise dépend davantage de services gérés, d’assistance externalisée et de la chaîne d’approvisionnement logicielle, une compromission ponctuelle a plus facilement tendance à se transformer en risque interorganisationnel.
• Accélération des attaques par l’IA : le NCSC indique que l’IA de pointe est en train de modifier la relation entre attaque et défense. Pour les défenseurs, cela signifie une baisse supplémentaire des barrières à la reconnaissance automatisée, à la falsification de contenu, au phishing à grande échelle et à la génération assistée de code.
• Actions cyber motivées par la géopolitique : le NCSC relie également le comportement cyber à l’action étatique, signalant que les entreprises doivent intégrer le risque cyber dans une évaluation plus large de la continuité d’activité et des risques géopolitiques.

Les actifs concernés présentent eux aussi une caractéristique nettement « full stack » : des terminaux, des systèmes d’identité et des environnements cloud, jusqu’aux centres de données, aux applications métier, puis à la chaîne décisionnelle au niveau du conseil d’administration. En d’autres termes, les attaquants ne cherchent pas nécessairement à « faire sauter » d’un coup le système central, mais sont plus susceptibles de progresser vers les actifs critiques en exploitant progressivement des failles d’identité, de configuration et de processus.

Analyse de l’impact pour l’entreprise : montée simultanée des risques opérationnels, financiers, de conformité et de réputation

Pour les entreprises, la valeur de ce type de signal ne réside pas dans le fait qu’il s’agit « d’une recommandation de sécurité de plus », mais dans le fait qu’il reflète directement l’évolution du modèle de risque métier.

En matière de risque opérationnel, si une entreprise ne dispose pas d’une gouvernance unifiée des actifs, des identités et des processus de changement, une intrusion apparemment localisée peut entraîner une interruption de l’authentification, une dégradation des systèmes critiques, une panne du télétravail ou un arrêt de la coordination de la chaîne d’approvisionnement. Pour les secteurs manufacturier, financier, médical, logistique et les services publics, ce type d’interruption cause souvent des pertes d’exploitation avant même la fuite de données.

En matière de risque financier, une résilience insuffisante se traduit généralement par des coûts de gestion d’incident plus élevés : expertise numérique, restauration, mesures correctives opérationnelles, soutien juridique, indemnisation des clients, réponse réglementaire et pertes commerciales potentielles s’additionnent. Si l’entreprise dépend en outre d’un grand nombre de systèmes hérités, le temps de reprise et les coûts de correction augmentent encore.

En matière de risque de conformité, à mesure que le Royaume-Uni s’apprête à faire avancer le *Cyber Security and Resilience Bill* et que la tendance réglementaire sur les infrastructures critiques se renforce plus largement, les organisations incapables de démontrer la maturité de leurs contrôles de base se retrouveront en position défavorable lors des audits, des notifications réglementaires et des évaluations des risques tiers.

En matière de risque d’image et de confiance, les incidents de sécurité ne sont plus seulement des incidents informatiques, mais un élément important dont clients, partenaires et investisseurs se servent pour juger la capacité de gestion. Pour les entreprises qui s’appuient sur la livraison de services numériques, une résilience insuffisante signifie que le coût de la confiance se transforme rapidement en coût commercial.

Tendances sectorielles : passer de la « prévention des intrusions » à la « continuité durable »

L’avertissement du NCSC reflète en réalité une tendance de fond du secteur de la cybersécurité : l’objectif de défense évolue d’une simple prévention vers un dispositif d’exploitation sécurisée centré sur la résilience, la capacité de rétablissement et la collaboration organisationnelle.

Derrière cette tendance, plusieurs changements structurels se dessinent :

• L’environnement hyperconnecté est devenu la norme : le cloud, le SaaS, l’accès à distance, l’intégration d’API et les services tiers créent une forte interconnexion entre les systèmes d’entreprise, élargissant naturellement la surface d’attaque.
• L’IA redéfinit le périmètre de défense : non seulement les attaquants utilisent l’IA, mais les défenseurs doivent eux aussi s’appuyer sur l’automatisation, l’analyse augmentée et la veille sur les menaces pour réduire les délais de détection et de réponse.
• La complexité dépasse la vulnérabilité ponctuelle : de plus en plus d’incidents ne proviennent pas d’une faille unique, mais d’une combinaison d’erreurs de configuration, de privilèges excessifs, d’une mauvaise gouvernance des identités et de lacunes procédurales.
• La coopération entre secteurs public et privé se renforce : l’accent mis par le NCSC sur le fait que le gouvernement ne peut pas résoudre le problème seul reflète l’évolution de la gouvernance de la sécurité vers une coordination interservices, interchaînes d’approvisionnement et intersectorielle.

Il s’agit donc davantage d’un virage à l’échelle du secteur que d’un simple rappel isolé. Si les entreprises continuent d’orienter principalement leur budget de sécurité vers la protection du périmètre, tout en négligeant la gouvernance des identités, la visibilité des actifs et les mécanismes d’entraînement, elles pourraient en payer le prix fort lors de la prochaine vague d’attaques hybrides.

Recommandations de défense et de réponse : intégrer la résilience dans la gouvernance, sans en rester au slogan

Pour les entreprises, les recommandations du NCSC peuvent être converties en un ensemble d’actions concrètes :

• #### Au niveau de l’entreprise
• Établir un inventaire complet des actifs, couvrant le cloud, les terminaux, les identités, les applications et les points d’accès tiers.
• Assainir l’informatique fantôme et l’usage non autorisé de SaaS.
• Cartographier les processus métiers critiques en fonction des dépendances techniques afin d’identifier les points de défaillance uniques.

• #### Sécurité des identités et des accès
• Imposer le MFA, en couvrant en priorité les administrateurs, les accès à distance et les comptes à privilèges élevés.
• Faire progresser l’architecture Zero Trust afin de limiter la confiance par défaut et les possibilités de mouvement latéral.
• Réexaminer régulièrement les droits, les sessions et l’activité des comptes privilégiés.

• #### Au niveau technique
• Utiliser SIEM / XDR / EDR pour renforcer la visibilité inter-domaines.
• Combiner les renseignements sur les menaces avec l’analyse des journaux, en accordant une priorité aux anomalies d’identité, à la dérive de configuration et aux accès à haut risque.
• Renforcer la gestion des vulnérabilités et le rythme des correctifs, en particulier pour les systèmes hérités et les équipements de périphérie.

• #### Au niveau de la gouvernance
• Organiser régulièrement des exercices de simulation de réponse aux incidents, en y intégrant les responsables juridiques, conformité, communication et métiers.
• Intégrer les fournisseurs et les tiers à la gouvernance de la sécurité et à la planification de la continuité d’activité.
• Définir au niveau du conseil d’administration des indicateurs de « capacité de rétablissement », et pas seulement des indicateurs de « non-intrusion ».

SecurityPost InsightLe signal envoyé cette fois par le NCSC ne signifie pas essentiellement que « les équipes de sécurité vont encore devoir faire des heures supplémentaires », mais plutôt que la logique de gouvernance numérique des entreprises est en train de changer : lorsque les attaquants peuvent exploiter l’IA, les faiblesses liées aux identités, l’interconnexion des chaînes d’approvisionnement et l’incertitude géopolitique pour exercer une pression continue, ce dont les entreprises ont réellement besoin, c’est d’un système de sécurité capable d’absorber le chaos et de se rétablir dans le chaos. Pour les dirigeants, cela signifie que la cybersécurité ne peut plus être considérée comme un ensemble de contrôles isolés, mais doit être envisagée comme un élément central de la résilience de l’entreprise.

Trois tendances méritent d’être surveillées à l’avenir : premièrement, l’identité continuera d’être le principal champ de bataille de l’attaque et de la défense ; deuxièmement, les exigences des entreprises en matière d’exercices de crise et de capacité de reprise augmenteront nettement ; troisièmement, les régulateurs accorderont de plus en plus d’attention à la question de savoir si une organisation peut « prouver qu’elle est résiliente », et pas seulement « promettre qu’elle est en sécurité ». Pour les CISO, l’essentiel maintenant n’est pas d’attendre la forme exacte de la prochaine crise, mais de s’assurer que l’entreprise dispose déjà de la capacité de continuer à fonctionner dans un environnement incertain.