Avec plus de 4 384 événements de sécurité majeurs traités par l’Anssi en 2024 (soit plus de 15 % par rapport à 2023), la cybersécurité se positionne comme un sujet central pour toutes les organisations. En ce sens, les TPE, PME, ETI, grands comptes et structures publiques doivent repenser en profondeur leur gouvernance pour protéger leur patrimoine numérique, sécuriser leurs opérations quotidiennes et ne pas subir de rupture d’exploitation. C’est dans ce contexte que renforcer ses équipes cyber est un véritable enjeu.

Mais recruter et fidéliser des experts cyber est un exercice particulièrement complexe au regard de la pénurie de compétences. En effet, trop peu de jeunes diplômés sont aujourd’hui véritablement spécialisés sur ce domaine. Selon l’ISC2 Cybersécurity Workforce Study 2024, l’écart entre la demande et l’offre de professionnels qualifiés atteint près de 4,8 millions de personnes à l’échelle mondiale, soit une augmentation de plus de 19 % en un an. Il est donc stratégique pour les écoles, universités et organismes de formation de prendre en compte ce point et de faire évoluer leurs cursus de formation.

Proposer des formations en phase avec les besoins du marché

L’ingénierie pédagogique couplée à l’expertise est un axe central pour proposer des cursus cyber certifiants, de qualité et permettant aux étudiants de pouvoir rapidement répondre aux attentes des professionnels. C’est précisément dans ce contexte que les relations écoles/entreprises sont fondamentales. Il est alors possible de créer des cursus reposant sur les règles de l’art et de positionner l’excellence technologique et pédagogique au centre des formations proposées. Les étudiants bénéficient ainsi de la certitude de valoriser rapidement leur formation et de pouvoir trouver des opportunités professionnelles à forte valeur ajoutée.

Un véritable vivier de compétences et de recrutement pour les entreprises

Se rapprocher des écoles est donc une véritable opportunité pour les professionnels de tisser avec les étudiants des relations étroites et de pouvoir à terme en intégrer une partie au sein de leurs équipes. En ce sens, nombre d’entreprises investissent des ressources importantes pour positionner leurs experts au sein des écoles. Ces derniers occupent alors des rôles structurants, interviennent régulièrement et contribuent à donner une véritable valeur aux cursus proposés.  À titre d’exemple, des experts comme Brice Bazine (groupe Thalès) sont aujourd’hui référents des formations cyber dispensées au sein du campus Ynov de Sophia-Antipolis. On notera également que ces professionnels sont indispensables pour faire évoluer en continu les programmes et les adapter aux évolutions du marché. La cybersécurité est en effet un sujet dynamique où les menaces évoluent rapidement et imposent de nouvelles protections. La collaboration étroite entre les entreprises et les écoles devrait donc rapidement permettre aux formations cyber de gagner en maturité et de donner une valeur toujours plus importante aux diplômes délivrés.

Des formations pratiques rapidement transposables en entreprise

Au-delà de la qualité des contenus théoriques dispensés, il est fondamental de positionner les cas pratiques dans les cursus de formation. Dès lors, différentes initiatives sont possibles et permettent de donner une nouvelle dimension à l’enseignement délivré : certifier des étudiants sur des technologies reconnues, les mettre en situation concrète, lancer des cursus de sensibilisation, proposer des vrais espaces de travail comme des cyberwar rooms, développer des scénarios offensifs et défensifs, etc. Tous ces éléments permettent de faire la différence entre les cursus et de s’assurer de bénéficier de tous les fondamentaux pour accéder rapidement à un emploi dès sa sortie d’école : Analyste Cybersécurité, Chef de projets, etc.

Dans un contexte géopolitique complexe où les notions de souveraineté et de cyberdéfense sont désormais une priorité, il est donc stratégique de permettre aux entreprises et organisations publiques de se protéger efficacement contre des menaces toujours plus complexes. Former massivement des experts cyber est alors un sujet d’importance vitale qui doit être au cœur des stratégies pédagogiques des écoles et organismes de formation. Pour les étudiants, ce sera aussi une véritable opportunité de pouvoir évoluer dans un secteur dynamique, d’accéder rapidement à des emplois passionnants (92 % des jeunes diplômés trouvent un emploi en moins de 6 mois après l’obtention du titre Expert en Cybersécurité), puis de développer leur employabilité à long terme.

Par Pierre-Henri DUBOIS, Directeur et Chef d’Etablissement de Sophia Ynov Campus .

Et si la vraie faille de sécurité, c’était l’absence de stratégie de formation

Nous n’avons de cesse de le dire, le répéter, les cybermenaces explosent en volume et en sophistication. 2025 impose une prise de conscience : la cybersécurité ne relève plus uniquement de la technologie, mais avant tout de la compétence humaine. Or, trop d’organisations sous-estiment encore l’enjeu d’un plan de formation structuré, évolutif et aligné sur les risques réels.

Comment bâtir un plan de formation cybersécurité efficace, opérationnel, et ancré dans votre réalité métier ?

Voici un plan qui renforce les défenses, aligne les équipes, et fait de la sécurité un réflexe collectif.

Partir des risques, pas des outils

Le piège classique consiste à vouloir former à des outils ou à des normes par principe, sans lien direct avec la réalité du terrain. Un bon plan de formation commence toujours à minima par une cartographie claire des risques cyber spécifiques liés à un secteur, à des métiers et à des données critiques.

Pour cela, il vous faut vous poser les bonnes questions : qui est exposé dans l’entreprise et à quoi ? Et avec quelles conséquences potentielles ? C’est cette analyse qui doit piloter ses priorités. Cela peut ainsi déboucher à identifier des actions spécifiques pour chaque public cible de l’entreprise : sensibilisation renforcée pour les RH manipulant des données sensibles, entraînement à la détection de phishing pour les commerciaux, bonnes pratiques DevSecOps pour les équipes tech, etc.

Segmenter les publics, individualiser les parcours

Il n’y a pas une cybersécurité, mais des postures de sécurité adaptées à chaque fonction. La personnalisation devient une exigence. Exit les formations « génériques » qui top souvent endorment les uns et dépassent les autres.

Un plan de formation efficace s’appuie sur :

• Une segmentation fine des profils (top management, fonctions support, IT, métiers à risque élevé…)
• Des formats adaptés avec par exemple, des e-learning courts pour les collaborateurs, des workshops immersifs pour les admins, ou encore des exercices de crise pour les dirigeants
• Un suivi de progression individualisé, basé sur des indicateurs concrets et durables dans le temps, lié à la fois au suivi de la formation, mais également à son contenu : taux de participations, comportements, incidents évités, taux de complétion…

Faire de la formation un processus, pas un événement

Un phishing test par an ne suffit plus… on le constate tous les jours, les menaces évoluent, les méthodes aussi. C’est pourquoi, les réflexes aussi doivent s’entretenir, et un bon plan de formation cybersécurité s’inscrit forcément dans la durée.

Et de maintien des connaissances, doit passer par :

1. Une montée en compétence continue (microlearning, actualités cyber internes, challenges mensuels…)
2. Des rappels réguliers des bonnes pratiques (nudges, affiches, messages internes…)
3. Une culture d’apprentissage ancrée dans le quotidien

Mesurer pour prouver, ajuster pour performer

Former, c’est bien. Prouver l’impact, c’est mieux. Pour faire valoir sa stratégie auprès de la direction, le pilotage par les données est indispensable. Et cela est vrai également pour les actions de formation.

Tout comme il est important d’individualiser les parcours, il est essentiel de spécifier les bons indicateurs :

• Taux de complétion et d’engagement aux formations,
• Résultats aux quiz et simulations (phishing, exercices de crise…),
• Diminution des incidents liés à des erreurs humaines,
• Feedback des équipes sur la pertinence des contenus,

… autant de KPIs  qui peuvent faire passer d’une logique de conformité à une logique de performance.

S’entourer des bons partenaires

Construire un plan de formation cybersécurité robuste ne s’improvise pas. Mais surtout, il demande des compétences pédagogiques, une veille constante, une adaptation aux réglementations (NIS2, RGPD, LPM, etc.)… mais aussi une capacité à comprendre vos enjeux métiers et à l’éprouver sur le terrain !

Les 5 piliers d’un plan de formation cyber réussie sont :

1. Aligner la formation sur les risques concrets
2. Adapter les contenus à chaque public cible de l’entreprise
3. Intégrer la sécurité dans le quotidien des équipes au-delà des formations
4. Mesurer l’impact en continu et sur le long terme
5. S’appuyer sur un partenaire terrain, expert et agile

Par Yosra Ghalmi, Directrice Numeryx Université

Dans le paysage IT, aujourd’hui en constante évolution, la gestion d’environnements IT complexes est devenue plus difficile que jamais. Une Base de Données de Gestion de Configuration (CMDB) sert de pilier pour la gestion des actifs IT, permettant aux entreprises de suivre et de gérer leurs ressources de manière efficace. Mais pourquoi choisir une solution open source plutôt que des outils propriétaires ? Cet article explore les avantages uniques des CMDB open source, pourquoi elles sont devenues le choix privilégié des entreprises à travers le monde et comment elles aident les organisations à rester agiles et efficaces.

CMDB open source : un avantage stratégique

Les solutions CMDB open source offrent bien plus que des économies de coûts et de la flexibilité : ce sont des outils puissants qui permettent aux organisations de gérer leurs environnements IT avec plus de précision et de facilité. Voici un aperçu des caractéristiques qui rendent la CMDB open source incontournable dans le paysage IT dynamique d’aujourd’hui.

1. Sécurité en laquelle on peut avoir confiance

La sécurité est la base de tout système informatique, et les CMDB open source se distinguent par une transparence inégalée. Sur ce point, la CMDB offre un réel apport pour la sécurisation des infrastructures (gestion de règles de firewalls, les décommissionnements d’applications ou de suppression de compte lors de mouvements de personnel) et peut même être utilisée pour appliquer une approche ZeroTrust (ZTNA). Au niveau de la conformité, on notera également que l’une des particularités de l’open source est la gestion des CVE (Commun Vulnerabilities and Exposures) qui permettent de publier des failles de sécurité et leur correction. C’est un processus documenté, publique et très efficace.

2. Personnalisation pour répondre à ses besoins spécifiques

Chaque entreprise est différente, et ses besoins IT le sont tout autant. Une CMDB open source offre un niveau de flexibilité que les outils propriétaires ne peuvent égaler.

Plus le modèle de données est riche et adapté aux besoins des départements IT, plus il permet un suivi efficace. On peut par exemple ajouter dans la CMDB tous les éléments permettant de faire un inventaire des éléments électriques. Si l’utilisateur souhaite adapter la CMDB, rien ne l’empêche de se baser sur une partie du code et de l’étendre à ses propres besoins pour enrichir les fonctionnalités déjà présentes. C’est la force d’une communauté d’utilisateurs open source, qui peuvent contribuer à étendre le modèle existant.

Fonctionnalités adaptables : Les équipes IT peuvent modifier et étendre la CMDB pour l’adapter à des flux de travail spécifiques.

Intégrations avancées : Intégrer facilement des scripts ou des outils tiers pour améliorer les performances. Cela est favorisé par l’accès à un code ouvert qui facilite l’intégration de solutions externes.

Ces éléments garantissent que la CMDB reste parfaitement adaptée à ses opérations, même si elles deviennent plus complexes.

3. Synchronisation transparente entre les CMDB

Pour les organisations qui gèrent des environnements distribués ou hybrides, les CMDB open source offrent des outils permettant de maintenir l’alignement et la connexion entre les systèmes.

Synchronisation en temps réel (APIs, Webhooks) : Maintenez la cohérence entre plusieurs CMDB, peu importe leur localisation.

Intégration inter-plateformes : Rappelons que dans l’Open Source de nombreuses solutions d’orchestration, monitoring, ITSM existent et qu’elles sont robustes et facilement interconnectables.

Solutions évolutives : Gérez facilement des infrastructures en expansion tout en préservant l’intégrité des données.

Cette approche interconnectée permet aux équipes IT de travailler en toute confiance, sachant que leurs systèmes sont toujours synchronisés.

Au final, il apparait que l’open source est un acteur sérieux pour gérer efficacement des référentiels IT complexes via les CMDB. Ses grands avantages étant de conjuguer sécurité, transparence et efficacité.

Par Delphine Coille chez Combodo

Stéphane Faivre- Duboz, Vice President Sales EMEA chez Camunda

L’adoption de l’intelligence artificielle en entreprise ne fait pas que s’accélérer : elle transforme la manière dont les organisations fonctionnent. Les agents autonomes, l’IA générative et l’automatisation poussée sont en train de modifier la prise de décision, l’exécution des processus et l’expérience des clients. Dans leur course pour devenir des « entreprises autonomes », beaucoup risquent toutefois de perdre en contrôle, de créer du désordre opérationnel et de voir leurs coûts exploser.

L’IA a pour vocation d’augmenter le niveau d’automatisation. Mais les organisations qui tentent de déployer l’IA à grande échelle sans une couche d’orchestration risquent de dilapider leurs ressources, de perdre la maîtrise de leurs opérations et de mettre en danger leur conformité. Pour atteindre une véritable autonomie, il est indispensable d’instaurer des responsabilités claires : l’IA peut agir de façon indépendante, mais uniquement dans des cadres définis, garants de transparence et de contrôle.

L’ère de l’IA exige une nouvelle architecture

Les prévisions indiquent que d’ici 2025, une entreprise sur quatre ayant recours à l’IA générative adoptera des agents d’IA, ou des entités logicielles autonomes exécutant des tâches complexes. Ce nombre devrait doubler d’ici 2027.

Cependant, la mise en œuvre opérationnelle de l’IA n’est pas sans difficulté. Alors que la plupart des organisations prévoient d’intégrer davantage l’IA dans les stratégies d’automatisation, beaucoup peinent encore à la mettre à l’échelle et à l’opérationnaliser efficacement. Ces défis se multiplient dans les secteurs hautement réglementés, où il est vital que les décisions de l’IA soient transparentes, auditables et conformes.

Pour réaliser le potentiel de l’IA sans compromettre le contrôle, les organisations ont besoin d’un nouveau modèle opérationnel qui maintienne l’IA évolutive, responsable et sous surveillance humaine.

Des silos d’automatisation à la pensée systémique

L’intelligence artificielle est trop fréquemment déployée de manière isolée. Pensez aux IA intégrées dans les applications SaaS, aux bots d’automatisation des processus robotiques (RPA) déconnectés, ou aux modèles d’apprentissage automatique spécifiques à un service. Par conséquent, l’automatisation devient fragmentée, nécessitant une intervention humaine pour corriger les problèmes, ce qui va à l’encontre de l’objectif initial d’intégration de l’IA. Pour les applications en contact avec le public, des processus automatisés interrompus risquent de générer de la frustration, voire une perte de clientèle.

L’autonomie exige la cohésion. C’est à ce niveau que l’orchestration des processus devient essentielle. Elle relie les agents d’IA, les personnes, les systèmes, les appareils et les technologies existantes dans des processus métier unifiés de bout en bout. Elle garantit que chaque tâche, automatisée ou manuelle, se déroule au bon moment, avec la bonne surveillance, et dans le bon contexte.

Considérez l’orchestration des processus comme la différence entre l’installation d’une fonction de conduite autonome sur une voiture et la construction d’un système de circulation complet qui coordonne des millions de types de véhicules différents. La première vous permet de vous déplacer, tandis que la seconde permet à tout le monde de se déplacer en toute sécurité.

Mettre l’IA en œuvre sans se ruiner se ruiner, tout en respectant la réglementation

L’IA promet l’efficacité, mais sans orchestration, elle peut introduire des coûts et des risques imprévus. Tous les processus n’exigent pas, ou ne bénéficient pas, des agents d’IA avancés ou des grands modèles linguistiques. En fait, une grande partie de la valeur de l’IA réside dans le fait de savoir quand l’utiliser et comment la contrôler. C’est pourquoi il est essentiel de comprendre les différences entre l’orchestration déterministe, dynamique et agentique.

L’orchestration déterministe est le modèle le plus connu. Il régit les processus à l’aide d’une logique prédéfinie, telle que des règles, des embranchements et des conditions cartographiés à l’avance. Il est fiable, rapide et rentable, ce qui le rend idéal pour les tâches à volume élevé avec des résultats prévisibles. Dans les secteurs réglementés, il offre également la répétabilité et la transparence nécessaires à la conformité. Cependant, il manque de la flexibilité nécessaire pour gérer les exceptions, l’ambiguïté ou le changement.

L’orchestration dynamique des processus apporte davantage d’adaptabilité. Dans ce cas, l’IA décide des tâches à exécuter et de leur séquence en se basant sur le contexte plutôt que sur des règles préétablies. Cette approche permet l’automatisation dans les scénarios où les données d’entrée sont non structurées ou lorsque la meilleure marche à suivre n’est pas connue à l’avance. C’est une approche puissante, mais aussi plus difficile à contrôler. Sans surveillance appropriée, l’orchestration dynamique peut entraîner des comportements incohérents ou des décisions difficiles à auditer.

C’est la raison pour laquelle de nombreuses entreprises se tournent vers l’orchestration par agent, un modèle hybride alliant la maîtrise du déterminisme et la souplesse du dynamique. L’orchestration agentique permet aux agents d’IA de prendre des décisions et d’agir, mais selon des paramètres définis. Elle offre un équilibre : l’IA peut s’adapter et répondre à des données d’entrée inattendues, tandis que l’humain conserve la capacité de surveiller, d’auditer et d’intervenir en cas de besoin.

Cette approche à plusieurs niveaux est particulièrement importante pour déployer l’IA en toute sécurité. Elle permet aux entreprises d’acheminer les tâches simples via la logique déterministe, tout en réservant la flexibilité pilotée par l’IA aux scénarios plus complexes ou variables. Elle permet également de contrôler les coûts, garantissant que les modèles d’IA ne sont utilisés que lorsque leur valeur justifie l’investissement.

En somme, la mise en œuvre de l’IA revient à injecter le niveau approprié d’intelligence, d’adaptabilité et de supervision dans chaque processus. L’objectif est que l’ensemble du système fonctionne de manière fiable, efficace et dans le respect des limites établies.

L’entreprise autonome, une conception intrinsèquement hybride

Malgré l’engouement, l’entreprise entièrement autonome reste un objectif lointain. La plupart des entreprises adopteront un modèle hybride dans lequel l’IA et l’humain dirigeront conjointement les processus. La réussite reposera sur la capacité d’une organisation à orchestrer les flux de travail déterministes et dynamiques avec discernement et maîtrise.

L’orchestration agentique est une nécessité pour la prochaine phase de l’IA d’entreprise. Elle garantit que l’autonomie ne se fasse pas au détriment de la confiance, de la transparence ou de la performance. Dans l’entreprise autonome du futur, la question de savoir qui (ou quoi) prend la décision importe moins que la façon dont cette décision s’inscrit dans la vision globale.

La cybersécurité a changé. Poncif ? Peut-être. Mais est-on bien certain de savoir mesurer toutes les implications de cette étonnante évolution ? Peut-être pas. Depuis les dernières directives issues de la stratégie européenne de cybersécurité, les RSSI ont enfin obtenu, quasiment du jour au lendemain, l’entière attention de leur direction. Jusqu’ici, ne fallait-il pas se démener pour que le budget cyber soit à la hauteur des menaces ? Pour que les décisions d’achat ou de souscription cessent d’être guidées par les effets de mode ? Évidemment, ce type d’écueils se rencontrent encore.

Cela dit, de moins en moins, car les professionnels de la cybersécurité d’entreprise sont dorénavant pris très au sérieux. Si les échanges entre RSSI et métiers sont encore succincts et varient en fonction des organisations et de leur maturité, une synergie entre sécurité (à travers le RSSI) et métiers (business, infrastructure ou encore production) prend forme notamment dans des cadres communs comme le règlement DORA ou l’approche par les risques. Cette écoute attentive et ses effets ne s’exercent pas qu’en interne et rejaillissent sur toute l’activité de conseil et d’intégration de solutions de cybersécurité. Le rôle du RSSI prend de l’épaisseur, sa fonction devient stratégique, son budget s’étoffe suffisamment pour aiguiser son intérêt et son appétit pour plus de préconisations et de nouvelles solutions, plus conformes à l’état de la menace et du risque d’aujourd’hui.

La réglementation à l’œuvre

Les moteurs de cette évolution majeure ? Les cyberattaques et leur corollaire, la réglementation. Pour mémoire, les premières mesures majeures en la matière ne datent plus d’hier. Qu’il s’agisse de la loi de programmation militaire n° 2013-1168 du 18 décembre 2013 qui fixait déjà un cadre réglementaire pour protéger les infrastructures critiques contre les cyberattaques ou la directive NIS 1 (directive européenne 2016/1148 Network Information Security), transposée en 2018 dans le droit français, les entreprises ont progressivement été sensibilisées à la menace, relayant ainsi les appels du pied, de plus en plus insistants, des responsables de la sécurité informatique.

Une course à l’armement cyber

Avec la démocratisation des services en ligne, la valeur croissante de la donnée, l’augmentation des échanges numériques, la massive informatisation de l’entreprise et la dissémination des systèmes d’information, la hausse des incidents de sécurité n’a fait que suivre le cours normal de l’évolution des méthodes de travail. Plus médiatisée également, cette tendance au risque cyber a profondément transformé les équilibres et contribué à répartir autrement l’effort financier dans les organisations.

Conséquence somme toute prévisible de l’augmentation du budget de la direction des systèmes d’information, un empilement de solutions de cybersécurité très hétérogènes contribuant moins à la sécurité globale qu’à une perte de la visibilité des actifs de l’entreprise et une fausse impression de sécurité.

Le souhait de la consolidation

Aujourd’hui toutefois, les organisations entrent dans une phase de stabilisation, notamment motivée par une baisse des budgets IT, dans laquelle les RSSI cherchent à rationaliser le parc de solutions de cybersécurité. L’exercice demeure complexe : l’évolution très rapide des usages ne permet pas toujours de différencier l’accessoire de l’indispensable.

L’effort de consolidation se heurte également à l’hyperspécialisation des acteurs de la cybersécurité français et européens. Naturellement, il reste aux organisations le choix de confier leur cybersécurité à l’un ou l’autre géant américain de la cyber (ou éventuellement israélien), dont la croissance externe, généralement offensive, lui permet de couvrir la quasi-totalité des thématiques considérées. Cela ne résout toutefois pas les problématiques liées à la souveraineté et aux limites budgétaires et renforce considérablement le risque d’enfermement propriétaire que les entreprises cherchent pourtant à fuir autant que possible.

Rationaliser, consolider, dé-commissionner

S’orienter dans le dédale d’une informatique en évolution permanente

Afin de déculpabiliser chacun, précisons qu’en dehors de quelques secteurs sensibilisés et contraints depuis longtemps comme la banque/finance et les grands OIV, la cybersécurité d’entreprise reste un domaine où subsistent beaucoup d’incertitudes, s’additionnant au fil du temps et de la croissance. Un rapprochement de filiales et ce sont de nouvelles solutions de cybersécurité qui s’ajoutent à l’existant, de nouveaux matériels, de nouvelles méthodes avec lesquelles il faut composer.

Dans la pratique, au-delà de quelques convictions générales comme l’urgence de rationaliser, d’atteindre une prédictibilité des coûts et de disposer d’une sécurité efficace et suffisante, l’entreprise se montre rarement en mesure de définir des objectifs plus précis, une feuille de route, et encore moins de dresser la liste des outils à conserver.

On le serait à moins. L’exercice du choix éclairé requiert de maîtriser de multiples paramètres, de disposer d’une vaste connaissance de l’offre cyber disponible, de bien connaître le périmètre couvert, et bien sûr le coût réel à engager. La démarche en outre est généralement freinée par les traditionnels silos métiers que l’on s’efforce d’atténuer et qui semblent prendre un malin plaisir à se reformer dès que l’on a le dos tourné. Il n’y a pas de choix éclairé sans disposer d’une carte exhaustive. En d’autres termes, le conseil, l’analyse et l’audit externe demeurent des expertises tout à fait bénéfiques, à plus d’un titre.

Par quoi commencer ?

La certification ISO 27 001 est le canevas idéal pour prendre le pouls de l’entreprise, évaluer le niveau de risque en fonction de l’activité et du secteur et définir les objectifs. C’est également un point d’entrée approprié pour tous les collaborateurs puisqu’il énonce l’ensemble des règles d’hygiène cyber, ce socle élémentaire que l’entreprise doit maîtriser.

Au-delà des concepts et des bonnes pratiques partagées, la cybersécurité d’une entreprise est construite sur mesure pour elle, c’est important de s’en souvenir. C’est pourquoi on interrogera le business de l’entreprise, ses objectifs à court et moyen terme, ses prévisions de croissance qui impacteront nécessairement les règles mises en place et qu’il faudra faire évoluer selon un agenda.

ISO 27 001 n’est pas, en outre, une certification réservée à quelques-uns. Elle s’adresse à tout type d’entreprise, de la plus petite à la plus grande. Elle prépare avec beaucoup d’efficacité le terrain à d’autres réglementations, comme NIS 2, lesquelles se révèlent nettement moins douloureuses à mettre en œuvre une fois la certification acquise et le processus d’amélioration construit.

Enfin, la certification n’est pas non plus une fin en soi. L’entreprise peut choisir d’en suivre simplement la démarche afin de disposer d’un guide à la mise en place d’une sécurité adaptée à son activité et à son pilotage.

Faire de la place à la simplification

En matière de cybersécurité, le choix de solutions en SaaS ne va pas toujours de soi. L’On Premise continue d’être considéré comme plus sécuritaire. Pourtant, même les grands établissements financiers optent pour le Cloud public pour un grand nombre de leurs workloads.

C’est une question d’analyse risques/avantages et, n’en doutons pas, de psychologie. Si le hardware continue d’être vu comme un élément de cybersécurité, il est aussi très coûteux et manque cruellement de flexibilité. Toutes les organisations en ont fait l’expérience quand elles ont dû, en urgence, multiplier les concentrateurs VPN pour permettre à leurs collaborateurs de poursuivre le travail depuis leur domicile.

Si l’imprévisibilité reste le talon d’Achille de la cybersécurité, les choix historiques et la culture d’entreprise sont aussi à l’œuvre quand il s’agit de faire évoluer les pratiques. Ainsi, le réseau est un exemple courant de résistance à la modernisation vers des solutions as a service. Portées par des éditeurs mutualisant l’expérience sur des milliers de clients, de contextes, de secteurs, ces solutions profitent d’une expérience enrichie au service d’une cybersécurité inatteignable pour une organisation seule.

À défaut d’être un expert et d’évoluer dans le secteur concerné, il n’y a aucune raison de ne pas s’équiper d’outils facilitants et dont la sécurité est le métier de l’éditeur. Cela vaut pour le réseau, mais également pour le poste de travail, ou encore le stockage et la sauvegarde.

Par Simon AMIOT – Consultant Avant-Vente Cyber chez Stordata