Les cyberattaques se succèdent, les mêmes défaillances reviennent et les excuses suivent. Du sommet de l’État aux entreprises, le manque de gouvernance laisse les RSSI seuls face à des responsabilités toujours plus lourdes. Jusqu’à quand ?
Une tribune d’Olivier Coredo
Ça chauffe dans la grande distribution ! Les thermostats de Système U, Intermarché et Leclerc s’emballent à la suite d’une cyberattaque. Résultat, des tonnes de produits frais et surgelés sont à jeter… et imaginez ce que ça aurait pu donner s’ils avaient été recongelés sans que personne ne s’en aperçoive. Mais attention, les experts s’accordent à dire que ce type d’attaque était non seulement prévisible (par la méthodo et surtout par le fait que les failles étaient connues depuis 3 mois et non patchées) mais aussi qu’elle n’était pas « si sophistiquée que ça »… ouf alors !
Acte I : L’arroseur arrosé
En avril, près de 12 millions de comptes ANTS ont été exposés. En août, c’est la DGFIP qui annonce le vol de données de 678 000 personnes et professionnels. Même l’État se fait « poutrer ». L’ANSSI, dans un vrai travail de transparence, parle d’une « accumulation de faiblesses » et d’une attaque peu sophistiquée. Mot de passe volé, absence de MFA, supervision défaillante… tout s’explique a posteriori. Tout comme l’affaire France Travail qui a touché, en 2024, 43 millions de personnes avec, là encore, pointé du doigt, une absence d’un élément important : la double authentification (basique mais lourde parfois à mettre en place). Trois institutions, trois mea culpa !
Et quand les gardiens du temple, ANSSI et DINUM, sont aussi compromis (via une faille Metabase)… le citoyen rit jaune. Alors certes l’intrusion est légère (120 comptes, peu d’informations, pas de données critiques) mais hautement symbolique ! L’Agence de référence de la cybersécurité se fait piéger par une faille applicative classique… difficile ensuite de reprocher à une entreprise ou à une collectivité son retard de patch !
« Un festival d’excuses en guise de stratégie cyber. »
De la petite entreprise au plus haut sommet de l’État, il n’y a pas une journée sans fuite de données en France. Ce qui frappe, ce n’est pas tant la succession des incidents que la constance du schéma explicatif : manque de supervision, absence de patching, alertes non prises en considération. Les bases même de l’hygiène numérique que les RSSI s’efforcent chaque jour de rappeler ne sont pas suivies. L’ANSSI recommande, après l’attaque, de généraliser l’authentification forte et d’interdire l’accès aux systèmes professionnels depuis des appareils personnels… recommandations post-mortem !
Acte II : La comédie parlementaire
Nous assistons, impuissants, à un festival d’excuses et à chaque fois, le théâtre de la cybersécurité française se rejoue… à quand la prochaine scène ?
Et pendant ce temps, NIS2, le texte censé structurer une réponse nationale cohérente, patine. La loi Résilience, qui doit transposer la directive européenne NIS2, n’est toujours pas votée. La France fait partie des quatre derniers États membres, avec l’Espagne, l’Irlande et les Pays-Bas, poursuivis devant la Cour de justice de l’UE pour non-transposition. Les parlementaires, qui pour la plupart ne comprennent rien à la cyber, s’opposent sur un article anti-backdoor.
Au sein des entreprises, les problèmes de cybersécurité sont liés à des mille-feuilles applicatifs, au legacy, aux utilisateurs… mais surtout à une absence de gouvernance sur l’ensemble de la supply chain de l’entreprise.
Acte III : Seul en scène, face au désastre ?
Et bien, il en est de même au plus haut sommet de l’État. Aucune gouvernance nationale ne s’impose. Et quand bien même le texte serait voté demain, un délai de mise en conformité de trois ans s’appliquerait encore. Dans ce vide abyssal, chaque organisme avance avec ses propres moyens, sa propre maturité, son propre budget (ou son absence de budget).
Et en bout de chaîne, il y a toujours la même personne : le RSSI, sommé de tenir un rôle intenable. Face aux utilisateurs, il doit faire respecter des règles d’hygiène numérique perçues comme des contraintes ; face à la direction générale, il doit défendre une cybersécurité encore trop souvent perçue uniquement comme un centre de coûts ; et face à l’État, il navigue dans un vide réglementaire.
Tant que la France préférera présenter des excuses après coup, le théâtre français de la cybersécurité continuera de jouer à guichets fermés, et le RSSI restera seul à applaudir poliment un spectacle qu’il n’a jamais choisi de jouer.
Par Olivier Coredo
