La sécurité numérique ne relève plus de la simple expertise technique ou de la conformité formelle mais est devenue un impératif stratégique conditionnant la pérennité, la performance et la souveraineté des organisations. Face à une menace hybride, industrialisée et exacerbée par les tensions géopolitiques mondiales, le Cigref et l’ANSSI ont définit une nouvelle grammaire de la gouvernance articulée autour de trois vecteurs : la définition d’une Politique de Sécurité Numérique (PSN) globale, son application opérationnelle quotidienne et un pilotage par des métriques ciblées. Un point de bascule majeur est identifié avec la directive européenne NIS2, qui engage désormais directement la responsabilité légale des mandataires sociaux dans la maîtrise des risques numériques.
Des menaces en mutation
Le contexte de l’année 2025 marque une stabilisation de la menace à un niveau particulièrement élevé, caractérisé par plusieurs tendances de fond :
- Hybridation et brouillage des pistes : La frontière entre menaces étatiques (espionnage, sabotage) et cybercriminelles (lucratives) s’efface. Le partage d’outils, de méthodes et d’infrastructures d’anonymisation rend l’attribution des attaques de plus en plus complexe;
- Industrialisation de la menace : L’émergence du Cybercrime-as-a-Service et l’utilisation de l’IA automatisent le ciblage (hameçonnage, infostealers) et le scraping de données massives;
- Ciblage des chaînes d’approvisionnement : Les attaquants exploitent les vulnérabilités des fournisseurs de confiance (VPN, pare-feu, cloud) pour contourner les défenses;
- Menaces systémiques : Au-delà du rançongiciel classique, on observe une recrudescence des attaques par déni de service (DDoS) et des stratégies de déstabilisation informationnelle visant la réputation des institutions.
Les trois vecteurs d’une gouvernance résiliente
Pour structurer une réponse efficace, la gouvernance doit s’articuler autour de trois axes complémentaires :
Vecteur 1 : Construire et endosser la Politique de Sécurité Numérique (PSN)
La PSN dépasse la traditionnelle PSSI (Politique de sécurité des Systèmes d’Information) pour englober la maîtrise des dépendances technologiques (géopolitiques, juridiques et économiques). Son déploiement suit sept étapes clés :
- Cible de sécurité : Ajuster l’effort selon l’exposition;
- Recensement : Identifier les valeurs métiers critiques et cartographier l’écosystème de flux;
- Appétence au risque : Définir formellement le seuil d’acceptation des risques;
- Analyse hybride : Combiner l’hygiène numérique (conformité) et l’approche par scénarios (attaques sophistiquées);
- Feuille de route : Formaliser une stratégie pluriannuelle de réduction des risques;
- Assurance cyber : Transférer les risques résiduels après évaluation de la maturité (ex: modèle Getlink);
- Coordination : Assurer la cohérence avec les gouvernances risques, conformité et physique.
Vecteur 2 : Veiller à l’application quotidienne
Il s’agit de transformer la stratégie en réalité opérationnelle :
- Structuration des équipes : Définir des mandats clairs pour les opérations, l’administration de la sécurité et la gestion des risques;
- Cycle de vie : Intégrer la sécurité dès la conception des produits (Security by Design) avec les fournisseurs;
- Acculturation : Infuser une culture de la vigilance à toutes les strates de l’organisation pour que chaque collaborateur devienne un acteur de la protection collective.
Vecteur 3 : Piloter par les métriques et communiquer
Le pilotage doit être adapté aux instances de décision :
- Niveau Stratégique (Conseil d’Administration) : Indicateurs de synthèse sur la couverture des risques majeurs;
- Niveau Décisionnel (Comex) : Évaluation du retour sur investissement (ROI) et résorption de la dette de sécurité;
- Niveau Opérationnel : Mesure de la vélocité de remédiation et performance du SOC (Security Operations Center).
Responsabilités décisionnelles
La directive NIS2 impose une répartition claire des rôles au plus haut niveau :
| Instance | Rôle | Responsabilités |
| Conseil d’Administration | Orientation et Garantie | Fixer l’appétence au risque, valider la stratégie globale, arbitrer les ressources critiques et exiger une information fiable |
| Comité Exécutif (Comex) | Proposition et Impulsion | Aligner la vision stratégique avec les impératifs métiers, orchestrer la résilience (temps calme/crise), structurer la gouvernance interne |
Perspectives
L’évolution technologique et réglementaire impose de nouveaux défis :
- Gouvernance de l’IA : L’émergence de l’IA Act nécessite l’intégration de la “Responsible AI” et potentiellement la création d’un poste de Cyber Data & AI Officer;
- Product Security : Rapprochement accru avec les métiers pour intégrer la sécurité dans les produits numériques vendus (rôle de Product Security Officer);
- Gestion des identités (IAM) : La multiplication des identités (humaines, techniques, agents d’IA) devient un enjeu central de sécurité;
- Défense collective : La résilience ne peut plus être isolée et doit s’étendre à l’ensemble de l’écosystème (fournisseurs, tiers, prestataires cloud).
https://www.cigref.fr/gouvernance-de-la-securite-numerique-orientation-deploiement-et-pilotage