par Stéphane 
Les outils de travail sont de plus en plus connectés : appareils, plateformes et services cloud communiquent entre eux pour automatiser les tâches du quotidien. Cette connectivité apporte de réels gains de productivité, mais impose aussi un arbitrage : chaque nouvelle connexion élargit la surface d’attaque, chaque fournisseur ou dépendance cloud multiplie les points de défaillance. La réponse n’est pas d’acheter un énième outil, mais de construire une approche structurée du risque, selon Matt Riley, Directeur Europe de la Sécurité de l’Information chez Sharp.
Plus de capacités, plus d’exposition
L’entreprise moderne fonctionne en écosystème : terminaux, applications et tiers sont interconnectés via intégrations, accès support ou flux de données partagés. Le risque ne se limite plus à l’IT : il se diffuse à travers les terminaux (ordinateurs portables, mobiles, imprimantes, salles de réunion, objets connectés et bâtiments intelligents), les services cloud et SaaS (où la configuration et les droits d’accès constituent souvent la vraie vulnérabilité), les fournisseurs et partenaires, et les utilisateurs, toujours plus sollicités par des décisions de sécurité.
Selon Matt Riley, avec l’automatisation des attaquants et l’IA, les organisations les plus exposées ne seront pas celles visées par des piratages spectaculaires, mais celles où la responsabilité est mal définie, les correctifs en retard, et les plans de réponse non opérationnels.
La solution n’est pas d’ajouter des outils
Quand un programme de sécurité peine à avancer, c’est rarement par manque de compétence, mais parce que la responsabilité des contrôles est fragmentée et que le risque est discuté en termes techniques plutôt qu’en impact business. Une approche pragmatique consiste à s’accorder, au niveau de la direction, sur ce qui compte le plus : quels systèmes stopperaient l’activité de l’entreprise en cas de panne ? Quelles données, si elles étaient exposées, entraîneraient un risque réglementaire ou réputationnel ? Quels fournisseurs ou services cloud seraient les plus difficiles à remplacer rapidement ?
La visibilité : on ne peut pas protéger ce que l’on ne voit pas
Plus les environnements se connectent, plus la visibilité devient le socle des décisions de risque. Cela suppose de connaître l’ensemble de son parc, y compris le shadow IT et les terminaux non gérés, de comprendre ce qui est connecté à quoi, et de maintenir une vision précise de l’emplacement des données et de qui peut y accéder.
Associer des contrôles solides à une culture qui responsabilise les équipes
La culture de sécurité compte d’autant plus que la connectivité augmente : une culture qui pointe du doigt pousse à dissimuler les erreurs, une culture qui accompagne incite à signaler les problèmes tôt. La sensibilisation doit être vue comme un levier de performance, et non comme une contrainte.