Stratégie

Le Cesin s'attaque concrètement aux enjeux géopolitiques de la cybersécurité

---

La géopolitique s'invite très concrètement dans la stratégie cyber. À la suite de son congrès annuel consacré au sujet, le Cesin publie une liste des risques associés, de conseils pour les atténuer et des outils pour les contrer.

PublicitéEn 2025, la géopolitique est devenue un enjeu central pour les DSI, et a fortiori les RSSI. La présidence de Donald Trump, les conflits au Moyen-Orient et entre la Russie et l'Ukraine, les multiples mouvements de la Chine, etc. sont désormais des paramètres qu'il leur faut prendre en compte lors du choix d'un logiciel, d'un LLM ou d'un cloud, mais qui ont surtout un impact majeur sur la stratégie de cybersécurité.

Le Cesin (club des experts de la sécurité de l'information et du numérique) en a justement fait le thème de son 13e congrès annuel qui s'est tenu à Reims les 2 et 3 décembre derniers. L'association a décliné le sujet en 8 ateliers de travail, auxquels ont participé 180 responsables cybersécurité, et a publié une note de synthèse en autant de points. 8 constats et surtout des pistes de conduite pour faire face aux risques associés, à destination des entreprises et administrations.

Le document conclut à un rôle désormais étendu des RSSI, devenus « acteurs de la souveraineté organisationnelle », avec une cybersécurité qui ne peut plus « être pensée indépendamment des tensions internationales, des choix technologiques structurants, du risque informationnel et de la chaîne de valeur globale. Les entreprises doivent désormais naviguer dans un environnement fragmenté où l'ingérence, la dépendance et la manipulation informationnelle sont devenues des réalités opérationnelles ».

La souveraineté numérique

Premier enjeu exploré par les ateliers du Cesin, le plus générique : la souveraineté numérique, qui se traduit par cette influence de plus en plus forte des évolutions géopolitiques sur les décisions des RSSI. Avec trois conséquences principales : le besoin de régionaliser - au sens international - les solutions et services, l'importance prise par la résilience et l'autonomie dans le choix d'un cloud de confiance, et « l'obligation croissante de mesurer la dépendance technologique et d'introduire des clauses de réversibilité́ ».

Cloud de confiance, l'arbitrage

Deuxième enjeu, le cloud de confiance, que le Cesin qualifie de 2.0. « Le débat ouvre une question centrale, insiste ainsi l'association. Accepterons-nous de payer davantage pour reconquérir une souveraineté à long terme ? » Le choix d'aller ou non vers un cloud de confiance implique un arbitrage entre coût, capacité opérationnelle et autonomie, avec en ligne de mire la résilience et l'indépendance juridique, désormais déterminantes.

PublicitéLa plateformisation de la cybersécurité

La plateformisation des solutions cyber, gage de simplification, certes, mais fort risque de dépendance économique et géopolitique à un fournisseur, et de réduction de la marge de négociation. Pour le Cesin, dans ce contexte, l'hybridation avec des solutions spécialisées est un moyen de préserver l'agilité, et ainsi une forme d'indépendance.

Identifier et lutter contre la désinformation

Deux autres points d'attention étudiés dans les ateliers du Cesin concernent l'ampleur croissante de la désinformation, des deep fakes, des narratifs hostiles, etc. Autant d'éléments qui concernent désormais directement la politique cyber. Pour réduire les risques en la matière, le Cesin estime indispensable, pour commencer, de mettre en place une cyber threat intelligence (CTI) qui produise du renseignement stratégique. Ensuite, les RSSI doivent aussi se synchroniser avec la communication, les RH, les affaires publiques pour développer une compréhension commune de ce risque et de son importance. En parallèle, ils doivent « structurer une veille Osint (Open source intelligence) et réputationnelle », identifier les signaux faibles et organiser une réponse coordonnée, associée à une communication de crise.

L'ennemi de l'intérieur

Les menaces internes représentent un risque stratégique encore sous-estimé, selon le Cesin. Là encore, les tensions géopolitiques augmentent ce type de risques, qu'il s'agisse de sabotage, de fraude, d'exfiltration de data, etc. Peu de programmes d'Insider threat pour surveiller ces menaces sont mis en place. « Les participants [à l'atelier] appellent à sortir du déni et des tabous sur les attaques internes, résume le Cesin, et à intégrer un cadre avec les RH, le juridique et la conformité dans une démarche commune ».

Une bascule de la méthodologie

Les mouvements géopolitiques appellent aussi à des changements méthodologiques radicaux en matière d'analyse des risques cyber. Si les RSSI ont conscience de l'influence de ces derniers sur leurs décisions, ils sont peu nombreux, selon le Cesin, à l'avoir formalisée dans leur analyse de risque. Ils doivent adopter des méthodes déjà éprouvées chez tous les spécialistes du risque, comme la réalisation d'une cartographie des dépendances critiques (pays ou technologies) ou l'introduction des Etats dans les scénarios de crise ou la circulation de l'information entre cyber, métiers, juridiques, etc. Enfin, le Cesin rappelle l'intérêt de la méthode d'analyse de risques cyber Ebios RM de l'Anssi, dans laquelle il est possible d'injecter la composante géopolitique.

La fragilité structurelle de la supply chain mondiale

Enfin, « 60% des attaques proviennent des tiers et 92% des entreprises ont recours à l'outsourcing », conclut le Cesin. Les intermédiaires sont souvent des cibles plus faciles que les grandes structures, très protégées, et constituent autant de chevaux de Troie intéressants pour les attaquants. Les résultats de l'atelier sur cette fragilité de la supply chain conseillent de « créer un registre de gestion des tiers, de concentrer l'effort sur les prestataires réellement critiques, d'évaluer régulièrement leur posture de sécurité (questionnaires, scans, audits) et d'impliquer le conseil d'administration dans le suivi des tiers à fort impact. » Un contrôle rendu obligatoire par l'application de NIS2 et de DORA.

Article rédigé par

Emmanuelle Delsol, Journaliste
Suivez l'auteur sur Linked In,

Partager cet article