Sécurité et conformité des PME | Acove

ISO 42001 : la suite logique de mon parcours

Michael Harlaut — Thu, 15 Oct 2026 00:00:00 +0200

Ceux qui me suivent le savent : je ne cours pas après chaque nouveau référentiel qui sort. Il y en a déjà suffisamment comme ça, et j'ai déjà eu l'occasion d'écrire sur l'inflation réglementaire.

Pour autant, je regarde le référentiel ISO 42001 depuis longtemps. Bien avant le lancement de mes activités actuelles d'ailleurs. Et pour des raisons très logiques, pour ne pas dire naturelles.

Au fait, c'est quoi ISO 42001 ?

Pour ceux qui découvrent : ISO/IEC 42001 est la norme internationale certifiable dédiée aux systèmes de management de l'IA. Publiée fin 2023, elle reprend la même structure que l'ISO 27001 : contexte, leadership, analyse de risques, objectifs, amélioration continue...

Si vous avez déjà mené un projet ISO 27001, vous ne serez pas dépaysé. C'est d'ailleurs l'un de ses gros atouts : elle s'intègre dans un système existant au lieu d'en créer un de plus.

La 42001 ajoute ce que la 27001 ne traite pas vraiment (voire pas du tout) :

l'évaluation d'impact des systèmes d'IA sur les personnes et la société.
la maîtrise du cycle de vie des modèles, de la conception au retrait.
la qualité et la provenance des données utilisées.
la transparence vis-à-vis des utilisateurs et des parties intéressées.
les responsabilités quand l'IA vient d'un fournisseur.

À noter

La 27001 protège l'information.

La 42001 s'intéresse à ce qu'on en fait, et aux décisions qu'on confie à une machine.

Le lien entre l'ISO 42001 et moi

J'ai envie de répondre que c'est parce que l'IA et moi avons une petite histoire. C'est même un sujet qui fait se croiser plusieurs parties de mon parcours.

D'un côté, des années dans la cybersécurité et la conformité : SOC 2, ISO 27001, HDS, NIS 2, audits de certification, RSSI externalisé. La méthode, les preuves, l'analyse de risques, etc.

De l'autre, trois années chez Databricks, l'un des leaders mondiaux du domaine « data & IA », où j'ai encadré une équipe d'ingénieurs solutions sur des comptes stratégiques.

Concrètement, ça veut dire avoir suivi de près des projets bien réels :

des chantiers de gouvernance des données : savoir qui accède à quoi, d'où vient une donnée, et pouvoir le prouver.
la mise en production de modèles, avec tout ce que ça implique de suivi, de versions et de dérives à surveiller.
les premiers projets d'IA générative en entreprise : assistants, recherche documentaire, agents, RAG.
des exigences de sécurité des plateformes posées par des grands comptes qui ne laissent rien passer.
des déploiements sur Azure, AWS et GCP.

(On pourra aussi noter que j'ai mangé du Machine Learning les 5 années précédentes, chez Cisco AppDynamics, maintenant une entité Splunk.) Bref, je n'ai pas découvert le sujet hier !

À noter

J'ai vu de l'intérieur ce qui fonctionne, ce qui coince, et en quoi la robustesse d'un système d'IA repose sur un cycle de vie complexe (la gestion des silos, la qualité de la donnée, la capacité à prouver...).

Pourquoi maintenant

À nouveau, je n'étais pas certain de vouloir ajouter un référentiel sans être pleinement persuadé que ça avait un intérêt pour mes clients. Je suis les actualités sur l'IA, je fais ma veille réglementaire (sur le règlement européen sur l'IA, l'« AI Act », entre autres) et je faisais déjà appliquer les meilleures pratiques chez mes clients concernés. Par bon sens et pour répondre aux attentes des fameuses « parties intéressées » de la 27001.

Jusqu'à ce que l'un d'eux, un éditeur de logiciels que je suis depuis longtemps, commence à aller beaucoup plus loin que la moyenne sur des cas d'usage IA. De fait, la 42001 s'est imposée naturellement (ce client est déjà certifié ISO 27001). Pour ceux qui suivent, on parle de haut risque et d'obligations strictes.

Et pour bien implémenter, il faut travailler : en poussant la compréhension de la norme au maximum (merci à ceux qui m'ont donné les bases il y a longtemps), mais aussi en creusant l'approche auditeur sur ce domaine.

Je vise donc (une fois n'est pas coutume) un niveau de certification assez élevé me concernant. Et la certification de mon client dans quelques mois, parce qu'on n'aura pas attendu pour pratiquer et pratiquer fort.

Tout cela avec de la méthode (voir ma démarche).

Et pour vous, ça change quoi ?

À cet instant précis, sans doute rien ! Toutes les entreprises n'ont pas besoin d'une certification ISO 42001, même si l'apport d'une norme volontaire est toujours indiscutable.

Mais si l'une de ces situations vous parle, on pourrait avoir à se parler :

vous intégrez de l'IA dans vos produits ou vos services.
vos clients ou donneurs d'ordre commencent à vous interroger sur vos usages de l'IA.
vos équipes utilisent des outils d'IA générative sans cadre clair (avouez...).
vous anticipez les obligations de l'AI Act et cherchez à comprendre les impacts du règlement « Digital Omnibus ».

À noter

Le premier réflexe reste le même que pour ISO 27001 ou NIS 2 : de la méthode avant tout. Faire l'inventaire de ses usages, évaluer les risques, poser des règles simples, et avancer par étapes.

En conclusion

ISO 42001 n'est pas pour moi une nouvelle ligne de catalogue, avec un certificat qui montre qu'on a bien travaillé mais pas forcément beaucoup pratiqué. C'est la suite logique d'un parcours qui a toujours oscillé entre la technique, la donnée et la conformité.

Un client a fini de me convaincre, mais c'est bien l'expérience accumulée qui m'a donné envie de me positionner. Je me dis même que mon expérience est assez rare et que j'ai donc pas mal de choses à apporter.

Si vous vous posez des questions sur la gouvernance de vos usages de l'IA, ma page dédiée à l'IA et ISO 42001 est un point de départ. Mais ça ne remplacera pas un échange, facile à organiser sur ma page contact.

La dette de conformité

Michael Harlaut — Fri, 09 Oct 2026 00:00:00 +0200

On entend souvent parler du piège de la dette (du pays), mais ce n'est pas de celle-ci qu'on va parler. On va parler d'une variation de la dette technique, ce concept populaire en informatique.

Connaissez-vous la dette technique ? Elle s'applique à tout système un peu complexe qu’on laisse vieillir sans faire les évolutions nécessaires. Par manque de temps, de moyens, ou de volonté. Ou un peu de tout ça ...

Arrive un moment où la principale motivation pour ne rien faire devient la peur de casser quelque chose. On se répète alors : "Ça marche très bien comme ça, on ne touche à rien". C'est rassurant, et ça permet de rejeter facilement les envies des autres. Le confort, en somme.

Jusqu'au jour où le retard s'est tellement accumulé que le système critique est devenu fragile et inadapté. L'effort nécessaire pour le mettre à jour devient alors énorme et on se dit "On aurait dû".

En matière de réglementation, de cybersécurité et de gouvernance, le mécanisme est exactement le même, avec une pincée d'inertie et un peu de frilosité : c'est ce qu'on appelle la dette de conformité.

À une nuance près, essentielle :

À noter

La dette technique ralentit vos équipes en interne.

La dette de conformité va impacter votre crédibilité externe et vos marchés.

Se mentir avec "on a le temps"

Le scénario se répète souvent. Un nouveau texte européen arrive. Par exemple (mais pas par hasard) : la directive NIS 2.

Premier réflexe : on regarde la date butoir, et on pousse un soupir de soulagement en voyant qu'on a un an ou deux devant nous. Et puis on passe à autre chose.

Les mois passent. La routine est bien installée, les urgences mangent la bande passante et on a oublié de bloquer du temps pour NIS 2 hier et le Cyber Resilience Act aujourd'hui. On sait qu'on doit faire, mais plus tard. D'autant plus qu'on se rend compte que même l'état ne pousse pas à l'adoption en ne passant aucun décret, absence de vote oblige.

Bref, l'inaction devient presque confortable. Sauf que ...

Un jour, un grand client arrive avec son contrat, accompagné d'un superbe questionnaire cyber et d'une clause incontournable : "prouvez votre conformité ou nous ne travaillerons pas/plus ensemble".

C'est là que le piège se referme. Parce que les clients n’attendent pas.

À noter

Le marché n’a rien à faire de vos retards ou de votre absence d'anticipation. Vous êtes des professionnels, votre responsabilité est donc d'être prêts ou d'accepter de laisser votre place à ceux qui le sont.

Se rassurer avec "on n'est pas concernés"

Ce sujet n'est pas le moindre aujourd'hui.

Beaucoup d'entreprises regardent les critères officiels de NIS 2, comptent leurs effectifs, vérifient leur chiffre d'affaires et concluent avec soulagement : *"*On est sous les seuils, ce texte ne s'applique pas à nous."

Et c'est sans doute vrai. Vous n'êtes peut-être pas soumis directement à la loi. Sauf que vos clients, eux, le sont.

Et que disent ces textes aux grandes entités ? Qu'elles doivent impérativement maîtriser et auditer la sécurité de leur chaîne de sous-traitance (supply chain).

À noter

Depuis longtemps, la loi ne dit pas autre chose : une entreprise réglementée est juridiquement responsable de ses sous-traitants.

Résultat : vos donneurs d'ordre répercutent une partie de leurs contraintes réglementaires sur vous. Ils n'ont pas le choix et qu'ils ne sont pas en avance non plus, ils vous imposent un calendrier serré.

Vous devez vous mettre en ordre de marche avec des préavis faibles, surtout rapportés à la charge de travail nécessaire. Au risque sinon d'être disqualifié au profit d'un concurrent plus vigilant.

À noter

Il faut étudier son marché pour comprendre et anticiper les exigences de toutes les parties. Ce que vous faites en veille réglementaire pour les RH, la sécurité, l'environnement, ..., doit impliquer une partie cyber.

C'est du vécu pour certains de mes clients, qui se sont retrouvés en réunion de crise sans trop comprendre ce qui leur tombait dessus. Le "ce n'est pas un sujet" devenait "on a raté quelque chose" en quelques heures. Et la prise de conscience est violente.

Ne juste pas voir l’intérêt

On néglige beaucoup trop cet aspect des choses. Et j'ai une part de responsabilité dans tout cela (je ne suis pas seul !).

Quel retour attendre de l'investissement, finalement ? Pourquoi prioriser chez moi quand mes pairs me disent que chez eux ça attendra ? C'est la question que de nombreux dirigeants se posent, sans trouver de réponse.

À noter

Parce que la conformité est vue d'abord comme une tâche administrative, et pas comme le projet stratégique qu'il est et qui va venir renforcer les capacités, améliorer la résilience et démontrer des compétences et de la confiance.

Il faut continuer à expliquer encore et encore. Et ne pas juste utiliser l'argument "c'est un ordre, vous n'avez pas le choix" qui vient juste créer de l'aversion et de l'incompréhension. Tout ce qui vient nourrir la procrastination.

Les dirigeants savent décider, prendre des virages stratégiques et investir au meilleur moment. A condition d'alimenter correctement leur réflexion.

Rappelons-le-leur chaque jour, l'enjeu est la continuité d'activité !

On va vite se rendre conforme !

Ou pas.

Ce qui aurait pu être absorbé sur le temps long nécessite soudain des consultants externes en urgence et des arbitrages financiers (on doit annuler quoi, pour trouver ce budget ?).

On sort rapidement de superbes processus que personne ne comprend et qui transforment la sécurité en un poids, et la cybersécurité devient un caillou dans la chaussure. Au lieu d'en faire un réflexe et un apport positif !

À noter

On bouche les trous sur chaque étage de la fusée, en la faisant dériver de sa trajectoire au passage. Et tout ça sans être bien certain qu'on vise la bonne destination.

Ne nous mentons pas : la conformité prend du temps, implique des changements d'organisation, de la formation, de la mise en place d'outils et de nombreux détails qui ne s'improvisent pas et ne peuvent pas se mettre en place en un temps réduit.

Gouverner, c'est prévoir

Passer de la réactivité à la prospective, c'est ce qui fait la différence entre contrôler un minimum son destin et avoir toujours un coup de retard.

La conformité pilotée dans la durée ne manque pas d'avantages :

Un budget lissé sur le temps long (plusieurs années fiscales)
Un impact limité ou progressif sur les procédures et sur l'opérationnel.
Une meilleure acceptation par les équipes, qu'on a le temps d'accompagner.
Des clients et prospects à qui on peut montrer de la maturité installée sur la durée.
Une sérénité accrue en cas de besoin de certification.

À noter

Poser une brique chaque jour coûte peu au quotidien. Documenter progressivement, sécuriser dès la conception et élever régulièrement le niveau d'exigence permet d'atteindre la cible sans avoir à travailler en force.

J'utilise parfois cette autre image : si vous devez prendre la tête d'un groupe de personnes pour parcourir la distance de 50 km à pied, vous sentez-vous plus à l'aise en sachant qu'on vous donne 12 jours, ou en sachant qu'on vous donne 12 heures ? Vous amènerez peut-être tout le monde à destination en 12 heures, mais à quel prix ?

Anticiper la conformité, c'est la même chose : il faut savoir emmener un groupe entier de personnes avec soi sur le projet, pas juste faire confiance à un leader hyper performant qui va avancer seul en laissant les autres sur le bord de la route.

Avancer maintenant

La dette de conformité n'attend pas gentiment que vos priorités du moment passent. Il y aura toujours des choses urgentes à gérer, de toute façon.

La dette de conformité s'accumule tranquillement, assortie d'intérêts qui ne font qu'augmenter le prix du remboursement. Plus tard sera aussi plus cher.

À noter

La question à se poser n'est pas : "Est-ce qu'on est obligés d'y aller maintenant ?", mais plutôt "Quel contrat sommes-nous prêts à perdre le jour si on est pas prêt au bon moment ?"

Anticiper, c'est l'option la plus rentable pour protéger sa croissance et ses équipes. Sur la durée, en limitant les impacts négatifs et les tensions.

À noter

Parce que la conformité ne se décrète pas : elle se tisse.

Si vous souhaitez anticiper un besoin en comprenant les contraintes de vos clients, ou construire un plan adapté à votre structure, contactez-moi. Je sais quoi et comment prioriser. Sur la base de vos contraintes.

Je sais aussi convaincre un donneur d'ordre que, même si tout n'est pas finalisé, la trajectoire elle-même est un élément convaincant.

Que ce soit sur un sujet comme NIS 2 ou bien pour étudier comment une norme volontaire vient renforcer votre compétitivité.

Conformité des PME et infogérance

Michael Harlaut — Wed, 27 May 2026 00:00:00 +0200

On le lit partout : quand une entreprise se lance dans une démarche ISO 27001 ou doit s'aligner sur la directive NIS 2, elle doit commencer par se regarder le nombril.

On se lance donc dans l'analyse de risque, la cartographie des processus, la sensibilisation des équipes, la rédaction de PSSI, charte et procédures : le projet semble se jouer majoritairement en interne.

Et si c'était si simple, cet article serait déjà terminé.

À noter

Sauf que ce n'est pas la réalité des PME.

J'accompagne régulièrement des structures qui ont fait le choix de déléguer la mise en œuvre de leur informatique à un tiers. En gros, pas de service informatique en interne, juste des utilisateurs.

C'est un choix souvent très rationnel : l'informatique n'étant pas le cœur de métier de l'entreprise, il est difficile de justifier un temps plein en interne.

Il faut juste garder à l'esprit que cette flexibilité au service du quotidien devient rapidement un sujet majeur quand on commence à parler de conformité.

À noter

Parce que quand vient le temps d'un projet ISO 27001 ou d'un sujet NIS 2, l'organisation découvre qu'elle n'est pas vraiment la seule à remettre sa copie :

Il faut intégrer l'infogéreur à l'équation !

Une idée fausse : "C'est la responsabilité de l'infogéreur"

On ne doit jamais penser que parce que la technique est externalisée, la responsabilité l'est aussi.

L'auditeur ISO 27001 ne va pas se contenter de votre parole. Il va vouloir auditer les preuves de la façon dont vos serveurs sont patchés, dont les sauvegardes sont testées et dont les accès admin sont verrouillés.
La directive NIS 2, de son côté, met un accent sur la sécurité de la chaîne d'approvisionnement (Supply Chain). Elle exige explicitement que vous maîtrisiez les risques liés à vos fournisseurs directs.

À noter

Votre infogéreur n'est pas un simple prestataire : c'est le prolongement de votre propre système d'information, sous votre responsabilité.

Si l'infogéreur a une faille, vous avez une faille. Si l'infogérant ne peut pas prouver qu'il respecte vos exigences, c'est vous qui ne savez pas prouver votre conformité.

Aligner les enjeux : contrat et méthode

Pour faire fonctionner le triptyque Entreprise - Infogéreur - Exigences, il faut mêler juridique et pragmatisme opérationnel.

Cela passe par quelques points clés :

Traduire les exigences en clauses contractuelles

Oubliez les contrats génériques qui n'engagent personne. Vos objectifs de sécurité doivent être inscrits dans le marbre du contrat de services (SLA).

Exemple : Si votre politique impose de corriger les vulnérabilités importantes sous 7 jours, votre contrat d'infogérance doit stipuler ce délai de 7 jours, assorti de pénalités si ce n'est pas tenu. En dehors de ce cadre, vos magnifiques règles internes ne fonctionnent pas sur le terrain.

Je sais très bien que dans le cas d'une relation bien installée, c'est une discussion parfois un peu difficile à avoir. Mais elle est nécessaire, et vos propres clients n'hésiteront de toute façon pas à l'avoir avec vous.

Exiger des preuves auditables

Le rôle de l’infogéreur change. Il ne doit plus seulement faire, il doit prouver en répondant à ce type de questions :

Pouvez-vous montrer un rapport mensuel des correctifs appliqués ?
Existe-t-il un procès-verbal (PV) du dernier test de restauration des sauvegardes ou de la destruction du dernier support de stockage remplacé ?
Comment est tracé l'accès aux systèmes sensibles ?
Qui maintient et met à jour l'inventaire des actifs ?
Qui valide les changements de configuration ?

(Je vous propose de relire l'article "Pas de sécurité sans traçabilité")

Le droit d'audit

Votre contrat doit vous autoriser (vous ou un tiers mandaté) à aller vérifier les pratiques de sécurité de votre prestataire. C'est une obligation sous NIS 2, et une pratique de bon sens pour tous.

Comment savoir sinon où sont stockés les mots de passe de tous les clients, et les modalités de stockage/partage de l'information sensible en interne ?

Comment vous assurer que l'intervenant qui accède à tout votre système a fait l'objet d'une formation régulière et de vérifications avant embauche ?

Là encore, il faut laisser l'affect de coté. Les questions difficiles ne le sont pas quand on explique bien le contexte dans lequel on les pose.

Pourquoi les infogérants doivent (vite) s'adapter

Ce nouveau paysage normatif n'est pas qu'un défi pour les entreprises clientes.

L'effet domino fait que c'est une petite révolution pour le marché de l'infogérance. Même si tout le monde ne l'a pas intégré.

À noter

Les infogérants doivent devenir des partenaires de conformité.

Ceux qui l'ont compris affichent déjà leurs propres certifications (ISO 27001) et/ou des engagements forts. Ils fournissent des annexes de contrats adaptées proactivement. Ils disposent aussi de modèles de preuves "prêts à auditer".

Ils y ont d'ailleurs fortement intérêt, sauf à vouloir jongler avec autant de modèles qu'ils ont de clients.

Surtout, pour eux, la sécurité n'est plus un coût ou une contrainte technique, c'est un argument commercial. Et un sérieux différenciateur face à la concurrence.

Pour les plus réfractaires, ça va devenir rapidement compliqué. Je vais être cruellement honnête : les prestataires qui se contentent de répondre "Ne vous inquiétez pas, le travail est fait" vont perdre leurs clients stratégiques.

À noter

Les clients avec des obligations fortes ne prendront aucun risque avec des prestataires qui ne s'alignent pas sur les objectifs de sécurité et conformité.

Contrat, preuves et audit ne sont donc plus des options.

En conclusion

La conformité n'est jamais un projet purement interne. Laissez votre nombril tranquille un instant ;-)

La conformité, c'est un exercice de maîtrise de son écosystème. Ne subissez pas la relation avec votre infogérant : embarquez-le dès le premier jour autour de la table. Si la méthode est bonne, il ne sera pas un frein à votre conformité, mais l'un des moteurs de votre réussite.

Oui, il aura peut-être besoin d'aide pour s'adapter, mais tout le monde va gagner à le voir monter en puissance et en compétence. Lui aussi !

Si vous avez besoin d'aide pour présenter tout cela (en plus de lui envoyer le lien vers cet article), contactez-moi. Je dispose de ressources qui feront la différence.

Et si vous cherchez à reprendre un peu le contrôle sur votre écosystème et mettre en place de bonnes pratiques de gouvernance, ça se passe ici.

NIS 2, de la méthode avant tout

Michael Harlaut — Wed, 20 May 2026 00:00:00 +0200

Ceux qui me suivent savent que je suis fan de la directive NIS 2 et que je pratique des accompagnements sur le sujet depuis une bonne année.

On m'a demandé hier pourquoi je ne réagissais pas à la publication du Référentiel Cyber France(ReCyF v2.5) par l'ANSSI. Parce que pour beaucoup c'est une étape majeure, avec un document de travail qui serait la déclinaison opérationnelle tant attendue pour savoir quoi retenir des obligations de la directive.

Je vais de suite en décevoir quelques-uns : ce document est évidemment intéressant car il apporte un petit coté officiel (non définitif). Il montre aussi (enfin) que le sujet avance et ça pourrait réveiller un peu ceux qui disent "on a le temps". J'en parlais dès mars 2025 ...

Pour autant, ReCyF pose autant de questions que de réponses. Ne pensez pas que je joue le blasé : ce document est très utile ! Il ne va juste pas vous aider à savoir comment mettre tout cela en musique.

Par contre, je lis trop de contenus qui parlent de ce document en ne faisant qu'une analyse des exigences. NIS 2 est bien plus que ça (et tant mieux).

Un rappel donc**, se concentrer uniquement sur les objectifs risque de faire oublier l'essentiel** : le chemin vers la résilience.

À noter

Dit autrement : le document parle d'objectifs ou encore de moyens acceptables, mais il met de coté le plus important : la méthode !

On trouve quoi dans ce document, au fait ?

Le ReCyF structure la feuille de route des entités régulées autour de 20 Objectifs de Sécurité , répartis en 4 grands piliers complémentaires :

La gouvernance : analyse de risques au coeur du pilotage.
La protection : sécurisation des accès, durcissement des systèmes et contrôle des tiers.
La défense : détection précoce des anomalies et gestion des incidents.
La résilience : continuité d'activité et capacité de reconstruction post-crise.

Il y a aussi le nécessaire rappel de la responsabilité des dirigeants, qui est un élément connu depuis ... 2 ans.

Quoi de neuf avec la publication de ReCyF ?

Voyons ... cartographier ses actifs, sensibiliser ses collaborateurs au phishing, appliquer les correctifs de sécurité, chiffrer les données sensibles, gérer rigoureusement les mots de passe et les accès...

Ce sont les fondations d'une posture de sécurité cohérente. La directive va les rendre obligatoires, mais ils ne sont pas révolutionnaires. Ce sont même les fondamentaux (idéalement) d'un socle informatique sain.

À noter

Le ReCyF ne fait que traduire en version légale ce qui relève de l'hygiène informatique élémentaire.

Si votre structure subit NIS 2 comme un choc conceptuel, c'est peut être le signe qu'elle accusait un retard de maturité sur la protection de ses propres actifs numériques.

Pour autant, dans de nombreux cas, il y aura une forme de soulagement en constatant qu'on faisait du NIS 2 avant NIS 2. Et c'est l'un des premiers enseignements lors du début de mes projets d'ailleurs : il y a TOUJOURS de bonnes pratiques en place. Pas forcément abouties, pas toujours complètes, mais il est rare qu'on parte vraiment de zéro. Et ça fait du bien :)

Quel est le vrai défi, alors ?

(Ne pas rire du nom du référentiel, déjà).

Très sérieusement : si tout ce qui se trouve dans NIS 2 est du bon sens, pourquoi est-ce que la mise en œuvre suscite autant d'inquiétude et de flottement ? Et pourquoi est-ce que personne ne veut y aller même en sachant que c'est un passage obligé ?

À noter

Parce que le bon sens sans méthode produit du chaos !

Et que tout le monde n'a pas la méthode.

Le principal piège face à NIS 2 est le syndrome de l'usine à gaz : vouloir tout traiter de front, copier-coller des politiques de sécurité inadaptées ou investir dans des outils qui ne répondent pas aux besoins réels.

Cela conduit inévitablement à l'épuisement des équipes, à l'explosion des budgets, à une sécurité de papier, ou sans efficacité.

Quelques exemples pour illustrer

Premier exemple : savoir qu'il faut "recenser les éléments qui composent le système d'information" est simple. Construire cette liste, la faire valider, la maintenir à jour avec un responsable par activité, et l'articuler avec l'analyse de risques... c'est un vrai travail, qui demande méthode et coordination.

Second exemple : identifier ses fournisseurs et prestataires numériques, c'est souvent une corvée pour les équipes. Contractualiser sur les exigences de sécurité, c'est parfois une révolution qui touche les achats, le juridique et vient toucher des relations commerciales bien établies.

Troisième exemple avec la continuité d'activité : écrire un plan, c'est déjà un gros travail. Tester ce plan, former les équipes, puis le réviser en tenant compte des retours, c'est une autre histoire.

Si on ajoute à cela la notion de prise en compte de l'état de l'art pour la mise en œuvre des mesures techniques, on commence à comprendre que tout cela nécessite une bonne dose de méthode.

À noter

Ce n'est pas le contenu du référentiel qui est complexe. C'est de l'appliquer avec cohérence en collant aux véritables enjeux de la structure.

La bonne nouvelle NIS 2 ?

L'ANSSI reprend le principe fort de proportionnalité dans son document. C'est l'une des bases de NIS 2 qui fait toute la différence.

Pour être performante, votre démarche de mise en conformité doit être méthodique : il faut avancer par étapes logiques, en évaluant d'abord sa maturité réelle.

Pour être pertinent, il faut cibler les actions ayant le plus fort impact de sécurisation pour le moindre coût opérationnel, selon votre contexte métier..

Pour montrer de la maîtrise, il faut filtrer la complexité en concevant des processus simples, fluides et intégrés au quotidien des équipes. La sécurité ne doit pas être (juste) une contrainte.

À noter

On n'attend donc pas d'une entité de 30 personnes le niveau de maturité d'un Opérateur d'Importance Vitale. Mais on attend un effort réel, documenté, et adapté aux risques de son activité.

On fait comment, finalement ?

Pour avancer correctement, il faut d'abord traduire les objectifs du référentiel en actions concrètes, séquencées, avec des responsables et des échéances réalistes.

C'est donc disposer rapidement d'une feuille de route qui permet (aussi) de montrer à un donneur d'ordre que la démarche est sérieuse, même si tout n'est pas encore parfait.

À noter

Un plan clair et un engagement fort valent plus qu'une conformité de façade : j'ai eu à défendre des mises en œuvre de plans de sécurisation avec un niveau d'avancement faible, mais validés sans la moindre objection.

Parce que la clarté était au rendez-vous.

Sur les projets que j'accompagne, les difficultés ne viennent jamais vraiment du contenu des exigences. Elles viennent de la priorisation, du rythme, de l'implication des équipes, et du travail de documentation**=> le chemin.**

Ce sont exactement ces aspects qui font la différence et c'est précisément ce sur quoi j'interviens. Pas pour cocher des cases mais pour construire une démarche qui apporte de la valeur et qui colle à la réalité de votre entreprise.

Si vous souhaitez savoir précisément où vous en êtes, ce qui vous reste à faire et comment y aller sans vous épuiser, je suis disponible pour un premier échange. Ma page dédiée à NIS 2 est un bon point de départ.

Je vous réponds directement si vous avez des questions. En 15 minutes, vous serez surpris du nombre de réponses dont vous disposerez.

Parce que plus tôt on démarre, plus le sujet devient fluide.

ISO 27001 : des certificats en carton

Michael Harlaut — Mon, 20 Apr 2026 00:00:00 +0200

Évidemment, on notera la grande pertinence de l'image en haut de cet article. Et le choix un peu provocateur du titre ... C'est pleinement assumé.

Il y a une raison à cela : en 3 semaines, je suis tombé déjà deux fois sur de magnifiques certificats ISO 27001 qui ne tenaient pas leurs promesses. En particulier dans le contexte dans lequel j'évoluais.

Une fois à l'accueil d'une entreprise que je visitais (vous savez, sur ce mur qui affiche les certificats et récompenses de l'entreprise). Une fois sur le site d'une entreprise que j'étudiais dans un contexte d'évaluation fournisseurs.

À noter

Ce que j'ai vu et qui me fait parler de "certificat en carton" ?

Des certificats de moindre valeur et qui génèrent des risques au lieu de vous renforcer.

Évidemment je l'ai fait remarquer aux entreprises concernées. Avec plus de tact que dans le titre !

Le directeur de la première entreprise est tombé de sa chaise. Le second m'a avoué du bout des lèvres qu'il se doutait des limites de son approche et qu'il pensait mettre de l'ordre dans tout ça. Un jour.

Sachant que mon évaluation se faisait dans le contexte d'un marché exigeant, le "un jour" s'est transformé en "dans l'urgence".

Ce qui aurait pu être facilement évité avec une approche "dès le début" ;-)

Le risque du certificat ISO 27001 "facile"

Obtenir la certification ISO 27001 devient le Graal pour beaucoup de PME. C’est le sésame qui rassure les grands comptes, ouvre les portes des appels d’offres, prouve que vous prenez la cybersécurité au sérieux. Bref, un incontournable.

À noter

Le succès de cette norme a fait apparaître un marché orienté sur le volume, comme souvent. Des organismes de certification « alternatifs » proposent des mise en place rapides et des certifications à prix cassés.

La promesse ? Un tampon obtenu sans trop d'efforts. Ce qui est vrai, d'ailleurs.

Avec, pour celles et ceux qui veulent bien y croire, un risque réel et sérieux sur plusieurs aspects, parce que le magnifique certificat que vous allez recevoir n'a pas toujours la valeur attendue vis-à-vis de l'ISO.

En termes d'image, vous affichez une certification qui n'existe pas hors de l'organisme qui a délivré le document. Elle est non transférable dans un autre organisme, puisque non reconnue par ailleurs. On a vu mieux pour gagner la confiance du marché.
Vous visiez une reconnaissance internationale ? Finalement vous avez juste celle d'un organisme dont vous êtes totalement dépendant et qui vous fait payer chaque année pour le rester (c'est leur véritable business model).
Si vous cherchez à obtenir des certifications complémentaires dont le prérequis est d'être certifié ISO 27001, vous allez devoir revoir vos ambitions car vous risquez de ne pas remplir toutes les conditions requises.
Votre certificat ne sera jamais visible sur le site de référence ( https://www.iafcertsearch.org/ ). Celui de vos concurrents, oui.
Si vous avez répondu "oui" à la question "disposez-vous d'une certification ISO 27001 délivrée par un organisme accrédité", vous prenez un risque contractuel. Vous pourriez même devoir choisir entre passer pour une société naïve ou pour une société qui triche (un indice, les deux choix sont mauvais).
Il y a de fortes chances que vous affichiez sur votre site un logo ISO qui ne respecte pas les directives de l'ISO. C'est même à ça qu'on reconnait le mieux "les entreprises à l'ISO douteuse".
Personne ne vient contrôler l'organisme qui vous donne un certificat de ce type. Est-il compétent ? Les auditeurs sont-ils formés et évalués ? Leur avis sur votre système est-il vraiment pertinent ? Peut être que oui, mais sans un tiers de confiance pour le garantir, personne ne sait.
Si vous souhaitez revenir dans le giron d'un organisme accrédité, vous allez devoir lancer le processus réel de certification pour rattraper les choses et revenir dans le cycle normal. Ce qui va prendre du temps même si, avec un peu de chance, votre Système de Management est robuste.

Comment reconnaître un certificat douteux ?

C'est souvent un certificat qui joue sur les mots, par exemple en disant "approuvé" et non pas "certifié".

Surtout, c'est un certificat qui affiche le nom de la société qui le délivre, mais pas celui de l'organisme d'accréditation. Et pour cause ... il n'y en a pas.

À noter

Un rappel : pour que votre certification ISO 27001 soit reconnue mondialement, l'organisme qui vous audite doit lui-même être accrédité.

En France, c’est le COFRAC (Comité Français d'Accréditation) qui
accorde ce privilège. Dans d'autres pays, on parlera de l'UKAS
(Royaume-Uni), du DAkkS (Allemagne), etc. Ces organismes officiels sont
regroupés au sein de l'IAF (International Accreditation Forum).

Pour bien faire illusion, les organismes non accrédités utilisent des termes flous comme :

" Certifié par notre institut partenaire"
" Système évalué et approuvé pour ISO 27001"
" Enregistré auprès de notre registre privé"
" Registered company" sous le nom de l'organisme.
Un logo avec de jolies palmes (ça fait officiel), mais pas le couple certificateur/accréditeur.

Attention

C'est beau, mais trompeur si les limitations listées plus haut ne sont pas clairement établies lors de la signature du contrat.

La valeur d'un certificat ne vient pas de celui qui le signe, mais de celui qui autorise à le signer.

Cette nuance fait toute la différence.

Plus un certificat joue sur l’ambiguïté, et plus le risque est grand que le processus d'évaluation soit discutable. On ne parlera pas de sa légitimité.

Dans le cas de la première entreprise citée en début d'article, la direction pensait clairement disposer d'une certification reconnue et efficace. Un audit rapide a montré des non-conformités (majeures) sur pas mal d'aspects. En version courte, le SMSI ne fonctionnait juste pas.

Dans le cas de la seconde, elle a finalement été exclue de la consultation par mon client. Puisque je vous dis que le risque sur la confiance est concret ...

Revenons aux fondamentaux

La certification ne doit pas être une simple case à cocher pour faire plaisir à un client ou faire illusion sur le marché. C’est un levier de croissance et de protection pour votre activité.

ISO 27001 agit comme un véritable catalyseur de confiance.

S'appuyer sur un organisme non accrédité, c'est construire votre sécurité sur des raccourcis et prendre le risque d'endommager les relations ou la confiance des tiers.

À noter

Il ne faut pas se mentir : si pour l'évaluation vous choisissez une approche par facilité et/ou par naïveté, que risque-t-on de penser de votre posture de sécurité réelle ?

Vous connaissez la réponse ... c'est aussi celle que je donne à mes clients.

De mon coté, je n'accompagne que vers des certification via des organismes certificateurs accrédités, en bâtissant un système de management de la sécurité de l'information (SMSI) opérationnel et résistant.

Bon à savoir

Et j'ai une bonne nouvelle : ce n'est ni plus compliqué ni plus cher de bienfaire du premier coup !

Mieux, ça coute moins cher sur la durée.

Un doute sur un prestataire ou sur la validité d'une proposition commerciale ? Ne prenez pas de risque avec votre réputation, sollicitez mon avis. J'adore le donner, comme tout le monde ;-)

Même chose si vous disposez d'un certificat "non IAF" et que vous souhaitez passer le cap ou auditer la réalité de vos pratiques.

En très peu de temps, vous pouvez savoir où vous en êtes exactement. pour anticiper un passage vers le monde d'un certificat ISO reconnu.

Prenons le temps d'en discuter. C'est sans le moindre engagement.

Pas de sécurité sans traçabilité

Michael Harlaut — Fri, 13 Mar 2026 00:00:00 +0100

Si vous vous intéressez un minimum à la cybersécurité ou à la conformité (ISO 27001, NIS 2, etc.), vous avez forcément croisé le fameux triptyque DIC.

C’est le socle de toute stratégie de protection des données. Avec DIC on chercher à sécuriser les aspects suivants :

Disponibilité : Vous pouvez accéder à vos outils et vos fichiers quand vous en avez besoin.
Intégrité : La donnée est exacte et n’a pas été modifiée par erreur ou malveillance.
Confidentialité : Seules les personnes autorisées voient la donnée (pas de fuite).

C’est très bien. C’est même indispensable. Mais assez rapidement on se rend compte que ce n'est pas suffisant.

À noter

Avec l'approche DIC seule, il manque une pièce maîtresse pour que le système soit réellement robuste. Cette pièce, c’est la Traçabilité, aussi nommé Preuve.

De fait, vous trouverez souvent le sigle DICP : Disponibilité, Intégrité, Confidentialité, Preuve.

Sans traçabilité, sans preuve, vos trois piliers DIC sont incomplets, on va voir pourquoi.

La preuve : le témoin de votre système

La traçabilité, c'est la capacité de savoir qui a fait quoi, quand, et comment sur votre système d'information. Sur la base des fameux "logs" ou "journaux d'événements".

Pourquoi est-ce que cela change tout pour la robustesse de votre sécurité ?

À noter

Parce que la traçabilité est le seul outil qui permet de donner du sens aux trois autres.

Elle prouve la Confidentialité

Imaginez qu'un fichier ultra-confidentiel soit consulté. Sans traçabilité, vous savez (normalement) que le fichier est là, mais vous ignorez si quelqu'un est venu le consulter discrètement pendant la nuit. La traçabilité transforme un sentiment de sécurité en une certitude factuelle.

Elle garantit l' Intégrité

Si un chiffre change dans un document financier ou si une configuration serveur est modifiée, l'Intégrité est compromise. Mais comment savoir s'il s'agit d'un bug informatique, d'une erreur humaine ou d'un acte malveillant ? La traçabilité permet de remonter le fil : "C’est le compte admin-p-martin qui a modifié ce paramètre mardi à 14 h, 12 minutes et 21 secondes". On peut alors corriger et comprendre.

Elle accélère le retour à la Disponibilité

En cas de panne ou d'attaque, le plus long n'est pas toujours de restaurer les sauvegardes, c'est de comprendre par où le problème est arrivé. Sans journaux d'événements, on avance à l'aveugle. Ou pire, on ne sait jamais.

Comment redémarrer sereinement alors ?

Avec une bonne traçabilité, on identifie la faille, le déroulé des événements, on corrige et on remet les systèmes en ligne en toute connaissance de cause.

La traçabilité est un outil de défense (et de preuve)

Au-delà de l'aspect technique, la traçabilité est votre meilleure alliée en cas de coup dur pour deux raisons majeures :

La non-répudiation : C’est un terme juridique pompeux pour dire que personne ne peut nier avoir effectué une action. Pour un responsable, c'est une protection essentielle. Si une action critique est tracée avec certitude, personne ne peut contester l'évidence.
La conformité et la responsabilité : En cas de contrôle RGPD ou d'audit ISO 27001, on ne vous croira pas sur parole. On vous demandera des preuves. La traçabilité, ce sont vos preuves. C'est elle qui montre que vous avez mis en place des mesures de surveillance et que vous maîtrisez ce qui se passe chez vous.

À noter

Notez une condition pour que tout cela fonctionne : il faut en finir avec les comptes génériques, si il vous en reste (vérifiez bien, puis vérifiez encore).

Parce que disposer de traçabilité pour savoir que c'est le compte "admin-serveurs" qui est derrière une action, ça pose plus de question que ça n'apporte de réponses.

Par où commencer ?

Inutile de chercher à tout tracer (vous seriez noyés sous des gigaoctets de données inutiles). La méthode, c'est de cibler l'essentiel :

Tracez les accès "Privilégiés" : Qui se connecte en tant qu'administrateur ? C’est le point le plus critique.
Surveillez les accès distants (VPN) : Qui se connecte à l'entreprise depuis l'extérieur et à quelle heure ?
Protégez vos logs : dans le jeu du chat et de la souris, un acteur malveillant cherchera toujours à effacer ses traces. Assurez-vous que vos journaux d'événements sont stockés dans un endroit sécurisé (ou déporté) où ils ne peuvent pas être modifiés. Même par un administrateur.
Synchronisez les horloges : Cela paraît bête, mais pour que la traçabilité soit utile, il faut que tous vos serveurs et ordinateurs soient exactement à la même heure (via un protocole tel que NTP). Sinon, il devient impossible ou très complexe de reconstituer une chronologie avec précision.

En résumé

Le triptyque CID définit l'état de votre sécurité.

La Traçabilité raconte l'histoire de votre sécurité.

À noter

Dans un monde où le risque zéro n'existe pas, savoir ce qui s'est passé est souvent aussi important que d'avoir essayé de l'empêcher. C'est la différence entre une entreprise qui subit et une entreprise en maîtrise.

Vous voulez savoir si vos systèmes actuels laissent assez de traces pour vous protéger ? Vous souhaitez mettre en place une gouvernance qui tienne la route face aux auditeurs ? Discutons-en.

Je vous aide à voir clair dans vos logs, sans jargon et avec pragmatisme.

L'audit interne 27001 : votre meilleur allié

Michael Harlaut — Fri, 30 Jan 2026 00:00:00 +0100

Comme souvent, j'écris en fonction de mon actualité et de celles de mes clients. Et parce que les sujets s'enchaînent souvent, je viens de passer pas mal de temps à délivrer des audits internes (dans la position de l'auditeur, donc).

Avec parfois ce constat : la vision de l'audit interne n'est pas tout à fait la bonne. Et c'est bien dommage.

Alors oui, le mot "audit" a souvent mauvaise presse. Il évoque des images d'auditeurs pointilleux à la recherche de la non-conformité par pur plaisir, de documents épluchés jusqu'à la dernière virgule et de stress pour les équipes.

On peut ajouter que l'audit interne, dans le cadre d'une démarche ISO 27001 ou HDS, est vu comme "la contrainte avant la contrainte" : une étape obligatoire de plus à cocher sur le planning et du temps perdu qu'on aurait préféré passer à faire autre chose.

Si vous le voyez ainsi, vous passez à côté de l'essentiel.

À noter

Dans la vraie vie d'un Système de Management de la Sécurité de l'Information, l'audit interne n'est pas une contrainte. C'est votre meilleur allié. C'est le moment où vous pouvez transformer tout écart en une opportunité de devenir plus fort.

Où se place l'audit interne dans le cycle ?

Pour faire simple : l'audit interne est unegrande étape de vérification avant l'audit de certification (ou de surveillance).

Dans le cycle PDCA (Plan-Do-Check-Act) cher à l'ISO, c'est le cœur du "Check" (la clause 9.2, si vous ouvrez frénétiquement votre norme en me lisant).

C'est le moment où l'on vérifie, à froid et sans l'enjeu du certificat, si la machine tourne rond. Il doit impérativement avoir lieu après que les fondamentaux soient en place, mais assez tôt avant l'audit officiel. Afin d'avoir le temps de mettre en place des actions correctives si nécessaire.

À noter

L'objectif est très pragmatique : garantir que les pratiques de sécurité sont non seulement en place mais aussi efficaces.

Pourquoi est-il vital pour la performance du SMSI ?

L'intérêt de l'audit interne dépasse largement la simple conformité. Si vous le faites sérieusement, il apporte trois bénéfices majeurs :

L'audit interne confronte la théorie à la réalité

C'est le grand classique : la procédure écrite par le responsable du SMSI dit "A", mais sur le terrain, les collaborateurs font "B" parce que c'est plus pratique au quotidien.

Quand l'audit interne met le doigt dessus, il ne juge pas les personnes, il juge l'efficacité du système. Il permet de se demander : "Pourquoi ne suit-on pas la règle ? Est-elle inapplicable ? Est-elle mal connue ?".

À noter

C'est le meilleur moyen d'éviter la "conformité de papier" pour revenir à une sécurité opérationnelle.

L'audit interne prépare psychologiquement les équipes

Recevoir un auditeur tierce partie, c'est toujours un peu stressant. On a peur de donner la mauvaise réponse, de montrer le mauvais écran ou le mauvais document, de ne pas dégainer instantanément la preuve attendue ("Je vous assure, c'est là, quelque part").

À noter

L'audit interne sert d'entrainement. Il permet de "dédramatiser" l'exercice de l'interview et des constats d'audit. Vos collaborateurs apprennent à répondre aux questions (et surtout à répondre simplement sans se perdre dans les détails).

Ça permet de comprendre la posture de l'audité et de voir que finalement, l'auditeur est juste un humain (mais si !). Et il est d'autant mieux placé pour vous comprendre qu'il est souvent lui-même impliqué dans des projets d'implémentation : il n'est pas déconnecté des réalités.

L'audit interne est une fondation de l'amélioration continue

Pour les certifications exigeantes (par exemple HDS - Hébergement de Données de Santé), la moindre faille dans les processus peut avoir des conséquences fortes.

L'audit interne est le mécanisme qui permet de dire : "finalement on est bon là-dessus, mais sur la gestion des accès on est limite et il faut faire quelque chose".

Il alimente votre plan d'action et vous aide à revoir vos priorités. C'est un élément d'entrée de la revue de direction pour montrer que le système vit et qu'il s'améliore (Act).

À noter

C'est souvent une très belle occasion de se rappeler les fondamentaux et l'esprit des normes (que ce soit l'ISO 27001 ou HDS). Après un audit interne, on se rend compte qu'on comprend à nouveau les bénéfices du travail de mise en conformité.

Et puisqu'on parle d'ISO, le rapport d'audit interne est une information documentée. Que rêver de mieux ? ;-)

Comment mettre en place son audit interne ?

Il y a deux règles d'or concernant l'audit interne : l'objectivité et l'impartialité.

Dit autrement, on ne peut pas s'auditer soi-même en étant juge et partie : le RSSI ne peut pas auditer son propre travail de gouvernance. L'administrateur système ne peut pas auditer sa propre gestion des patchs. Le développeur ne peut pas auditer ses pratiques de sécurisation du code.

En tout cas pas avec le recul nécessaire.

Deux solutions s'offrent à vous :

L'audit croisé : Le service qualité audite l'informatique, l'informatique audite les RH, etc. C'est économique (sur le papier), mais ça demande une montée en compétence forte de vos équipes sur la norme. Compétence qu'il faudra maintenir sur la durée.
L'appel à un tiers : C'est souvent l'option la plus pragmatique pour les entreprises. Vous faites venir un auditeur qualifié (comme votre serviteur, par exemple) pour réaliser cet exercice.

L'avantage de l'externe ? Il n'a pas d'affect (même s'il est sympa). Parce qu'en audit croisé, il est forcément plus difficile de garantir l'objectivité et l'impartialité face aux gens qu'on croise chaque jour.

À noter

L'auditeur externe apporte un "regard frais" que vous n'avez plus à force d'avoir le nez dans le guidon. Surtout, il audite avec le même niveau d'exigence que le certificateur final, ce qui évite les mauvaises surprises.

Et puisque l'auditeur externe est quelqu'un qui navigue dans des SMSI divers et variés, il sait ce qui pose souvent problème et met l'accent sur les contrôles qui sont les plus pertinents dans votre contexte.

En conclusion

(oui, déjà)

Ne subissez pas l'audit interne. Provoquez-le.

Vous pouvez même en déclencher un en dehors du cycle "standard", quand vous commencez à vous poser des questions sur l'efficacité de votre SMSI ou que vous vous sentez un peu perdu dans votre projet de mise en conformité.

C'est votre outil de pilotage le plus puissant pour savoir où vous en êtes vraiment. Un bon rapport d'audit interne, même s'il contient des constats un peu désagréables en première lecture, est toujours une excellente nouvelle : c'est autant de problèmes que l'auditeur de certification ne découvrira pas lui-même et une magnifique opportunité de prendre du recul sur les pratiques.

Aussi, il permet de se rassurer : même si on a tendance à sauter très vite à la liste des non-conformités, un rapport d'audit liste aussi un grand nombre de points forts qui font du bien à lire. Une remarque couramment entendue en fin d'audit interne : "on n'est pas mal en fait". Mais oui !

Enfin, l'audit interne est parfois un précieux coup de pouce pour redynamiser un SMSI qui s'endort un peu et qui avait juste besoin d'un petit rappel pour se relancer.

Bref, l'audit interne est un investissement de sérénité. Et en matière de cybersécurité et de conformité, la sérénité n'a pas de prix.

Si vous avez des besoins d'audit interne ou d'un point de vue externe sur votre SMSI, que le sujet soit l'ISO 27001 ou HDS, n'hésitez pas à me contacter pour échanger.

L'ISO 27001 : tellement accessible

Michael Harlaut — Mon, 05 Jan 2026 00:00:00 +0100

Il m'arrive de plus en plus de pousser la démarche de certification ISO 27001 auprès d'organisations qui ne l'avaient pas en tête initialement. Parce qu'elle est la réponse qui s'impose dans leur contexte, tout simplement (voir un exemple ici).

Je vous rassure de suite, en temps normal j'ai suffisamment préparé le terrain pour que ça semble être une évidence pour la majorité, mais il y a toujours cette personne qui prend le sujet en cours et qui ne peut pas cacher une petite grimace ou rentre la tête dans ses épaules en se disant que ça va lui tomber dessus.

C'est peut-être votre cas aussi et je ne peux pas vous en vouloir si vous avez cette vision de l'ISO 27001 comme d'une sorte d'Everest administratif réservé aux grands groupes du CAC 40, nécessitant des armées de consultants et des tonnes de papier. On va voir que c'est une idée fausse.

Plus exactement, elle est fausse si on s'y prend bien !

Sur la complexité

La complexité de la norme est souvent celle qu'on veut bien lui donner. En réalité, mettre en place un Système de Management de la Sécurité de l'Information (SMSI) est un exercice de logique, pas de torture. Et si vous faites déjà de la qualité avec de l'ISO 9001 ou 14001, vous avez d'ailleurs intégré cette logique.

À noter

Le véritable frein n'est presque jamais la complexité technique ou organisationnelle. Le vrai frein, c'est la volonté.

L'importance du périmètre

L'erreur classique ? Vouloir tout certifier, tout de suite. "On certifie toute l'entreprise". Si vous choisissez cette approche sans une très bonne raison alors félicitations, vous venez de trouver le meilleur moyen de souffrir inutilement.

L'ISO 27001 permet de définir un périmètre. Vous n'êtes pas obligé de protéger la machine à café ou le serveur de test déconnecté avec la même rigueur que votre base de données clients.

Avant de plonger trop profondément dans le projet, il est donc essentiel de bien cibler le cœur de votre activité, là où se trouvent vos données critiques ou vos engagements clients (C'est d'ailleurs aussi la logique de la directive NIS 2 : protéger l'essentiel, pas l'accessoire).

En réduisant le périmètre à l'essentiel, vous réduisez mécaniquement la complexité et l'effort. Vous pourrez toujours étendre ce périmètre plus tard.

À noter

Il faut donc que votre étude d'opportunité (aller ou pas vers l'ISO 27001) commence par une définition de ce qui est nécessaire et suffisant dans ce périmètre : n'en faites pas trop, mais n'excluez pas les joyaux de la couronne.

Vous seriez d'ailleurs surpris de découvrir le périmètre de la certification de certaines entités qui affichent un logo ISO 27001. Non pas parce qu'elles ne sont pas au niveau attendu, bien au contraire, mais parce qu'elles ont parfaitement compris l'importance de bien définir les limites du terrain de jeu.

L'approche par les risques

On touche ici au cœur du sujet : ISO 27001 ne vous demande pas d'être une forteresse imprenable. Elle vous demande d'être cohérent avec vos risques.

Relisez bien la phrase précédente si nécessaire, elle est hyper importante.

Au lieu d'appliquer aveuglément les 93 mesures de sécurité de la norme, vous devez vous concentrer sur ce qui compte vraiment dans votre contexte.

Vous n'avez pas de développement en interne ? Inutile de rédiger des procédures complexes de codage sécurisé.
Vos activités sont réalisées à 100% en télétravail ? La sécurité physique des locaux sera traitée très rapidement mais on mettra l'accent sur la sécurisation des postes nomades.

Il suffit de bien le justifier.

Ne cherchez pas la perfection théorique. Cherchez la couverture de vos risques réels. C'est plus simple, et c'est surtout beaucoup plus utile. L'essence de la norme, c'est le pragmatisme. Pour utiliser une image parlante : On ne met pas des portes blindées partout, mais seulement là où est stocké l'or.

À noter

Là encore, il n'est pas question de mettre des risques forts sous le tapis (l'auditeur ne sera pas dupe, et surtout vous risquez de rater l'essentiel), mais de traiter ce qui est vraiment important pour votre organisation et vos clients.

Vous faites de la prose sans le savoir

C'est un constat que je fais régulièrement : les entreprises pensent partir de zéro, alors qu'elles ont souvent déjà de nombreuses mesures en place.

Vous faites des sauvegardes et vous le faites correctement ?
Vous avez un antivirus, un chiffrement des postes ?
Vous avez mis en place l'authentification multifacteur ?
Vous donnez des droits d'accès quand un salarié arrive et vous les coupez quand il part (pas 2 ans après) ?
Vous faites un minimum de veille en cybersécurité ?

Bravo, vous faites déjà de l'ISO 27001. C'est rassurant, non ?

À noter

La complexité perçue vient du fait qu'il faut le documenter. C'est souvent là que le système en place atteint ses limites et qu'il faut relever son niveau d'exigence.

Pour autant, pas besoin d'écrire des romans. Mieux vaut une procédure d'une page lue et appliquée, qu'un document de 50 pages que personne n'a ouvert depuis 2022. L'objectif n'est pas d'inventer de nouveaux processus lourds mais d'écrire ce que vous faites déjà bien, puis s'assurer que ce sera toujours fait ainsi demain, ou mis à jour si nécessaire.

Pour le dire différemment, la sécurité ne doit pas reposer sur l'oral ou les habitudes. Elle doit être (d)écrite et connue.

Traiter les écarts, pas la recherche d'un absolu

Une fois que vous avez identifié vos risques et documenté l'existant, le projet se concentre sur une liste de tâches : le Plan de Traitement des Risques.

C'est ici qu'on doit absolument rationaliser. On regarde l'écart entre ce qu'on fait et ce qu'on devrait faire. Et on priorise.

Vous n'avez pas besoin de combler tous les trous le premier jour. L'ISO est une démarche d'amélioration continue. Vous avez parfaitement le droit de dire : "Je sais que ce point est faible, j'ai prévu de le traiter dans 6 mois car ce n'est pas critique aujourd'hui". Et personne ne vous le reprochera, bien au contraire !

Utilisez, par exemple, une priorisation de type "MoSCoW" :

Must : on doit le faire (c'est vital)
Should : on doit le faire si c'est possible (c'est essentiel)
Could : on le fait si ce n'est pas trop impactant (c'est du confort)
Would : on le fera plus tard (c'est du luxe)

Tout le talent de l'animateur du projet, c'est de ne pas tout rendre vital mais de catégoriser avec réalisme. On traite d'abord ce qui est vital en prenant en compte les coûts. Ensuite on priorise le reste.

À noter

L'auditeur (en tout cas celui que je suis) ne vous sanctionnera pas parce que vous avez une vision claire et un plan. Ce qu'on ne laisse pas passer, c'est le fait d'ignorer sciemment les problèmes.

Le vrai sujet : l'engagement de la direction

Si ce n'est pas techniquement si dur, pourquoi certains projets s'enlisent-ils ?

Parce que la direction n'y croit pas vraiment. Si le projet est vu comme une corvée refilée au responsable informatique pour "avoir le logo", ça sera effectivement pénible et complexe. Pour le responsable informatique en particulier :-)

En revanche, si la direction comprend que c'est un outil de pilotage, qu'elle arbitre les risques et qu'elle donne l'impulsion (la fameuse volonté du premier encadré, si vous suivez), alors les barrières tombent. Les équipes s'alignent, les décisions se prennent vite, et la complexité disparaît au profit de l'efficacité.

L'enjeu pour les dirigeants est d'incarner la démarche. Si la direction contourne les règles, personne ne les respectera.

Le rôle de la direction n'est pas d'écrire les procédures techniques. Son rôle est d'effectuer des arbitrages :

Qu'est-ce qu'on protège ?
Quels risques on accepte ?
Quels moyens on se donne pour traiter le reste ?

À noter

L'ISO 27001, c'est simplement l'outil qui permet de documenter et de prouver que ces arbitrages sont faits et suivis.

En conclusion

Ne laissez pas le mythe de la complexité vous priver d'un atout concurrentiel majeur. Parce que oui, afficher une certification ISO 27001, c'est aujourd'hui plus que jamais un véritable atout pour l'entreprise.

À noter

Mettre en place ISO 27001, c'est avant tout mettre de l'ordre dans la maison. C'est faire preuve de méthode, de bon sens, et d'un peu de courage managérial (dire "on y va, et on va vraiment ").

Et entre nous, naviguer à vue dans le contexte actuel des cybermenaces est bien plus complexe et stressant que de suivre une norme qui a fait ses preuves depuis plus de 20 ans.

J'accompagne aujourd'hui des structures en région Bourgogne-Franche-Comté qui me disent "finalement, ce n'est pas aussi compliqué qu'on le pensait au départ". Ça fait plaisir, mais surtout elles ont tellement raison !

C'est toute la beauté de l'approche ISO : on commence simplement puis on améliore.

Si je ne devais donner qu'un dernier conseil, ce serait de ne pas rester seul si vous étudiez ce sujet. En quelques jours, on peut obtenir une très bonne visibilité sur son niveau de maturité et disposer d'un contenu suffisant pour nourrir une étude d'opportunité ISO 27001. Donc pouvoir décider sereinement.

N'hésitez pas à me contacter pour en savoir plus. Mon métier est de simplifier la conformité en prenant en compte vos spécificités. Avec en bonus le regard de l'auditeur qui connait parfaitement les attentes des organismes de certification (ce qui fait la différence).

Prendre rendez-vous pour un échange sur le sujet ISO 27001 (ou encore NIS 2).

Laissez-vous aussi tenter par une (re)lecture de cet article qui montre l’intérêt de la démarche ISO dans un contexte d'inflation règlementaire en cybersécurité.

Gérer l'inflation règlementaire

Michael Harlaut — Wed, 17 Dec 2025 00:00:00 +0100

Ce matin encore, j'ai eu une discussion sur l'inflation règlementaire du moment et l'approche souhaitable pour obtenir et maintenir des conformité multiples.

Parce que oui, l'époque de la règlementation unique est derrière nous : désormais il faut savoir prendre en compte une multitude d’exigences en même temps.

On trouve ainsi de plus en plus d'entreprises qui, à la fois :

sont soumises à NIS 2, directement ou indirectement.
doivent satisfaire les exigences du Référentiel Maturité Cyber applicable aux sous-traitants de la base industrielle et technologique de défense (BITD).
ne doivent pas oublier le RGPD toujours présent.
héritent de demandes spécifiques de certains clients...
doivent satisfaire des prérequis pour une assurance cyber.

Et là, arrive rapidement le piège du fonctionnement en silo, cause principale de l'épuisement des acteurs de la GRC (Gouvernance, Risque, Conformité).

Cette approche en silo est naturelle, souvent causée par le poids de l'histoire de l'entreprise : elle consiste à gérer un projet de conformité de manière indépendante, en traitant chaque référentiel l'un après l'autre au fur et à mesure des publications. Avec un résultat inévitable : une charge de travail dupliquée, des incohérences et une obésité documentaire rapidement très pénible à gérer.

Il existe pourtant une approche plus pragmatique : l'harmonisation des contrôles. L'objectif est simple : travailler une exigence de sécurité une seule fois, de manière assez robuste pour qu'elle puisse satisfaire simultanément plusieurs référentiels. Et seulement ensuite traiter le spécifique.

Dit autrement : il faut rationaliser la conformité autant que possible, tout en visant la conformité à des référentiels multiples, ou se préparer aux évolutions à venir.

La philosophie du "socle commun"

Tout d'abord, au lieu de regarder ce qui différencie ISO 27001 de NIS2, concentrez-vous sur ce qui les rassemble. Environ 70 à 80 % des exigences de sécurité se recoupent d'un référentiel à l'autre. Elles sont souvent redondantes, juste formulées différemment.

L'idée n'est donc plus de viser la conformité à une norme spécifique dès le départ, mais de construire un cadre de contrôle interne robuste qui couvre le plus grand dénominateur commun.

À noter

En adoptant cette méthode, vous n'êtes plus en réaction face à une nouvelle loi. Lorsqu'une nouvelle régulation sort, vous n'avez plus qu'à traiter le delta, car les fondamentaux sont déjà gérés.

Un exemple de recoupement (simplifié) d'exigence : le MFA

Si vous implémentez l'authentification multifacteur pour les accès, vous couvrez en une fois :

Une exigence de l'ISO 27001.
Une exigence NIS 2.
Le guide d'hygiène de l'ANSSI.
Un critère hyper récurrent des assurances cyber.
L'un des critère du RMC.
Le bon sens ET l'état de l'art.

Un autre exemple, avec la gestion des incidents cette fois :

Plutôt que de créer une procédure de réponse au incidents pour le RGPD et une autre pour NIS 2, il est parfaitement possible d'unifier l'approche avec une notion de ramification basée sur :

Un tronc commun : Détection -> Qualification -> Endiguement -> Notification.
Des branches qui partent de la notification en fonction des cas : données personnelles impliquées => notifier la CNIL et les personnes concernées (RGPD). Impact important sur une entité, notifier l'ANSSI (NIS 2).

On le voit (du moins je l'espère) : avec un minimum de prise de recul, on peut commencer à entrevoir la possibilité de réduire fortement la complexité du sujet. En évitant les mises à jour qui ne se propagent pas dans tous les sens en perdant leur cohérence.

Alors oui, ça implique un minimum de travail de réflexion et un peu de gymnastique intellectuelle, mais l'approche "tronc commun" est un vrai gain si on s'en donne la peine.

Et quand les exigences sont proches ... mais pas égales ?

A nouveau, ça ne coute rien de vérifier si un dénominateur commun peut être trouvé. Cherchez si il est possible de viser le standard le plus haut pour couvrir automatiquement les standards inférieurs.

Un exemple (pas le meilleur, mais il est parlant) : si une exigence X demande des clés de 256 bits minimum, et une exigence Y demande des clés de 512 bits, utilisez 512 bits pour tout le monde. Et donc une seule politique de chiffrement pour une unification des mesures.

Évidemment ça ne fonctionne pas toujours. Mais à chaque fois que vous découvrez une possibilité de cet ordre vous diminuez la complexité d'un cran.

À noter

Ne tordez pas pour autant la compréhension des exigence pour faire rentrer des ronds dans des carrés. Il y a une différence entre faire preuve d'agilité intellectuelle et (se) raconter des histoires. 20 à 30% des exigences vont vivre en autonomie et ce n'est absolument pas un problème.

OK, mais mes documents alors ?

Là encore, l'alignement des exigences permet de rationaliser la documentation et d'éviter le cauchemar des auditeurs et des audités : se retrouver avec deux politiques différentes qui disent la même chose avec des mots différents. Ou pire, qui finissent par ne plus dire la même chose avec le temps !

Évitez donc de construire une arborescence par norme ou directive en dupliquant des informations. Créez plus simplement des dossier par thème (ex : "Contrôles des accès") qui permettront le suivi de la documentation du socle.

Un autre sujet : plutôt que de viser la PSSI ultime qui intègre tout, construisez une PSSI "entreprise" qui coche toutes les cases communes, puis déclinez en compléments pour couvrir le spécifique (ex : "politique de développement").

À noter

La différence prend tout son sens en audit : vous ne présentez pas un document créé uniquement pour cocher des cases, mais une preuve opérationnelle qui vit au quotidien et qui répond à plusieurs cadres. Ce qui devrait plaire à un auditeur normalement constitué (ça existe, j'en ai rencontré).

L'anticipation des exigences et cadres futurs

Travailler la conformité de manière unifiée est le meilleur investissement pour l'avenir. Parce que malgré la multiplicité des règlements, les régulateurs convergent vers des exigences similaires :

Gouvernance et processus
Risque et gestion des tiers (la fameuse Supply Chain)
La résilience (on ne protège pas seulement, on vise la survie)

Si votre programme de conformité est construit autour de grands piliers plutôt qu'autour des chapitres d'une norme ou des exigences d'un règlement, l'arrivée du prochain cadre ou les évolutions futures de l'ISO ne seront plus des bouleversements, mais de simples ajustements à la marge.

Ça n'évitera pas forcément un document unique qui fera le lien entre les référentiels et leurs exigences, mais vous y gagnerez sur tout le reste.

On pourrait trouver encore de nombreux exemples qui fonctionnent. Vous pourrez aussi m'opposer des exemples où ça ne fonctionne pas (j'en ai aussi !) mais ce n'est pas grave : le but n'est pas de faire du tout en un, mais de réduire significativement la complexité et de faciliter la gestion au quotidien.

Sans jamais réduire l'efficacité.

À noter

A condition de travailler en faisant un travail de veille nécessaire, de voir plus loin que la "conformité du moment". Il faut bien comprendre les motivations des régulateurs, l'esprit des exigences et la vision des auditeurs.

Notez que c'est exactement mon approche lorsque j'accompagne mes clients vers la conformité. Parce qu'ils sont désormais presque toujours concernés par des exigences multiples (NIS 2, RGPD, et RMC, par exemple).

Et quand bien même vous avez déjà une approche en silos, il n'est jamais trop tard pour se poser et faire le travail de rationalisation. C'est d'ailleurs un travail d'alignement (voir de nettoyage) que je réalise de plus en plus.

Et si ISO 27001 était la solution ?

Si vous vous posiez la question, les nouvelles exigences ne viennent pas diminuer l’intérêt de la norme (volontaire) ISO 27001. Bien au contraire.

D'abord la valeur d'une certification ISO reste entière : c'est obtenir une reconnaissance très officielle pour l'ensemble des efforts réalisés.

Dire (par exemple) "Je suis conforme à NIS 2", c'est une auto-déclaration. Dire "Je suis certifié ISO 27001", c'est une preuve reconnue internationalement.

En utilisant l'ISO comme véhicule pour votre conformité NIS 2, vous faites d'une pierre deux coups : vous respectez la loi ET vous gagnez un avantage commercial majeur à afficher. Et quand l'auditeur de n'importe quelle entité arrive et sait que vous êtes conforme à la norme de référence, tout devient plus simple.

Notez bien que ISO 27001 ne permet pas de bénéficier d'une présomption de conformité à NIS 2 ou à d'autres exigences. Pour autant, les synergies et points de convergence sont plus nombreux que les différences.

Ce qui ne gâche rien : ISO 27001 s'appuie sur une méthode qui parle à tout ceux qui gèrent des Systèmes de Management de la Qualité. Si vous êtes ISO 9001 ou 14001, vous disposez de fondamentaux qui faciliteront la mise en œuvre de la 27001.

Bref, la 27001, qui fête ses 20 ans, n'a jamais été aussi actuelle. Miser sur l'ISO 27001, c'est choisir de ne pas subir l'inflation réglementaire. C'est adopter un cadre de travail structurant qui vous servira pour NIS 2 aujourd'hui, pour le CRA demain, et pour n'importe quelle nouvelle exigence dans 5 ans.

Et ne pensez pas que c'est une approche réservée aux entreprises de grande taille : ISO 27001 est de plus en plus adoptée par des PME qui se rendent compte que c'est une norme plus accessible qu'on peut le penser.

À noter

Un rappel tout de même : l'objectif final n'est pas le certificat accroché au mur. L'objectif est la résilience de l'entreprise. Et il se trouve que la route la plus efficace pour l'atteindre est aussi la plus pragmatique.

Parce qu'elle permet de libérer du temps pour gérer l'essentiel.

N'hésitez pas à me contacter pour échanger sur vos sujets de conformités et vos interrogations. Je vous promets que dès le premier échange, on peut donner énormément de sens à la démarche et clarifier énormément de sujets qui empêchent de bien dormir la nuit :)

Mon métier, c'est de simplifier la complexité.

Vous savez où me joindre !

"Pour aller plus loin sur ce sujet précis, je vous invite à lire mon article dédié : L'ISO 27001 : tellement accessible."

Retour d'expérience NIS 2

Michael Harlaut — Fri, 14 Nov 2025 00:00:00 +0100

Ceux qui me connaissent ou me suivent savent que j'ai une appétence particulière pour le sujet NIS 2. Ce qui m'a amené à piloter déjà plusieurs projets de mise en conformité pour des clients à Dijon et Besançon.

Il est donc temps de faire un état des lieux, et de revenir au passage sur certaines idées préconçues que j'entends régulièrement.

On va parler des raisons d'y aller, des erreurs à éviter, des limites d'une approche trop orientée sur la technique, ou encore de budget !

Pourquoi se lancer sur NIS 2 ?

C'est fondamentalement la première question, celle qui va permettre de démarrer (ou pas) un projet de mise en conformité.

Pour les projets que je suis, la réponse a été assez proche de "on n'a pas vraiment le choix". Parce que l'impulsion n'est pas venue des premiers concernés, mais de leurs clients donneurs d'ordres.

À noter

Pour rappel, une entreprise NIS 2 est responsable de ses sous-traitants, et doit vérifier que ses partenaires appliquent des règles d'hygiène en cybersécurité. Ce qui a un effet sur tout l’écosystème des fournisseurs ...

Certains ont donc reçu de jolis questionnaires à remplir rapidement pour expliquer à leurs donneurs d'ordre leur niveau d'engagement en sécurité informatique. De manière intéressante, pas un seul ne mentionnait explicitement "NIS 2". Jamais. Pour autant il n'y avait pas un seul doute à avoir en parcourant le document. C'était bien une liste d'exigence tirées de NIS 2 et de l'état de l'art en matière de cybersécurité.

Surtout, le questionnaire ne faisait pas que mentionner une liste en mode "on fait / on ne fait pas". Il mentionnait des exigences, en spécifiant bien que c'était des critères à remplir qui seraient évalués et annexés lors du prochain renouvellement de contrat.

À noter

En gros, ces clients ont reçu de manière plus ou moins subtile le message suivant : "soyez conforme aux exigences NIS 2 si vous souhaitez continuer à travailler avec nous". Autant dire que ça réveille les consciences et déclenche des craintes pour un dirigeant de PME souvent bien seul face à ces problématiques.

Rassurez-vous, je travaille aussi avec des directions qui sont conscientes de la nécessité de renforcer leur posture de sécurité sans attendre.

D'abord pour assurer la résilience de l'entreprise face à de nouvelles menaces mais aussi pour saisir une opportunité : montrer au marché que leur fiabilité est forte et se positionner en partenaire de confiance.

Mais pour être totalement honnête c'est aussi parce qu'elles sont passées par un moment difficile, après un incident cyber qui a marqué les esprits ...

À noter

NIS 2 a un objectif : garantir un niveau de maturité qui va rendre l'entreprise encore plus solide et apte à tenir ses engagements, même après une attaque informatique. Dit autrement, survivre aux attaques et garantir son activité.

C'est très exactement ce que vos clients et le marché attendent de vous !

L'objectif n'est pas la perfection immédiate, c'est la mise en mouvement. Et le coût de ce mouvement est dérisoire par rapport au coût de l'immobilité, quand l'attaque survient.

S'assurer de l'engagement de la direction

La première étape vaut pour la totalité des projets qui ont un impact sur une large population d'utilisateurs ou sur de nombreuses fonctions transverses : l'engagement de la direction !

Ceux qui pratiquent l'ISO connaissent bien cet aspect. Sans engagement (réel !) de la direction, les projets ont beaucoup de mal à avancer. Ils peuvent même avoir beaucoup de mal à passer le cap de la certification.

Et ça vaut aussi pour NIS 2 : il faut que la direction soit impliquée, pas seulement pour dire "il faut y aller", mais en montrant un soutien, en participant aux décisions et en s'intéressant aux avancées du projet.

À noter

C'est d'autant plus vrai avec NIS 2 : la directive prévoit que les dirigeants sont les responsables de la conformité et peuvent faire l'objet de sanctions. Mais c'est avant tout une question de bon sens qui s'applique à tous les domaines de la sécurité.

Bien comprendre les exigences NIS 2

C'est le point sur lequel je passe peut-être le plus de temps au départ.

Parce que la liste des exigences NIS 2 est finalement assez simple. Presque générique. Il faut donc savoir traduire ces exigences en y appliquant la notion d'état de l'art (un rappel dans ce document).

C'est cette approche qui permet de traduire une formulation assez basique en une liste d'objectifs et de tâches qui ne laissent pas de place au doute.

À noter

Ne démarrez pas en vous disant que vous allez apprendre doucement et ajuster les priorités au fil de l'eau : prenez le temps nécessaire pour avoir une vision claire de votre feuille de route et des dépendances entre les tâches avant d'aller trop loin.

Intégrer que ce n'est pas juste un projet technique

On associe encore trop souvent cybersécurité et solutions techniques. Or c'est une vision totalement dépassée. La cybersécurité est avant tout un sujet de gouvernance.

Les fournisseurs de solutions ont une grande part de responsabilité ici. Ils passent leur temps à mettre en avant des logiciels, des boitiers, des outils en expliquant que leurs solutions vont garantir la sécurité. C'est faux et on le sait depuis des années.

Pourtant j'en ai croisé et j'en croise toujours autant. Et ça m'agace...

À noter

Pour être bien clair : vous devez fuir une entreprise qui vous explique que ses solutions techniques vont vous permettre à elles seules d'obtenir une conformité NIS 2. Parce que cela veut dire que cette entreprise n'a juste rien compris à la directive.

Ne pas négliger l'organisationnel et le juridique

En lieu avec le point précédent, la conformité NIS 2 s'appuie sur 3 grands axes : Un axe organisationnel, un axe technique, et un axe juridique. Les 3 sont importants, mais je vois une tendance à sous-estimer les efforts nécessaires pour l'organisationnel, en particulier.

À noter

Les termes exactes de la directive sont : "des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées". Mais je préfère utiliser les 3 dénominations précédentes qui semblent plus parlantes pour mes interlocuteurs.

L'organisationnel, c'est une partie très consommatrice de temps, qui implique la mise en place et la documentation de nombreux aspects. On peut citer : la Politique de Sécurité du Système d'Information, le Plan d'Assurance Sécurité, le Plan de Continuité et de Reprise d'Activité (PCA/PRA), l'approche par les risques, la formation des collaborateurs (y compris les dirigeants), le recensement des fournisseurs et des obligations règlementaires (pensez par exemple RGPD), procédures d'arrivée et de départ, ...

Le juridique, c'est une portion différente car elle implique moins de travail en interne. Par contre elle oblige à faire appel à un expert du droit numérique pour gérer au mieux les aspects associés : charte informatique opposable, annexes aux contrats avec les fournisseurs, clauses d'inspection, clarification des pouvoirs étendus des administrateurs, ...

À noter

NIS 2 c'est une prise en compte de l'ensemble des mesures dans 3 grandes catégories. Aucune ne prévaut sur les autres : il faut s'assurer de couvrir l'ensemble des aspects sur l'ensemble du système d'information.

Documenter (beaucoup)

Ça peut sembler évident, mais c'est un sujet qui nécessite de nombreuses rappels tout au long du projet. Parce que personne n'aime écrire des documents et s'imposer un calendrier et des procédures de mise à jour.

Pour autant, il faut absolument maintenir une documentation rigoureuse et complète de toutes les actions entreprises (évaluations des risques, décisions prises, contrôles mis en place, configurations, tests de restaurations, formations, ...).

Et n'oubliez pas, les plans ne sont pas juste faits pour dormir dans un classeur. Il faut régulièrement les tester puis tenir compte du résultat des exercices pour les améliorer.

À noter

Sans documentation, pas de preuve.

Sans preuve, pas de conformité.

Sans test, un plan n'est qu'un bout de papier sans valeur.

Ne pas viser la conformité NIS 2 pour la forme

Assurez-vous que les acteurs comprennent la réelle valeur ajoutée pour l'entreprise en termes de gestion des risques et d'efficacité opérationnelle : communiquez et sensibilisez !

La conformité n'a pas un objectif règlementaire ou contractuel avant toute chose. L’objectif est bien plus important : la résilience de l’entreprise et sa capacité à assurer la continuité d'activité en cas d'attaque.

Là encore, ça demande pas mal de pédagogie, surtout quand l'entreprise n'a pas choisi d'y aller mais s'est mise en route sous l'impulsion d'un donneur d'ordre.

À noter

On ne mène pas un projet de conformité NIS 2 pour « cocher des cases ».

On mène un projet NIS 2 pour sécuriser la continuité de ses activités.

Anticiper et planifier, dans la durée

Attention à se hâter lentement pour atteindre la conformité. L'urgence est toujours relative. A partir du moment où vous savez montrer que vous êtes conscient des enjeux, que vous disposez d'un plan et de moyens, personne ne vous reprochera de ne pas être à l'optimum en un claquement de doigts.

J'ai eu l'occasion de défendre un plan devant des représentants d'un grand groupe. On était encore loin de nos objectifs et pourtant on a obtenu toutes les validations sans la moindre objection.

À noter

Parce qu'on savait ce qu'on faisait et qu'on pouvait le montrer clairement.

Pour autant, il faut anticiper, pour disposer de ce plan. N'attendez pas !

Pour ne rien gâcher, le temps permet de lisser les efforts, et donc le budget.

Enfin, la cybersécurité est un processus continu qui nécessite des ajustements réguliers en fonction des nouvelles menaces, des nouvelles exigences et des évolutions de l’état de l’art. Ne vous endormez pas parce que vous avez atteint votre objectif premier.

À noter

Il s'agit de faire rapidement l'état des lieux, de définir un plan et d'appliquer le principe de l'amélioration continue sur la durée, surtout dans un monde changeant comme celui de la cybersécurité.

Accompagner le changement

NIS 2 n'est pas l'affaire de quelques personnes qui travaillent dans un bureau sans fenêtre au second sous-sol de l'entreprise.

NIS 2 peut impliquer des changements importants dans les processus, les outils ou la culture organisationnelle. Et au final venir impacter le quotidien de la majorité des utilisateurs.

Ne pas gérer ces changements de manière adéquate peut créer de la résistance ou des perturbations. Il est donc essentiel d'expliquer tôt, de faire rapidement des opérations de sensibilisation et de ne jamais perdre de vue le point de vue des utilisateurs quand on fait le choix de certains outils ou processus.

À noter

Les utilisateurs sont le maillon fort de la cybersécurité. Les embarquer rapidement, c'est aussi valoriser leur rôle dans la défense des intérêts de l'entreprise.

Anticiper un budget

Oui, la mise en conformité prend du temps. Et ce temps va être consommé sur la disponibilité des équipes. C'est le poste d'investissement qu'on a tendance à ne pas bien anticiper, surtout pour la partie organisationnelle.

Oui, la portion technique va aussi nécessiter un budget, en fonction du degré de maturité dont vous disposez en début de projet. Si vous ne disposez pas d'une segmentation réseau, d'un EDR, de MFA ou de solution de gestion des mots de passe, ça va demander plus d'efforts. Et à nouveau du temps en plus des solutions.

Oui, la partie juridique va aussi impliquer de faire appel à des spécialistes du droit.

Alors tout cela à évidemment un coût, mais il existe des approches qui permettent de limiter le poids de l'investissement et de le ventiler sur un temps assez long.

D'abord en anticipant, pour lisser intelligemment les efforts. Plus tôt on commence à réfléchir au sujet NIS 2 et mieux c'est.

Ensuite en choisissant les mesures les plus adaptées à son environnement et à ses risques. A nouveau, on ne vise pas la sécurisation ultime, mais le meilleur compromis coût/sécurité.

Enfin, il est important de bien travailler sur les modèles de consommation des produits et services : achat ou abonnement ? compétence interne ou externalisation ? Durée d'engagement courte ou longue ?

De nombreuses approches permettent de limiter l'impact sur la trésorerie.

Finalement, ça coûte combien ? Difficile de répondre car tout dépend du contexte et de la maturité initiale, mais souvent moins cher qu'on ne le croit.

Pour être transparent, mon point de vue a changé avec le temps. Moi aussi je me disais "ça va être une énorme contrainte", mais je me rends compte qu'on peut faire beaucoup avec des moyens raisonnables.

NIS 2 ne vous oblige pas à acheter des produits hors de prix. Elle vous oblige surtout à écrire des procédures et à faire de la configuration fine d'outils parfois existants. A condition qu'il existe un socle minimum ...

En bref, l'essentiel du coût de mise en œuvre, c'est du temps humain, pas de l'achat matériel. Et en priorisant bien, on peut voir des gains rapides.

À noter

Il est parfaitement possible d'augmenter très significativement le niveau de sécurité et de viser la conformité NIS 2 sans perturber l'équilibre financier de l'entreprise !

N'oubliez pas que NIS 2 insiste fortement sur la notion de proportionnalité : on n'attend pas d'une PME de 15 personnes qu'elle atteigne le niveau de sécurité d'un acteur majeur du nucléaire militaire. Soyez réaliste dans votre approche.

L'apport réel de NIS 2

L'enjeu est simple : passer d'une posture réactive (en mode autruche, parfois) à une posture proactive.

NIS 2, c’est d'abord l'opportunité de s'asseoir autour d'une table et répondre à des questions basiques que l'on repousse depuis toujours pour de mauvaises raisons :

Si notre ERP tombe, on fait quoi ? (Plan de Continuité)
Qui a vraiment les droits administrateur sur le réseau ? (Gestion des accès)
Comment est-ce que les systèmes sont connectées ? (Segmentation)
A quand remonte la dernière information des utilisateurs ? (Formation)
Si on se fait pirater, on appelle qui ? Et qui est responsable de quoi ? (Gestion de crise)
Et de nombreuses autres, aussi pertinentes !

Devoir répondre à ces questions est en général un véritable électrochoc. Se rendre compte qu'on ne sait pas y répondre avec précision, surtout. Posez-les très rapidement, pour déclencher une prise de conscience et faire en sorte que les différents acteurs comprennent l'importance du projet.

Avec NIS 2, on prend conscience que l'attaque arrivera un jour, et on met en place les cloisons étanches qui permettront de ne pas chavirer. On passe de l'attente à l'action pour la sécurité (voir la survie) de l'entreprise.

À noter

Vos clients et le marché attendent quelque chose de très pragmatique : montrer votre capacité à se positionner comme un interlocuteur fiable, qui ne va pas disparaitre et mettre en péril toute une chaine de valeur par négligence. NIS 2 permet aussi cela.

NIS 2, c'est aussi l'occasion de se poser la question de l'adéquation des solutions en place, pour remettre les choses à plat en profitant de nouveaux outils plus efficaces et finalement moins chers.

En conclusion

Non, le grand méchant NIS 2 ne va pas tuer les entreprises. Les attaques cyber, par contre, font des dégâts irrémédiables. Chaque jour. Et la tendance ne va pas exactement dans le bon sens ...

NIS 2, c'est une opportunité énorme de rendre les entités plus résilientes et de montrer à ses partenaires qu'on est un acteur digne de confiance.

Devoir passer par une directive Européenne pour ça, c'est peut-être dommage, mais c'est le seul moyen de faire enfin bouger les lignes (de défense). L'histoire ne manque pas d'exemples d'obligations pour faire avancer la sécurité.

Ça implique une approche méthodique, un engagement au plus haut niveau et un pilotage au plus fin pour faire les meilleurs choix en termes d'implémentation, de priorisation et de budget.

Si vous désirez en savoir plus et profiter de mon expérience sur le sujet, n'hésitez pas à parcourir ma page dédiée ! Ne restez pas seul face à la directive.

Et pour rappel, mon support de présentation NIS 2 utilisé pendant le CyberSec'Day de Besançon est toujours disponible ici.

À noter

Article écrit par un artisan de la cybersécurité, sans aide de l'IA

Support NIS 2

Michael Harlaut — Tue, 14 Oct 2025 00:00:00 +0200

Bon à savoir

Cliquez ici pour télécharger la présentation

30 minutes c'est beaucoup trop court pour couvrir un sujet aussi large, j'en suis conscient. Il y a pourtant tellement à dire sur NIS 2 !

Si vous étiez présent à l'évènement et n'avez pas eu l'occasion de poser une question ou si vous avez besoin d'une clarification, n'hésitez pas à me contacter.

N'hésitez pas non plus si vous n'étiez pas présent !

Enfin, j'accompagne des entreprises sur le sujet NIS 2 depuis début 2025. Si vous voulez profiter de mon retour d'expérience, n'hésitez pas à parcourir ma page dédiée au sujet.

Le Cyber Resilience Act

Michael Harlaut — Thu, 28 Aug 2025 00:00:00 +0200

Vous connaissez certainement la directive NIS 2, et si vous êtes déjà concerné vous avez même peut être déjà avancé sur la mise en œuvre. Notez que si vous pensez attendre, ce n'est pas forcément une bonne idée d'ailleurs

Mais oublions NIS 2 pour le moment : le sujet d'aujourd'hui est un autre règlement : le Cyber Resilience Act, référencé (EU) 2024/2847.

A partir de cet instant, on va parler de CRA, puisqu'on est entre nous.

L'histoire du CRA remonte à 2022, quand les états membres ont commencé à se pencher sur la meilleure manière de sécuriser les produits "comportant des composants numériques".

À noter

Objectif : garantir la sécurité, la transparence et la confiance des utilisateurs. Parce qu'il n'est plus tolérable de voir des produits faire tourner du code sans la moindre prise en compte de la cybersécurité.

Ces travaux ont donné lieu à la publication du règlement CRA le 23 octobre 2024. Notez qu'on parle bien d'un règlement. La nuance avec une directive est que le règlement est d'application immédiate dans l'intégralité des états membres sans donner lieu à une transposition locale.

À noter

En résumé, le CRA s'impose dès maintenant, avec des contrôles dès 2026 !

Applicabilité du CRA

Le CRA s’applique aux « produits comportant des éléments numériques » mis à disposition sur le marché UE, dont l’usage prévu (ou raisonnablement prévisible) implique une connexion logique ou physique à un appareil ou à un réseau. Il couvre aussi les solutions de traitement de données à distance fournies par le fabricant lorsqu’elles sont nécessaires au fonctionnement du produit (ex. fonctions cloud d’un objet connecté).

C'est encore un peu vague ? Prenons quelques exemples :

Objet	Assujetti Oui / Non	Pourquoi
Smartphone	Oui	Système d’exploitation + connexion internet + MAJ nécessaires
Logiciel commercial	Oui	Distribué sur le marché, doit être maintenu et sécurisé
Serrure connectée	Oui	Sécurité physique dépendant d’un accès numérique
Voiture connectée	Non	Déjà couverte par réglementation automobile
Dispositif médical connecté	Non	Déjà réglementé par le MDR (Medical Device Regulation)
Logiciel Open Source gratuit	Non	Pas d’activité commerciale
Logiciel Open Source avec version commerciale	Oui	Exigences allégées
Machine à laver connectée	Oui	Traitement des données, se connecte à un smartphone
Machine à laver non connectée	Non

A ce stade, vous devriez commencer à savoir si vos produits sont concernés ou pas.

Les implications du CRA

Le CRA impose un certain nombre d'exigences qui vont nécessiter un travail de fond plus ou moins important, selon votre maturité sur le sujet.

Exigences « produit » (Annexe I – Partie I)

Les produits doivent, entre autres, être sécurisés par conception et par défaut, protéger confidentialité–intégrité–disponibilité, limiter la surface d’attaque, journaliser les événements pertinents, permettre l’effacement sécurisé des données, et maintenir les fonctions essentielles même après incident.

Gestion des vulnérabilités (Annexe I – Partie II)

Le fabricant doit inventorier les composants et documenter les vulnérabilités, y compris via une SBOM (au minimum les dépendances de premier niveau) dans un format lisible par machine.
Le fabricant doit tester régulièrement la sécurité, publier des informations sur les vulnérabilités une fois corrigées, mettre en place une politique de divulgation coordonnée, et distribuer des mises à jour de sécurité, automatiquement quand c’est techniquement possible.

Période de support & mise à jour

Le fabricant doit définir une « période de support » proportionnée, au moins 5 ans (ou la durée d’usage prévue si <5 ans), et maintenir accessibles les mises à jour de sécurité ≥10 ans (ou pendant la période de support si plus longue).
L’échéance de support (mois/année) doit être communiquée au moment de l’achat.

Information à l’utilisateur, marquage et documentation

Fournir un point de contact vulnérabilités et des instructions (installation sécurisée, MAJ, fin de vie).
Préparer la déclaration UE de conformité et le marquage CE, avec dossier technique (incluant SBOM, politique CVD, analyses de risque, etc.)

Notification à ENISA / CSIRT (Article 14)

À compter de l’application de l’art. 14 (voir le calendrier plus loin) :

Vulnérabilité activement exploitée : Alerte précoce < 24 h après découverte. Notification détaillée < 72 h. Rapport final ≤ 14 jours après la mise à disposition d’une mesure corrective.
Incident grave affectant la sécurité du produit : Alerte précoce < 24 h. Notification d’incident < 72 h. Rapport final ≤ 1 mois. Notifications via la plateforme unique gérée par ENISA ; information aux utilisateurs « en temps utile ».

Classes de produits & évaluation de conformité

Produits « importants » (Annexe III) – ex. OS, routeurs, VPN, SIEM, gestion d’identités, pare-feu/IDS/IPS (classe II), etc. Les classes I/II impliquent des modules d’évaluation plus stricts (jusqu’à organisme notifié).
Produits « critiques » (Annexe IV) – ex. HSM, smartcards/secure elements, smart meter gateways : certification européenne possible/exigée à un niveau d’assurance au moins “substantiel” si un schéma existe.

À noter

On le voit, il y aura pas mal d'efforts à faire pour une prise en compte de l'ensemble des exigences, comme dans beaucoup de projets de conformité.

Et donc un véritable besoin d'anticipation pour coller au calendrier et ne pas devoir tout faire dans l'urgence (qui dit urgence, dit inconfort et hausse des coûts).

Et justement, parlons du calendrier :

Fin 2025, publication des premiers documents d'harmonisation.
11 juin 2026 : application du Chapitre IV (mise en place et notification des organismes d’évaluation de conformité). A ce jour ce point reste à mettre en place, en France.
11 sept. 2026 : application de l’Article 14 (obligations de reporting vulnérabilités/incidents via ENISA)
11 déc. 2027 : application générale du CRA (exigences produit, CVD, SBOM, CE, etc.).
Produits déjà sur le marché avant le 11 déc. 2027 : restent hors champ sauf en cas de modification substantielle (mais les obligations de l’art. 14 s’appliquent à eux aussi à partir du 11 sept. 2026).

À noter

En gros, la date la plus importante est celle du 11 septembre 2026. Car à cette date, vous devez être en mesure de pouvoir effectuer les signalements des vulnérabilités et incidents selon les contraintes données plus haut.

Et ça ne s'improvise pas. Parce que pour cela il faut une procédure en place, mais aussi (et surtout) pouvoir disposer des capacités de détection associées.

Pour vous donner une idée des implications, voici une "petite" check list ...

Les actions à anticiper :

Nommer un sponsor & un pilote CRA (produits, juridique, cyber, qualité).
Cartographier le portefeuille (hardware, software, services « à distance » du fabricant) et classer vis-à-vis des annexes III/IV.
Mesurer l'écart entre les pratiques actuelleset l'Annexe I : CIA, surface d’attaque, journaux, effacement, mises à jour, etc.
Définir la période de support (≥5 ans en principe) et le plan de patch management (y compris accessibilité des MAJ ≥10 ans).
Mettre en place une politique CVD publique, un PSIRT, une adresse de contact, et simuler la chaîne de report (24 h / 72 h / 14 j / 1 mois) vers ENISA/CSIRT.
Générer une SBOM (formats SPDX ou CycloneDX) au minimum des dépendances de premier niveau et l’intégrer à la doc technique.
Préparer la documentation : Dossier technique (Annexe VII), Déclaration UE (Annexe V), Informations utilisateur (Annexe II), marquage CE.
Surveiller les normes harmonisées & schémas de certification EUCC pour bénéficier de présomptions de conformité.
Planifier l’évaluation : si produit en classe II ou critique, anticiper l’organisme notifié (capacité limitée), conformément aux exigences de notification d’ici septembre 2026. A noter, les organismes ne sont pas encore connus pour le moment, ce qui n'empêche pas de commencer ...
Former les équipes produit/DevSecOps/Support sur les exigences et le calendrier ; aligner avec NIS2 et RGPD pour éviter les doublons de notification.

À noter

En bref, si vous vous demandez quand commencer, j'ai une réponse extrêmement claire : maintenant ! Parce que même sans les fameux documents d'harmonisation, il y a déjà beaucoup de choses qui relèvent du bon sens (disposer d'une SBOM par exemple, mais pas seulement).

Les bénéfices à se mettre en conformité

Accès plus simple au marché UE via un cadre unique (fin des exigences nationales variables selon les pays).
Réduction du risque (incidents, rappels, litiges), coûts de cycle de vie mieux maîtrisés grâce aux MAJ structurées.
Avantage concurrentiel (période de support claire, sécurité démontrée), meilleure prise en compte dans les achats publics/privé.

Ne négligez pas un aspect important : comme souvent, ce sont les partenaires qui vont rapidement vous demander où vous en êtes.

Et ils risquent de ne pas attendre la fin d'année 2026 !

En conclusion

J'ai pratiqué le développement de logiciel sur des matériels divers et pratiqué l'informatique embarquée pendant plus d'une décennie.

Je connais les contraintes associées et je suis conscient que, pour beaucoup de structures, la mise en conformité va demander un effort parfois significatif.

Mais en tant que consommateur, je suis aussi rassuré de voir que, ENFIN, cet aspect longtemps négligé de la cybersécurité va prendre de l'importance.

Si vous avez besoin d'éclaircissements sur ce sujet, n'hésitez pas à me contacter ou à parcourir ma page orientée conseil.

L'arnaque au président

Michael Harlaut — Fri, 27 Jun 2025 00:00:00 +0200

Aujourd’hui dans la catégorie retour d’expérience, je veux parler d’un sujet qui impacte chaque jour des entreprises sans pour autant utiliser un seul moyen technique complexe : j’ai nommé l’escroquerie aux faux ordres de virement (ou FOVI, pour les intimes).

Parce que la cybersécurité, ce n'est pas juste des hackers qui viennent mettre en œuvre des moyens techniques pour pénétrer sur votre réseau.

La cybersécurité c’est aussi l’ingénierie sociale : l'utilisation de moyens de manipulation des personnes pour obtenir d'elles des informations, ou leur faire effectuer des opérations frauduleuses en diminuant (fortement) leur capacité de jugement. On comprend pourquoi certains utilisent le terme "piratage psychologique".

En bas de l'article, vous trouverez quelques mesures pour limiter le risque ...

À noter

Ce qui suit est une histoire absolument réelle.

Il n'y a juste aucune piste sur la société concernée.

J'ai tenu à détailler la chronologie pour montrer la sophistication de l'approche.

Et tant pis si c'est un peu long ...

Au départ, je suis contacté par une PME de Dijon qui me dit qu'une manipulation d'un employé leur a fait perdre beaucoup d'argent, et qu'ils ont besoin de collecter rapidement des éléments techniques pour alimenter les enquêteurs suite à un dépôt de plainte.

Une fois sur place, je découvre le scénario dans son intégralité. Et avec l'accord des personnes concernées j'en partage le modus operandi pour que, peut être, ça puisse éveiller quelques consciences.

On pense trop souvent que ce type d'arnaque est facile à éviter, que ce n'est qu'un seul mail qu'il faut éviter. On va montrer que non.

Retour en arrière ... on déroule l'escroquerie depuis la première heure !

Jour 1

8H30

Le comptable reçoit un appel sur le téléphone fixe de son bureau. La personne se présente comme l'assistante d'un cabinet d'avocat, et souhaite savoir si elle est bien prévenue du dossier de rachat en cours. Réponse négative du comptable, et réaction très gênée de la personne en face qui dit qu'elle pensait que c'était le cas, qu'elle a fait une erreur en parlant du dossier, et de ne pas en tenir compte

À noter

La première graine est plantée.

8H45

Le comptable reçoit un appel du directeur de la société. C'est bien lui, et c'est bien sa voix et même son ton habituel, même si la qualité de la ligne n'est pas excellente !
L'objectif de l'appel est de prévenir qu'une opportunité se présente pour la société : un projet d'acquisition pour développer la société. On parle d'une entreprise régulée, de l'obligation légale de ne communiquer avec personne, d'une occasion à ne pas manquer. On échange aussi sur la la confiance qu'on fait au comptable et sur la réactivité attendue.
C'est tellement secret que le directeur précise qu'il va créer une adresse mail sécurisée pour gérer les échanges avec le cabinet d'avocat et le notaire. A partir de maintenant, plus question pour le directeur de poursuivre sur la messagerie d'entreprise.

À noter

A cet instant il n'a pas le moindre doute pour le comptable, il vient de parler au directeur ! Grace à une IA vocale très certainement, le décor est en place et les barrières commencent à tomber.

9H00

Le comptable reçoit un message du directeur depuis son adresse sécurisée en "@verysecuremail.com" (ce n'est pas ce domaine exact, mais c'est l'idée). Ce sera l'unique adresse à utiliser dans les échanges avec lui.

9H30

Mail de prise de contact de l'avocate d'un cabinet très connu. L'adresse mail est proche de la vraie, du type "@cabinetconnu-ville.com". Le texte est assez long, donne des informations assez floues sur le type d'acquisition, mais remet l'accent sur le besoin de confidentialité, sur les conséquences d'une fuite d'informations et sur le besoin de communiquer uniquement sur une liste d'adresses bien définies. Interdiction d'en parler au bureau car les murs ont des oreilles. On restera à l'écrit pour les points importants.
L'avocate précise être en réunion, demande les disponibilités du comptable pour un échange qui servira à décrire le processus. Rendez-vous est pris pour l'après-midi même, copie des échanges au directeur.
Le directeur répond que c'est parfait.

À noter

A noter : la personne usurpe l'identité d'une avocate qui est effectivement spécialisée dans les acquisitions au sein du cabinet bien connu. Une recherche sur son nom le confirme. Il cite aussi le nom d'un notaire tout aussi reconnu, qui sera impliqué à un moment dans les échanges.

14H00

L'avocate contacte le comptable sur son téléphone mobile. Le numéro d'appel est bien une ligne fixe française, et la communication dure plus de 45 minutes. Beaucoup de termes techniques, de rappels des exigences légales, du pouvoir de sanction de l'Autorité des Marchés Financiers, ... On apprend finalement peu, mais tout cela semble décidément très sérieux et important.
Fin des contacts pour le premier jour.

JOUR 2

9H00

L'avocate contacte le comptable et précise les montants en jeu. Avec toujours et encore le rappel sur la confidentialité. Il rédige dans la foulée un mail de synthèse qui remercie le comptable.
Quelques minutes après, le notaire entre en jeu. Il explique que tout est en ordre et que rien ne fait obstacle à la vente, selon lui. Il précise le calendrier des opérations à venir, le montant de l'acompte à verser et termine en demandant si le directeur souhaite maintenir son offre.

9H35

Le directeur répond qu'il maintient son offre.

À noter

A noter :

Les mails ne comportent pas la moindre faute, les styles varient selon l'interlocuteur : l'avocate est plus direct mais n'oublie jamais de saupoudrer quelques termes de droit. Le notaire à un style un peu plus ampoulé, tandis que le directeur se contente de phrases courtes, "envoi depuis le téléphone" oblige.

Les signatures de mails sont parfaites, les logos bien en place, les liens fonctionnels, et les échanges se font avec un délai qui laisse penser que les gens ne font pas que ça. Tout est parfaitement cohérent.

Idem pour les appels téléphoniques (près d'une dizaine en tout). Les interlocuteurs parlent parfaitement français, avec un langage soutenu et beaucoup de termes juridiques. Tout le monde joue parfaitement son rôle.

Chaque échange de mail est suivi d'un appel de l'avocate qui vérifie que tout est clair, s'assure de la réactivité du comptable et remercie encore et toujours de son engagement qui fait la différence. Le notaire aussi passera un appel rapide.

Le directeur est bien passé rapidement par le bureau, mais aucune discussion n'a été lancée avec lui. Tout cela est confidentiel et on est jamais seuls puisque toute l'équipe partage un espace restreint. C'est finalement la proximité des autres employés qui empêche la levée de doute.

Les escrocs ont du sang froid. Ils ne se précipitent pas et font durer l'opération sur 2 jours (c'est plutôt étonnant ...).

10H30

L'avocate envoie les informations qui vont permettre le règlement. En deux virements idéalement. Le RIB est celui d'une banque Française, le nom de la société existe.
Le mail est doublé d'un appel sympathique, pour vérifier la bonne réception, s'assurer que tout est clair et dire qu'elle reste disponible en cas de problème.
Le directeur valide l'ordre quelques minutes après, par mail.

11H00

Le comptable passe les deux ordres de virement et envoie un mail pour notifier l'avocate.
Il confirme aussi les ordres avec la banque.

Prudence

Plusieurs centaines de milliers d'Euros viennent de disparaitre des comptes de l'entreprise. Les fonds quittent rapidement la France, puis l'Europe.

12H00

La capture d'écran des ordres est envoyée par le comptable "pour rassurer le vendeur".
Remerciement de l'avocate par mail, suivi d'un appel pour féliciter de l'efficacité et expliquer qu'il faut juste un peu de patience le temps de finaliser le dossier, nouvelle rappel sur le besoin de confidentialité. Il ne faudrait pas faire rater le dossier en parlant maintenant ...

Le week-end passe...

Le lundi suivant, comptable et directeur se retrouvent au bureau et découvrent ensemble l'énormité de la situation. On imagine l'incompréhension, puis le moment de sidération. Le choc.

Ne reste plus qu'à contacter la banque en urgence, et faire un dépôt de plainte.

A nouveau, cette histoire n'est pas fictive ! une PME de la région a bien perdu une somme très conséquente sans qu'à un seul instant le système informatique soit attaqué. Pour autant, c'est une situation on ne peut plus réelle, concrète et violente. Sans même parler de la culpabilité ressentie par le comptable et de l'effet sur l'équipe.

Est-ce qu'on le comptable aurait pu se douter de quelque chose ? Si on aime refaire le match après, la réponse est oui. Mais refaire le match c'est toujours facile une fois qu'il est terminé.

Ici, le niveau de sophistication de la manipulation est élevé. Quand bien même la situation semble irréelle, tout a été fait pour créer un effet tunnel qui enlevait tout prise de recul et ne permettait plus de percevoir certains signaux pourtant importants.

Personne ne connait un comptable qui fait le moindre règlement sans facture ou document associé ! Pas plus que l'on connait un comptable qui viderait les comptes de la société sans demander confirmation. Moi pas en tout cas.

Et pourtant ...

D'un professionnel consciencieux, on a fait une personne qui a totalement perdu son regard critique et a oublié la totalité des réflexes qui conditionnent habituellement son quotidien.

La succession rapide des appels et des mails, la pression temporelle, les injonctions au silence et les référence aux risques juridiques ne laissait pas beaucoup de place à la réflexion. Surtout qu'à coté de ce dossier, il y a le quotidien à gérer, c'est donc noyé dans beaucoup d'autres sujets.

Ces arnaques, il s'en déroule chaque jour en France et ailleurs. Parfois elles prennent une forme un peu moins sophistiquée et souvent elles ne réussissent pas, pourtant il est urgent et important d'être vigilant.

Il existe d'ailleurs des solutions pour mieux résister !

Pour cela il faut mettre en place des mesures de protection

Voici quelques pistes à considérer dès maintenant :

Sensibiliser les employés à ce type de risque. On entend chaque jour parler d'une affaire de ce style, pour autant on pense toujours que ça n'arrive qu'aux autres. Chacun doit se sentir concerné et avoir conscience qu'il est le principal rempart contre ces attaques.
S’assurer de la mise en place de procédures claires, avec des règles d’authentification des émetteurs et de confirmation des demandes de virement imprévue. Et toujours sur les moyens habituels de communication, pas sur des adresses tierces.
Généraliser le contre appel pour toute demande. On ne se contente pas d'un appel entrant, on initie un appel soi-même vers le demandeur. Et si ça ne répond pas, alors on temporise (si vraiment c'est important, votre interlocuteur saura trouver du temps pour vous).
Pour les demandes internes, on peut s'accorder sur un mot code pour authentifier les donneurs d'ordres quand le présentiel n'est pas possible. Attention à ne pas choisir une information publique ou que vous pensez privée. Choisissez plutôt un mot improbable qui n'a pas sa place dans une conversation courante. Oui, ce n'est pas naturel de demander à quelqu'un qu'on connait bien de donner un code, mais puisqu'il n'est plus possible de savoir que vous lui parlez vraiment (rappelez-vous l'IA vocale).
S'accorder sur des montants qui vont exiger une double validation sans aucune dérogation possible. Même un DAF ou un directeur ne doit pas pouvoir passer un ordre seul, ça ne concerne pas seulement les gens à plus bas niveau.
Mettre en place des mots de passe forts pour les comptes de messagerie et activez la double authentification.
Limiter la publication d’informations (site Internet, réseaux sociaux…) permettant d’identifier et de contacter vos collaborateurs habilités.

En conclusion : la cybersécurité, ce n'est pas seulement de la technique.

C'est aussi la prise en compte du facteur humain et la sensibilisation de chacun pour renforcer le niveau de préparation. L'objectif : faire de chaque employé un maillon fort.

N'attendez pas ! Parcourez aussi la page conseil pour découvrir comment je peux vous aider à renforcer votre sécurité.

Lisez aussi la page dédiée sur le site cybermalveillance.gouv.fr

Le véritable enjeu de la cybersécurité

Michael Harlaut — Thu, 05 Jun 2025 00:00:00 +0200

Bon à savoir

Cet article a été rédigé dans le cadre des travaux de la commission « Transformation Numérique » du MEDEF 21. Il a été publié dans la lettre aux adhérents du 5 juin 2025.

Il ne se passe pas un jour sans qu’une actualité rappelle que la cybersécurité est un sujet majeur, qui touche aussi bien les particuliers que les entreprises.

Lorsque l’on échange avec les dirigeants des entreprises, on voit que la perception du sujet cybersécurité est variable. Tout le monde est globalement conscient du risque, mais trop de responsables pensent encore que le risque est limité car leur entreprise est « trop petite pour intéresser les pirates ». Ou plus simplement assez protégée, puisque rien n'est arrivé jusque là.

Autre idée bien ancrée, la perception que la cybersécurité est essentiellement un sujet technique, qui n’adresse que des enjeux techniques.

On va voir que ces points sont discutables, mais surtout que l’enjeu est très différent.

À noter

Il se résume en une question que doit se poser chaque dirigeant
pour bien appréhender le risque cyber : « En cas d’attaque informatique,
quel sera l’impact sur mes activités et ma capacité à servir mes clients ?».

Quelles entreprises concernées par le risque cybersécurité ?

Sur le sujet spécifique de la cybersécurité, la commission « Usages numériques » du MEDEF21 a interrogé les adhérents en 2024.

Et le bilan ne peut pas laisser indifférent :

· 25 % des entreprises ont déjà été victimes d’une cyberattaque dans la région (avec un impact variable).

· 70 % des répondants connaissent une autre entreprise qui a été victime d'une attaque

Ces chiffres ne sont pas fondamentalement différents de ceux donnés par l’Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI). Leur « rapport sur les menaces » dit que 37% des PME et TPE françaises ont été attaquées en 2024.

La différence se joue a priori en partie sur la capacité à identifier et déclarer les incidents. D'autant que de nombreuses attaques ne sont pas détectée rapidement (les données sont volées, mais le système reste fonctionnel).

À noter

Alors pourquoi
cette différence de perception entre la réalité du risque (FORT) et la perception par
les dirigeants (FAIBLE) ?

La
réponse vient en prenant le point de vue de l’attaquant !

Que ce soit pour voler des données ou mettre en place un système de rançon, le but des pirates est avant tout de faire du volume en maximisant le retour sur investissement. Oublions l’image du cyber attaquant seul dans sa chambre, on a désormais affaire à des systèmes mafieux qui génèrent des milliards de dollars de revenus.

Attaquer les plus fragiles et les moins préparés est donc la solution privilégiée pour « faire du chiffre ». C'est la tactique de tout prédateur, y compris dans la nature.

Pourquoi insister sur cette notion de préparation ?

Parce ce que ce qui différencie fondamentalement une entreprise préparée au risque cyber et une entreprise non préparée, ce n’est pas le fait de se faire attaquer ou pas. Tout le monde peut l’être. La différence, c’est le niveau et la durée de l’impact sur les activités.

Pour prendre une analogie qui changera de l’informatique : si l’attaque est une grosse vague (scélérate, évidemment), et l’entreprise un navire, l’impact va varier selon le niveau de préparation en amont.

Le navire non préparé pourra se faire renverser et devra même peut être appeler à l’aide pour rentrer au port. L'eau sera partout.
Le navire préparé va tanguer mais rapidement retrouver son aplomb et poursuivre avec ses propres moyens. Mieux, les cloisons étanches vont éviter la propagation des dommages.

À noter

Le principe est le même en cybersécurité : se
préparer, c’est d’abord développer une capacité à résister ET limiter la propagation des effets négatifs.

Quels impacts pour le risque cybersécurité ?

Dès qu’on parle cybersécurité, on a coutume de parler de vol ou encore de destruction de données. On va prendre un axe différent dans cet article : celui de la désorganisation et des effets sur la capacité de production de l’entreprise.

Parce que pour bien comprendre le risque, on n’a absolument pas besoin de termes techniques.

Il faut d’abord penser au métier et à la raison d’être de l’entreprise.

À noter

Ce qu’on cherche à protéger ce n’est pas
un site internet, un logiciel ou des ordinateurs. Ce qu’on veut protéger est bien plus
important : c’est la capacité de l’entreprise à servir ses clients !

Qui dit attaque informatique, dit souvent arrêt de plusieurs outils avec des fonctions dont on est parfois très dépendant : comptabilité, commandes, planification, logistique, production, gestion des ressources humaines, …

Or on sait que le temps moyen de rétablissement après une attaque de type « rançongiciel » est de 22 jours.

Ça peut sembler énorme, mais c’est un chiffre très réel. Après une attaque, on ne redémarre jamais immédiatement.

Pour prendre la mesure du risque, il faut donc se poser cette question avec le maximum d’honnêteté : « dans le cas où mon informatique serait paralysée par une attaque, combien de temps est-ce que je peux continuer à servir mes clients ? ».

On peut aussi faire l’exercice autrement en se demandant l’effet sur l’entreprise si l’informatique s’arrête pendant 2 heures, 2 jours, 2 semaines, … Ça demande une petite gymnastique intellectuelle, mais ça peut rapidement ouvrir les yeux en rappelant la dépendance à l'informatique.

On comprend alors rapidement pourquoi tant de sociétés ont du mal à se remettre d’une attaque informatique : chaque heure qui passe à un impact direct sur le chiffre d’affaires, avec un effet cumulatif !

Enfin, ne négligeons pas l’effet sur la confiance des clients et partenaires. Tout le monde peut comprendre l’incident mais pas forcément une absence de préparation.

À noter

Dit autrement :
vos clients dépendent de vous et ils ont des attentes légitimes.

Quel est le premier pas, finalement ?

Tout d’abord une bonne nouvelle : les entreprises savent parfaitement gérer des risques. C’est même le quotidien des responsables d’entreprise qui doit gérer et anticiper des risques chaque jour : incendies, incidents de véhicules, compétition, ressources humaines, …

En 2025, plus personne ne questionne la présence d’extincteurs dans des locaux. Pas plus que le port du casque sur un chantier ou le port de la ceinture de sécurité. Alors pourquoi cette inertie pour passer le cap de la prise en compte du risque cyber alors qu’on croule sous les articles et les opérations de sensibilisation ?

Ce qui manque est peut-être finalement la prise de conscience. Pas forcément la prise de conscience de l’existence du risque, mais celle qui amène à affronter le risque avec détermination pour protéger son organisation.

À noter

Avec le même bon sens qui nous pousse à
porter des équipements de protection, on doit pouvoir se dire la chose suivante :
« Le risque cyber est réel. Il me concerne. Il peut avoir un effet très
important sur mon entreprise et mes clients et je ne peux pas me permettre de
le négliger »

Les moyens techniques viennent seulement ensuite et ne sont finalement que cela : des moyens, pas une fin en soi.

Quelles mesures pour augmenter son niveau de sécurité informatique ?

A partir du moment où on décide de gérer un risque, on a souvent fait le pas le plus important.

À noter

L'anticipation est ce qui va faire toute la différence entre
subir et prévenir.

On peut (et on doit) citer quelques mesures :

1.La formation régulière des employés et dirigeants: les personnes non formées sont susceptibles de tomber dans les pièges des cybercriminels, notamment les attaques de phishing (utilisant l’email comme véhicule de l’attaque). On peut aussi citer l’arnaque au président (usurpation d’identité) et la bonne habitude qui consiste à rappeler son interlocuteur en cas de demande qui sort de l’ordinaire (la demande de virement du vendredi soir, à 17h, par exemple …).

2. La mise en place de politiques de gestion des mots de passe forts, idéalement avec un système de double authentification pour les systèmes les plus importants (sur le même principe que le paiement en ligne qui impose une vérification à chaque utilisation de votre carte de crédit). On ne doit JAMAIS réutiliser un mot de passe personnel sur un compte d’entreprise. Parce que les chances qu’il soit déjà volé sont proches de 100%.

3. La mise à jour des logiciels, systèmes d’exploitation et anti-virus : les systèmes non mis à jour présentent des failles de sécurité exploitées par les assaillants pour accéder aux réseaux d'entreprise. Pensez aussi à vos outils réseau (routeurs, bornes wifi, …) qui sont parfois des points d’entrée privilégiés des pirates.

4. La mise en place de systèmes de sauvegarde robustes (pas une simple copie), et régulièrement testés : les sauvegardes irrégulières, incomplètes ou qui ne sont pas vérifiées peuvent créer un faux sentiment de sécurité et provoquer une incapacité à relancer rapidement l’activité, voir mener à une perte de données irréversible. Assurez-vous aussi que la sauvegarde ne dépend pas que d’une seule personne. On ne choisit pas le moment où on a besoin, ni la totale disponibilité des gens.

5. La mise en place de plans de réponse aux incidents: l'absence d'un plan d'action en cas d'attaque peut aggraver les dégâts et prolonger les interruptions d'activité. A nouveau, se préparer, c’est se protéger. Il faut donc se poser la question simplement : si demain je perds tel outil, si je perds des données, est-ce que je sais quoi faire et qui contacter ? Écrivez des procédures simples et ne les stockez pas sur un ordinateur. Le classeur reste une valeur très sûre (pensez au plan d'intervention qui permet de faciliter le travail des services de secours lors d'une situation d'urgence – il est accessible facilement).

Évidemment ces mesures ne sont pas les seules à envisager, mais c'est un bon point de départ sur le chemin de l'hygiène numérique.

Liens externes

Pour les entreprises qui souhaitent effectuer les premières actions de manière autonome, d’excellents guides sont mis à disposition par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). On peut lister en premier lieu :

Qui contacter en cas d’incident ?

Il existe un portail de référence à bien noter : 17Cyber, le service public d’assistance en ligne destiné aux particuliers, entreprises, associations et collectivités victimes de cyber malveillance.

Le CSIRT (Centre régional de cybersécurité) est aussi un interlocuteur privilégié, en région.

En résumé

En 2025, il est possible de transformer le risque cyber en opportunité. A condition de ne pas attendre, on peut même obtenir (et transmettre) une certaine forme de sérénité.
Le sujet n’est pas la protection de biens matériels : c’est la continuité d’activité de nos entreprises. Et par extension, la protection des clients et des partenaires. Donc leur confiance renforcée.
La protection commence par la prise de conscience. La technique n’est qu’un moyen, pas une finalité.
Les mesures de sécurités sont parfaitement connues et maitrisées. Elles ne sont pas forcément couteuses et peuvent avoir un impact rapidement positif si on choisit bien ses priorités.
La cybersécurité est désormais un enjeu collectif majeur pour la sécurité de notre développement économique.

En une phrase, pour résumer

Bon à savoir

Le véritable enjeu de la cybersécurité, c'est la continuité
d’activité

N'hésitez pas à parcourir ma page conseil pour découvrir comment je peux vous aider à renforcer votre niveau de sécurité.

Le diagnostic cyber en PME

Michael Harlaut — Wed, 07 May 2025 00:00:00 +0200

Lorsque j'ai commencé mes premiers dossiers de diagnostic cybersécurité en PME, je suis parti confiant, armé de mon expérience, de mes check-lists et renforcé par la force des méthodes.

In-vin-ci-ble.

Dès la première mission, j'ai commencé à douter de mes belles certitudes. D'abord en recensant les interlocuteurs. Ou plutôt les deux interlocuteurs.

Parce que d'un coté j'ai échangé avec un dirigeant qui cumulait des tonnes de fonctions (gérant, chef du personnel, responsable de la stratégie et chef de projet) et de l'autre avec une personne qui cumulait ... tout le reste (responsable commercial, comptable, informaticien du quotidien, responsable du choix des solutions).

Deux personnes qui fonctionnaient (et fonctionnent toujours !) en mode "chef d'orchestre équilibriste". Avec beaucoup de succès mais peu de temps.

Mon joli plan en prenait de suite un coup. Idem avec la profondeur des réponses que j'allais pouvoir obtenir. On ne peut décemment pas demander à un chef d'entreprise de donner des détails de configuration ou des schémas d'architecture. Et les jolies méthodes qui impliquent des échanges dans une organisation "riche en postes" fonctionnaient moins bien.

Évidemment on pense pouvoir se tourner vers ceux qui ont vendu les différents outils et prestations, mais je vais briser le rêve de suite : personne ne documente grand chose, et certainement pas hors du périmètre d'intervention. Les prestataires ont leur part d'efforts à faire ...

Bref, il a fallu rapidement adopter une approche agile. Retrousser les manches et se salir les mains. Au sens propre d'ailleurs : je me souviens de la mission "suivi de câble" pour aller retrouver ce routeur posé ... dans le faux plafond (personne n'a su ou voulu donner la raison du choix de cet emplacement).

Je résume l'état des lieux de départ, pour ceux qui ne suivent pas :

On ne sait pas grand chose de l'architecture.
On ne sait pas grand chose des configurations.
Il y a peu d'interlocuteurs et ils manquent cruellement de temps.
Si une documentation existe, elle est introuvable.
La majorité de la connaissance est en "tradition orale".

Ça pourrait en déprimer certains, qui ont besoin d'un cadre très normé.

Personnellement j'y prends un plaisir énorme !

D'abord parce que c'est l'occasion de prendre de la distance avec les "pratiques idéales" et les méthodologies qui trouvent leurs limites.

Oui, on se doit de pousser les bonnes pratiques, ce n'est pas discutable, mais en ne perdant JAMAIS de vue le contexte et la réalité de ces clients.

Ensuite parce que ça force à utiliser un vocabulaire accessible et à traduire les concepts le plus clairement possible. En bref, ne pas utiliser les acronymes qu'on manipule chaque jour sans plus savoir ce qu'ils veulent dire.

C'est aussi la conscience que chaque élément doit être encore plus argumenté et que chaque question doit être particulièrement pesée.

Et tant mieux !

Parce que c'est une magnifique opportunité pour se concentrer sur l'essentiel et effectuer un travail de sensibilisation directement avec les personnes les plus à même de pousser le changement.

L'évaluation des mesures techniques est rarement un gros sujet. D'abord parce que dans ce genre de cas, les architectures sont souvent simples (trop ! ), la gestion des droits est minimaliste, et les solutions de protection ou de sauvegarde très perfectibles.

Le manque de connaissances techniques des personnes est largement compensé par la profondeur de leurs connaissances sur ce qui est le plus important pour eux : leur cœur de métier.

Ne pensez pas que les PME ne se sentent pas concernées par le sujet cyber. Elles savent parfaitement que c'est un sujet important et qui fait peser un risque énorme. C'est juste que souvent, elles ne savent pas par où commencer.

Pire, leur plus grande peur n'est pas le risque cyber, c'est parfois la peur de se faire avoir par les consultants et fournisseurs (Merci à Yves qui me l'a avoué). Un comble, oui, mais la faute n'est pas du coté client (on en reparlera).

Et je n'oublie pas le maillon fort des PME : les employés, qui ne demandent qu'à apprendre pour renforcer le niveau de défense. Eux aussi sont conscients et hyper motivés. A condition, à nouveau, de créer les bonnes conditions.

De fait, la notion de priorisation devient rapidement un fil rouge à ne jamais perdre de vue. Votre intervention est déjà vue comme un investissement conséquent, et les moyens pour corriger les problèmes ne sont pas illimités. D'où l'obligation de choisir d'abord les actions avec le plus d'impact. Ce ne sont pas forcément les plus couteuses, par contre ce sont celles qui protègent les joyaux les plus précieux.

Il faut donc, plus encore qu'avec d'autres structures, penser effort, budget et retour sur investissement pour la moindre ligne de préconisation.

Penser aussi à clarifier les contraintes réglementaires qui sont mal maitrisées (je pense au RGPD) ou carrément pas identifiées.

Idéalement, il faut aussi savoir "sortir du cadre" en donnant des pistes de financement et d'accompagnement. Les PME ne connaissent pas certaines aides alors que ça peut faire toute la différence entre l'idée et l'application.

En PME plus qu'ailleurs, le devoir du consultant est de rester pragmatique et faire preuve de beaucoup de clarté dans ses explications. Il faut quantifier, chiffrer, argumenter, pour arriver avec des définition de risques qui parlent à tous ET se convertissent en impacts financiers.

Attention juste à ne pas confondre "animation" et "pilotage". Parce qu'on doit absolument ne pas tomber dans le piège qui consisterait à prendre le volant et laisser tout le monde dans un rôle de spectateur plus très motivé.

Quand on rend les choses accessibles et que tout le monde a le sentiment de faire partie de la solution, parler de plans et de choix devient alors bien plus facile. Parce que tout le monde comprend alors les enjeux. Et qui mieux que les dirigeants pour engager les sujets autour de la continuité et de la reprise d'activité ?

Vous savez que vous y arrivez quand, à la fin de la mission, vos clients vous remercient et disant "maintenant je sais quoi faire, pourquoi et comment".

A ce moment là, vous savez que vous avez choisi la bonne voie 😊

N'hésitez pas à me contacter pour échanger sur ce sujet.

Ma page conseil recense aussi les services que je propose pour renforcer votre sécurité, et votre sérénité !

Pourquoi une analyse de risque

Michael Harlaut — Wed, 23 Apr 2025 00:00:00 +0200

Un rappel d'abord : je suis un farouche pourfendeur de l'approche qui consiste à réfléchir "solutions" sans jamais se poser les bonnes questions. En gros, j'ai un vrai problème avec la promesse qui consiste à dire "on va installer une ou des solutions de protection et tout ira bien".

Parce que c'est apporter une réponse sans savoir si c'est la bonne (trop souvent pas, si j'en crois mes constatations sur le terrain).

Et parce que j'aime les images simples : est-ce que vous mettez un casque de chantier pour tailler des rosiers ou bien est-ce que vous réfléchissez au risque avant de décider que, finalement, des gants seront plus efficaces ?

En choisissant les gants, vous venez de découvrir les premiers bénéfices d'une analyse de risque correctement menée : vous faites des choix éclairés en vous basant sur les notions de menaces (les aiguillons des rosiers), de risque (la griffure), de vraisemblance (vu l'état du massif, je ne vais pas y échapper), de vulnérabilité (ma peau est fragile) et de gravité (mon dernier rappel de vaccin contre le tétanos date d'il y a 30 ans). Sans parler de la très haute valeur que vous accordez à votre personne.

Donc si un fournisseur de casque (ou de SCM : Solution de Cybersécurité Magique) pousse sa solution sans s'intéresser pleinement au contexte qui vous rend unique, vous avez le droit de douter de l'approche.

La base est d'abord de savoir quoi protéger et de quoi se protéger.

Ces considérations jardinières mises de coté, revenons au bénéfice de l'analyse de risque dans le domaine qui nous intéresse : la cybersécurité !

Le vrai article commence ici ;)

Pour une efficacité maximale, tout doit commencer par un analyse de risque. Je ne vais pas faire un cours magistral de plus sur la méthode EBIOS RM de l'ANSSI, mais je vais essayer de montrer pourquoi cette approche est très pertinente.

Un peu de vocabulaire d'abord :

Un risque c'est la possibilité qu'un événement redouté survienne, et que ses effets perturbent votre mission. La gravité, c'est l'estimation de l'intensité des effets du risque. La vraisemblance, c'est la probabilité que le risque se réalise. La menace (au sens de la méthode EBIOS RM), c'est une intention de nuire.

Avec ces définitions clés, vous obtenez déjà une information essentielle : le niveau de risque, qui combine la gravité et la vraisemblance.

Ceux qui suivent noteront que l'analogie avec le jardinage atteint ses limites : le rosier n'a pas d'intention de nuire (a priori) et encore moins de motivation particulière pour vous attaquer.

D'autres oui.

Évidemment on ne va pas considérer chaque risque de la même façon : on va pondérer ce risque en fonction de la valeur du bien que vous souhaitez protéger : votre base client et votre outil de gestion de production n'ont pas la même importance que ce site qui ne sert que de vitrine et peut se permettre quelques heures d'interruption de service.

Et on ne peut pas non plus penser risque sans penser vulnérabilité, c'est à dire une faiblesse qui pourra être exploitée par la menace (pas de sauvegarde, pas de protection physique, pas de mise à jour des logiciels, un réseau sans aucune segmentation, des employés mécontents, ...).

Les étapes d'une analyse de risque

Le périmètre

A cette étape, on va se concentrer sur le périmètre de l'étude. On va déterminer ce que sont nos missions, les valeurs métier, ce qui les supporte, les éléments redoutés et leur niveau de gravité en fonction de leur impact. On pensera aux scénarios de haut niveau qui peuvent survenir (et prenant aussi en compte l'écosystème des partenaires). Pour parler EBIOS RM, on cherchera les Événements Redoutés.

On n'oubliera pas non plus de réfléchir au cadre réglementaire qui s'applique à nous. Cela apporte des exigences supplémentaires et l'ensemble vient nourrir le Socle de Sécurité.

Les sources de risque et les objectifs visés

Ici on va se concentrer sur les sources de risque qui sont susceptibles de porter atteinte aux missions et aux intérêts de l'organisation. Sachant que pour chaque source de risque, on va aussi déterminer les Objectifs Visés.

Les Sources de Risque sont connues et classifiées : crime organisé, concurrent, activiste, vengeur, terroriste, étatique, amateur.

Les Objectifs Visés sont connus aussi : espionnage, déstabilisation, entrave au fonctionnement, lucratif, amusement, pré-positionnement.

L'enjeu ici est d'établir des couples entre SR et OV, en tenant compte de la motivation et des ressources pour déterminer le niveau de pertinence de chacun. Un amateur n'a pas de ressources illimitées. Un état oui. Un vengeur peut être très motivé, un activiste peut-être moins. Même si cela dépend éminemment de votre contexte !

En confrontant les Événements Redoutés aux couples SR/OV les plus pertinents, on va commencer à avoir une très bonne idée de ce qu'on doit protéger en priorité, et de quoi. C'est un bon début.

La cartographie des menaces

On va s'attacher ici à effectuer une cartographie qui, pour chaque partie prenante, va permettre de noter les notions de dépendance (cette partie prenante est-elle vitale pour mon activité ?) et de pénétration (dans quelle mesure accède-t-elle à mes ressources ?).

On obtiendra alors l'exposition de la partie prenante

On étudiera aussi les notions de maturité cyber (quelles sont les capacités en matière de cybersécurité?) et de confiance (est-ce que les intentions de la partie prenante peuvent être contraire aux miennes ?).

On obtient alors la fiabilité cyber de la partie prenante.

En utilisant un mécanisme de score et de savantes opérations mathématiques (Dépendance x Pénétration / Maturité x Confiance) on obtient alors le niveau de menace.

En le comparant avec des seuils, on pourra alors savoir sur quoi focaliser son attention pour obtenir un bon équilibre dans l'acceptation du risque et définir les mesures de sécurité les plus pertinentes.

L'enjeu ici n'est pas seulement le travail d'inventaire, c'est aussi la capacité à déterminer des échelles de notation qui permettent une représentation sans ambiguïté, explicite et comprise par tous.

Les graphes d'attaque

L'objectif ici est de construire des représentations graphiques des modes opératoires d'un attaquant qui souhaite atteindre son objectif. Ce sont des scénarios opérationnels qui sont représentés séquentiellement en fonction de la "kill chain" suivante : "Connaître", "Rentrer", "Trouver", Exploiter".

Je ne vais pas entrer dans ce niveau de détail aujourd'hui. Le sujet est passionnant, mais un peu long ...

Évaluation de la vraisemblance des scénarios

Qui dit prévoir le pire, et étudier les moyens de mise en œuvre par un attaquant, implique aussi de déterminer le niveau de vraisemblance. Parce que l'ensemble des scénario n'a pas le même niveau.

Certains scénarios vont être invraisemblables, d'autres très vraisemblables, d'autres encore quasi-certains.

Déterminer la vraisemblance, c'est déduire la meilleure stratégie de traitement du risque. Attention tout de même, invraisemblable ne veut pas dire impossible (puisque c'est un scénario qu'on a identifié).

Définition du Plan de Traitement du Risque

Avec l'ensemble des éléments récoltés, on arrive enfin à la finalité d'une analyse de risque : la mise en place d'un plan de traitement. En gros, la définition de la stratégie et des actions qui font venir compliquer fortement la vie des attaquants.

En appliquant ce plan et les mesures de sécurité associées, on va venir essentiellement impacter la vraisemblance d'un scénario. Donc renforcer sérieusement son niveau de défense ! Avec les bons outils et les bonnes approches.

Il ne faudra juste pas oublier de refaire une analyse APRÈS la mise en place du PTR, ceci afin de déterminer ce qu'on appelle les risques résiduels. On décidera alors de les accepter, ou de les traiter si nécessaire.

En conclusion

Vous l'aurez compris, on ne peut pas sérieusement envisager de renforcer sa posture de sécurité sans une analyse de risque sérieuse. C'est une étape absolument clé pour obtenir une efficacité maximale, avec à des choix éclairés.

Le but de la méthode EBIOS RM n'est pas l'exhaustivité, c'est l'efficacité, en mettant l'accent sur les parties prenantes les plus menaçantes et les modes opératoires les plus vraisemblables.

La beauté de cette approche, c'est aussi que chaque étape apporte des éléments exploitables. Inutile d'attendre la fin de la démarche pour commencer à en tirer les premiers enseignements.

Enfin, l'approche très pragmatique de EBIOS RM permet de donner aux décideurs une bonne visibilité des risques, tout en donnant les éléments permettant une prise de décision argumentée.

Donc choisir les gants plutôt que le casque, si vous suivez.

Une analyse de risque ne vous protège pas directement des risques. Mais en y passant le temps nécessaire, vous allez gagner en sérénité et faire les meilleurs choix. Pas avec une Solution de Cybersécurité Magique, mais avec les mesures qui correspondent le mieux à vos enjeux, pour protéger ce qui compte le plus pour vous.

N'oubliez juste pas de revoir cette analyse pour la mettre à jour régulièrement. Votre organisation évolue, les risques aussi ... Une analyse de risque, c'est un projet vivant qu'il faut nourrir sur la durée.

Information bonus : dans son guide sur l'homologation de sécurité des systèmes d'information, l'ANSSI insiste beaucoup sur EBIOS RM. Si vous avez identifié le besoin de travailler sur le sujet NIS2, alors cette méthode risque d'être un passage obligé. Maintenant vous savez !

La lecture obligatoire : la méthode EBIOS RM sur le site de l'ANSSI

Enfin, découvrez comment je peux vous aider à passer de la théorie à la pratique.

N'hésitez pas à me contacter pour échanger sur le sujet ! C'est sans risque*

** les blagues discutables garantissent un contenu 100% rédigé main.*

PME, attention à la configuration

Michael Harlaut — Tue, 15 Apr 2025 00:00:00 +0200

Je suis allé lire un rapport de Sezaneh Seymour et Daniel Woods, sur le site Lawfare. Il est très instructif et permet de prendre du recul sur des idées parfois un peu reçues.

On pense en effet souvent que l'angle d'attaque principal exploité lors des attaques est liée à des failles de sécurité non corrigées (le plus souvent, des mises à jour qui ne sont pas faites dans les temps). Sauf que non !

La majorité des attaques qui ciblent les PME et TPE portent aujourd'hui sur l'exploitation de problèmes de configuration.

Qu'est-ce qu'un problème de configuration ?

Un problème de configuration peut prendre plusieurs formes :

Un serveur VPN (ou autre accès distant) mal configuré
Des comptes exposés (comprendre : volés)
Des mots de passe faibles
Des mots de passe par défaut jamais changés
L'absence d'authentification à 2 facteurs
Des comptes d'anciens utilisateurs ou partenaires jamais désactivés
Des installations de logiciels avec des options par défaut
Des changements de configuration temporaires ... devenus définitifs
Des systèmes de filtrage trop permissifs parce que ce jour là on manquait de temps pour configurer finement.
Des services visibles depuis internet qui ne devraient pas l'être (par erreur, ou par facilité, là encore).
...

Tout un ensemble de choses qu'il est possible de corriger assez facilement, mais qui nécessite une très bonne hygiène informatique. Et du temps qui fait défaut à des structures qui ont souvent mieux à faire que se perdre dans ces "détails".

Sauf que ces mêmes détails viennent augmenter ce qu'on appelle la "surface d'attaque", la partie de votre système informatique qui est la plus visible et exposée.

Le rapport "Cyber Threat Index 2025" ne dit pas autre chose :

La majorité des attaques (58 %) a commencé avec la compromission d'équipements de sécurité (un comble, je sais) ou en utilisant un protocole de bureau distant (18%).
Le vol de comptes (utilisateurs et mots de passe) pèse pour 47% des causes de piratage.
5 millions de solutions de gestion à distance exposées sur Internet et des dizaines de milliers de pages de connexion exposées ont été détectées sur Internet.

Et les rapports de suivent et se ressemblent pour dire la même chose (exemple avec Sophos ici) : la mauvaise sécurisation des comptes des utilisateurs associé à un problème de configuration est la première cause des problèmes.

Vous me direz que les rapports se suivent et donnent tous des chiffres différents sur la plus grosse source d'attaques. Vous aurez raison. Retenez tout de même qu'il est impossible de négliger cet aspect !

Quoi faire ?

Avant toute chose, commencez par mettre en place une bonne hygiène concernant les mots de passe :

Pas de réutilisation (on voit encore trop de mots de passe pro qui sont utilisés sur des comptes perso en parallèle).
Une complexité suffisante
Mise en place de double authentification
Suppression des comptes inactifs

Ensuite, n'exposez sur internet que le strict nécessaire !

Et quand bien même c'est nécessaire, posez-vous sérieusement la question de le faire en mettant en place des solutions de sécurisation en amont. Les outils ne manquent pas et il est dangereux de prendre des raccourcis pour gagner du temps.

Je ne crains rien puisque je reste discret => Faux !

Petite visite en coulisse : pour garder la forme, j'expose volontairement sur internet des services qui n'ont aucune autre vocation que d'attirer ceux qui sont en recherche permanente de cibles.

Ne faites pas ça chez vous !

Voici un rapide bilan des 4 dernières semaines :

Plus de 2200 tentatives de connexion sur les services exposés
Plus de 150 IP d'origines différentes (les pays de l'est sont majoritaires, mais pas seuls)
Plus de 2000 scans de ports détectés
Plus de 500 couples utilisateur/mot de passe en provenance de dictionnaires de configuration par défaut.
Plus de 5400 tentatives d'accès à des adresses de portails de connexion ou pages d'administration par défaut (qu'ils existent ou pas)
Sans compter tout ce que je n'ai PAS détecté ... (un sujet qui vaut un article entier) et tout cela malgré le fait que je dispose de listes noires qui bloquent déjà un grand nombre de connexions ...

En gros, le pauvre serveur qui héberge tout cela est en permanence en train de se faire inspecter pour essayer d'y trouver la moindre faille exploitable. En mode "premier arrivé, premier servi".

Tout cela sur une machine qui n'est associée à aucun domaine, et référencée nul part. Juste une adresse noyée parmi d'autres. Pourtant la première attaque est arrivée moins de 15 minutes après la mise en ligne !

Et donc ?

Ce n'est pas différent pour vous. Si vous avez un service visible sur internet, alors vous êtes exactement dans le même cas.

Chaque service en ligne est sondé en quasi permanence. Et tout ce que vous exposez à l'extérieur aussi. La moindre adresse, le moindre port, le moindre service, la moindre machine.

Ne croyez donc pas que ça n'arrive qu'à des gens plus gros que vous. Toute cible est bonne à prendre, peu importe sa taille ou son activité.

Il est donc urgent de se pencher sur le sujet des mots de passe et de la configuration chez vous aussi. Sans attendre !

Contactez-moi pour échanger sur ce sujet et parcourez ma page conseil pour savoir comment je peux vous aider à supprimer rapidement les risques les plus forts.

La résilience en cybersécurité

Michael Harlaut — Mon, 07 Apr 2025 00:00:00 +0200

Avant de parler résilience, il faut commencer par rappeler les éléments à préserver absolument dans un système d'information :

La disponibilité des services
La confidentialité des données
L'intégrité des données

Si l'un de ces élément est impacté, on peut alors malheureusement décliner les impacts sur l'entreprise de nombreuses manières :

La perte de données (comprendre : la destruction)
La fuite de données (avec diffusion potentielle sur internet)
La perte d'exploitation (mise à l'arrêt de certains services ou métiers)
Le ralentissement de l'activité (mode dégradé)
Les pertes financières (détournement)
La perte de confiance des partenaires
...

Et ce ne sont que quelques cas classiques qui viennent facilement à l'esprit.

Et la résilience dans tout ça ?

La résilience est par définition la capacité à résister au choc.

C'est exactement la même chose en cybersécurité.

La question n'est pas de savoir si je serai attaqué un jour. On part toujours du principe que oui. La question est de savoir comment je vais résister et limiter les conséquences.

Pour cela on applique deux grandes catégories de mesures.

Les mesures techniques

Penser la résilience, c'est bien évidemment prendre des mesures techniques :

La segmentation des réseaux
L'application rigoureuse des correctifs de sécurité
La séparation des rôles
L'authentification forte
La sécurité physique
La supervision
...

Le but ici est simple : s'assurer que la compromission d'une machine ne va pas permettre de compromettre de nombreuses autres (le fameux mouvement latéral qui fait si mal).

Les mesures organisationnelles

Le jour où on fait face à l'incendie cyber, on peut rapidement perdre ses moyens et potentiellement faire de mauvais choix.

Quand tout va mal, il donc faut pouvoir s'appuyer sur des décisions prises en amont pour limiter l'improvisation au maximum.

En définissant la notion de crise
En désignant des responsables clairement, ainsi que des suppléants
En identifiant les priorités pour l'activité (quoi redémarrer en priorité ?)
En anticipant la communication (interne, clients, partenaires)
En connaissant les obligations réglementaires en cas de fuite de données
En listant les contacts des organismes et partenaires permettant d'accélérer le recueil des preuves et la résolution.
...

Un ensemble de sujets qui ne s'improvisent pas !

Ne comptez pas sur le seul bon sens.

La sérénité vient de l’anticipation et de plans clairs, régulièrement revus et testés.

A noter : ces procédures et les schémas associés ne sont pas stockés sur un ordinateur ! Tout cela trouve parfaitement sa place dans de bons vieux classeurs papier. Et en plusieurs exemplaires ...

La résilience, vous l'aurez compris, c'est avant tout un travail de préparation et d'anticipation. Ne pensez pas que prévoir le pire est du fatalisme : c'est au contraire un signe de maturité. Après tout personne n'est choqué en voyant des extincteurs accrochés aux murs. C'est même rassurant.

L'objectif se résume en quelques mots : protéger son activité.

N'hésitez pas à me contacter pour échanger sur ces principes et les meilleurs moyens de renforcer votre préparation. Ma page conseil résume bien comment je peux vous y aider.

Ne manquez pas non plus la lecture des excellents guides de cette page :

https://cyber.gouv.fr/anticiper-et-gerer-une-crise-cyber

Cybersécurité : par où commencer ?

Michael Harlaut — Mon, 31 Mar 2025 00:00:00 +0200

J'entends régulièrement la même remarque de la part de dirigeants d'entreprise que je rencontre. Ils ressentent le besoin de mettre en place des mesures de sécurisation, mais ne savent tout simplement pas par où commencer.

C'est tout à fait normal ! Et le vrai risque est de ne rien faire, pas de mal faire

Alors si je devais donner un conseil, c'est d'appliquer une approche pragmatique. Des actions simples permettent d'obtenir des résultats rapides, avec juste un peu de méthode.

Pensez à la protection des personnes au travail : on identifie des risques, on regarde lesquels sont les crédibles et les plus dangereux pour les collaborateurs, puis on met en place des solutions reconnues : chaussures de sécurité, casques, protections diverses.

Les choses fonctionnement exactement de cette manière en informatique.

Faire l'inventaire

On commence par répertorier les éléments (on parlera d'actifs) pour ensuite les classer du plus précieux au moins précieux. Pour cela on doit se poser une question simple : "quel est l'impact sur mon entreprise si par malheur cet actif disparait". Est-ce ennuyeux mais pas très grave, ou au contraire un élément qui mettrait l'entreprise totalement à l'arrêt en cas d'incident ?

Pensez opérationnel. Pensez métier. Pensez avec le point de vue de celui qui connait bien son entreprise. C'est votre grande force ! La technique est secondaire à ce stade.

Identifier les risques

Déterminer pour chaque actif la probabilité qu'un évènement (comprendre, un incident) survienne. En gros, déterminer les risques. Je suis conscient que ce point nécessite un peu d'aide si on est pas totalement au fait des menaces, mais l'objectif est assez simple : associer un actif et la probabilité qu'un incident survienne avec un classement : Est-ce impossible ? Peu probable ? Occasionnel ? très probable ? Certain ?

Un exemple caricatural (en théorie) : "quel est le risque de piratage pour un ordinateur sans antivirus, utilisant des logiciels qui ne sont pas à jour, et utilisé par un utilisateur non formé qui reçoit 50 mails par jour ?". Et à l'inverse : "quel est le risque que ce logiciel, accessible seulement depuis un ordinateur sans aucun accès à un réseau puisse être détourné de son usage ?"

Certaines réponses viennent avec du simple bon sens. N'oubliez pas de tenir compte des mesures déjà en place dans votre évaluation.

En quelques étapes, vous venez d'obtenir :

La liste de vos actifs
Le risque associé
L'impact potentiel

Avec un peu de travail de synthèse, vous obtenez donc vos priorités.

Tout devient normalement plus clair et répond à la question de départ "par où commencer ?". Ne reste plus qu'à se poser la question des mesures à prendre.

A ce stade (et même plus tard), ne tombez juste pas dans le piège d'une approche uniquement technique. Les outils ne font pas tout. Il faut penser au maillon fort de votre structure : les utilisateurs (formation).

Et si quelqu'un vous propose une solution "clé en main", demandez-lui sur quel axe elle va agir. Vous saurez si elle répond vraiment à vos priorités.

Ces ressources peuvent vous aider avec les mesures les plus essentielles :

Le second est riche. Très riche. Ne vous sentez pas intimidé en le parcourant.

On parlera très prochainement d'une méthode importante dans ce contexte : EBIOS RM.

N'hésitez pas à me contacter pour y voir plus clair !

Et découvrez mes offres d'accompagnement sur cette page.

NIS2 attendra. Vraiment ?

Michael Harlaut — Mon, 24 Mar 2025 00:00:00 +0100

La directive NIS2 a été publiée en octobre 2024 sous forme d'une directive Européenne, pour une mise en application après transposition en droit Français.

L'actualité législative fait que le projet a pris du retard en France et il est donc encore courant d'entendre qu'il est urgent d'attendre avant de se lancer dans la mise en application des exigences.

"On ne sait rien", "on a le temps", "on ne commence pas sans tout savoir".

C'est un point de vue.

Sauf que c'est un point de vue biaisé à de nombreux titres :

D'abord, même si certaines spécificités ne sont pas encore connues, la large majorité des exigences est déjà disponible. Ne pas encore connaître, par exemple, les détails liés à la commission des sanctions ou à la mise en place de l'autorité de référence ne change pas grand chose. Les principes fondamentaux ne connaîtront pas de changement majeur et on peut déjà travailler de nombreux points. Même si on est une Entité Importante.
Pour certaines entités (les Entités Essentielles), NIS2 ne s'appuie pas sur une directive, mais sur un règlement d'exécution publié le 17 octobre 2024. Cette partie est d'application immédiate (depuis le 6 novembre 2024). Plus exactement elle le sera dès que l'autorité aura ouvert son portail de déclaration. Serez-vous prêt ?
NIS2 intègre des exigences qui sont déjà des obligations légales, en particulier celles du RGPD, mais pas seulement. Coté contractuel il y a un peu de travail ...
Les mesures techniques sont nombreuses, et elles aussi sont bien connues (et pleines de bon sens).
Attendre avant de démarrer la mise en œuvre, c'est augmenter la "dette de conformité". C'est à dire se retrouver avec un pic d'effort à fournir soudainement, au lieu d'un engagement à doser sur la durée.
Cerise sur le gâteau : même si un délai de 3 ans est prévu pour la mise en œuvre de NIS2, l'obligation de déclaration des incidents importants (et donc les procédures internes associées) sera effective très rapidement.

Quand bien même vous ne vous sentiriez pas concerné en première lecture, d'autres le seront.

Vu autrement, parce que NIS2 implique une prise en compte des dangers liés au fournisseurs, vos clients seront là pour déclencher votre projet de mise en conformité. Je vois déjà des Plan d'Assurance Sécurité qui ne cachent pas vraiment leur orientation NIS2.

Ce projet qui n'aura pas été anticipé devra alors être mené en urgence pour ne pas manquer des opportunités. Hors on sait qu'un effort non lissé, c'est toujours plus impactant pour l'organisation.

Et puis personne n'aime devoir discuter un budget imprévu alors qu'on aurait pu le lisser sur plusieurs années.

Gouverner, c'est prévoir. Il est donc urgent de ne PASattendre pour au moins lancer un travail préparatoire et au moins comprendre l'effort nécessaire.

Et ne pas attendre pour penser "Analyse de risque", au passage.

Toutes les structures à qui je parle et qui prennent conscience de l'effort finissent par me dire "en fait il faut s'y mettre".

Et elles ont raison.

N'hésitez pas à me contacter pour échanger sur ce sujet.

Ma page dédiée à NIS 2 explique comment j'accompagne déjà aujourd'hui des entreprises sur ce sujet.

NIS2 : et concrètement ?

Michael Harlaut — Tue, 18 Mar 2025 00:00:00 +0100

La mise en oeuvre de NIS2 implique un certain nombre d'activités

Activité	Description
Pilotage	Compréhension du contexte, responsables, organisation, formalisation des exigences, revue régulière.
Gestion des actifs et des risques	Cartographie, analyse des menaces, plans d'action, analyses, RETEX et veille.
Gestion de la conformité	Veille règlementaire, déclarations, tableaux de bord, contrôles et tests, plans de gestion de crise et déclarations.
Audit et amélioration	Plan de contrôle, fiches d'écart, audits internes et audits par les tiers, actions correctives, vérifications
Gestion des incidents	Veille sur les menaces, outillage, diagnostic, traitement des incidents, collecte des preuves, notifications, gestion de crise
Dispositifs de sécurité	Définition et application des politiques, études et préconisations, veille
Formation et sensibilisation	Pour les dirigeants, employés, et partenaires

Les exigences vont varier selon que vous soyez une Entité Essentielle ou une Entité Importante, mais il est important de bien considérer que NIS2 n'est pas uniquement un référentiel technique. Ni uniquement un référentiel organisationnel et contractuel. NIS2 est tout cela.

NIS2 implique la mise en oeuvre d'un nombre de mesures assez important, qu'il conviendra de bien orchestrer pour :

obtenir rapidement des impacts
s'assurer que l'organisation reste concentrée sur la durée
Garder à l'esprit que la conformité n'est pas la finalité. La sécurité l'est.

Je peux vous aider à la mise en place de ce projet. Contactez-moi.

Invincible avec NIS2

Michael Harlaut — Thu, 13 Mar 2025 00:00:00 +0100

La liste des mesures techniques associées à NIS2 est assez longue et relativement exhaustive. On y trouve par exemple :

La sécurité physique et le contrôle d'accès
Les architectures sécurisées et la supervision
La sécurisation de l'administration et la journalisation
La gestion des accès distants et le maintien en conditions
La gestion des incidents et la collecte des preuves
Les bonnes pratiques de développement
Les audits de type tests d'intrusion, audit de code et de configuration
...

On pourra donc se prendre à rêver qu'une fois NIS2 en place, on obtiendra un système d'information qui va bloquer toutes les menaces et garantir une forme d'invulnérabilité.

Au risque de décevoir, l'objectif de NIS2 est bien plus pragmatique. Et il repose sur une posture connue de l'ensemble des professionnels de la cybersécurité : ne pas disparaitre en cas d'incident de sécurité.

Les normes de sécurité n'ont jamais empêché les accidents. Mais elles en réduisent les effets. Parfois fortement.

Dit autrement : NIS2 permet de disposer d'un système d'information résilient, pour limiter les impacts, garantir un service minimum et permettant une reprise d'activité le plus rapidement possible.

De là découlent deux choses importantes : une plus grande sérénité en interne, et une confiance renforcée des partenaires.

C'est déjà une très belle ambition !

Contactez-moi pour comprendre comment j'accompagne les entreprises sur ce sujet !

Panorama cybermenace 2024

Michael Harlaut — Tue, 11 Mar 2025 00:00:00 +0100

C'est maintenant une tradition, l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) a publié son "panorama de la cybermenace 2024".

Ne vous laissez pas tromper par la date, c'est bien d'un retour sur l'année écoulée dont il est question, pour une publication en 2025.

D'abord pas de grande surprise sur les types de menaces. On trouve cités : les cybercriminels, les attaquants réputés liés à la Russie et les attaquants réputés liées à la Chine.

L'écosystème cybercriminel d'abord : il est le plus gros générateur d’extorsions de rançons, via des fuites de données et des attaques par rançongiciel. C'est une fois de plus le risque majeur qui porte sur tout l'écosystème Français, que ce soit les administrations ou les entreprises. Les plus touchés sont à nouveau les PME/TPE et ETI qui représentent 37% des structures attaquées !

Et les effets sont toujours aussi dévastateurs, puisqu'on parle de conséquences souvent très graves sur leur fonctionnement, leur réputation, voir leur continuité d’activité. Pour parler clairement : en 2024 encore, des entreprises n'ont pas réussi à se remettre de certaines attaques.

Les criminels ne vont pas relâcher leur ciblage des PME/TPE. Parce que contrairement à une idée encore trop souvent répandue, ceux qui sont ciblés en premier sont les plus fragiles, pas les plus gros. Parce que les organisations qui mènent ces attaques fonctionnent comme des entreprises, en cherchant à faire du volume sur ce qui leur demande le minimum d'efforts.

Parce que j'aime les images parlantes : en cybersécurité comme dans la nature, un prédateur va d'abord attaquer le plus faible dans un troupeau.

Les attaques à but de déstabilisation sont de plus en plus observées. Ici on parle plutôt d'acteurs qui vont chercher à déstabiliser une structure en rendant ses services indisponibles. Parfois "seulement" en saturant ses serveurs, mais on commence à voir des actions plus orientées vers le sabotage. C'est un point d'attention pour les grandes entreprises et les services de l'état, mais les PME/TPE semblent moins exposées a priori.

Les attaques à finalité d’espionnage forment la dernière catégorie. Ici les attaquants recherchent de l'information qui sera utilisée pour tirer un avantage militaire, économique, stratégique ou diplomatique. On pourrait penser que les PME/TPE sont à l'abris, sauf que certaines de ces entreprises sont détentrices de savoirs clés, dans des secteurs hautement exposés. Il serait donc malvenu de se croire à l'abri en se basant uniquement sur la taille de son entreprise.

On notera une attention particulière portée à la "chaine d'approvisionnement", ces logiciels et partenaires tiers dont vous dépendez et qui, trop souvent, ont été la source d'attaques à grande échelle. Oui, être sous-traitant fait porter une responsabilité forte.

L'agence rappelle, une nouvelle fois, que subir une attaque n'est PAS une fatalité. Les solutions de protection existent, et sont souvent liées à la mise en place de bonnes pratiques encore trop souvent négligées. Entre autres :

S'assurer que les correctifs de sécurité sont appliqués le plus rapidement possible.
Durcir les architectures informatiques pour qu'une machine compromise ne vienne pas servir de point d'entrée à tout le système. Avec une attention toujours portée aux annuaires et autres systèmes sensibles.
Disposer de plans de sauvegarde robustes et testés.
Disposer de plans de continuité et de reprise d'activité validés et régulièrement testés (en gros, s'assurer que même attaqué, on va vite relancer l'activité).
Mettre en place des systèmes de détection, pour ne pas être le dernier au courant en cas de compromission.

Une bonne nouvelle qui donne des raisons d'espérer : l'écosystème de la protection en cybersécurité en France est loin d'être ridicule et ne cesse de se renforcer.

De plus, la mise en place prochaine du projet de loi visant à transporter la directive NIS 2 va venir augmenter notre niveau de résilience collectif.

N'hésitez pas à me contacter pour échanger sur ces sujets !

Mes offres de service sont décrites sur cette page.

Surtout, lisez le rapport, c'est un passage obligé.

NIS2 et ISO 27001 ?

Michael Harlaut — Tue, 04 Mar 2025 00:00:00 +0100

NIS2 implique une application des objectifs de sécurité sur l'ensemble des systèmes d'information, pour tout ce qui peut porter atteinte à :

La disponibilité des activités et services
la confidentialité des informations de l'entité
l'intégrité des informations nécessaires à l'activité

On retrouver ici les grands concepts de l'ISO 27001 (DCI), à un détail prêt : Le domaine d'application porte sur toutes les activités et services, y compris ceux qui ne correspondent pas aux critères de désignation en tant qu'Entité Essentielle ou Entité Importante.

En bref, il est fort possible que le périmètre ISO 27001 ne soit pas celui de NIS2.

De plus, de nouveaux exigences viennent s'ajouter avec NIS2, et demanderont un travail de fond à ne pas négliger. On notera par exemple le travail sur les aspects contractuels, mais aussi pour certains les audits techniques externes.

Là où la famille 27001 n'impose pas les mesures techniques, NIS 2 est beaucoup plus prescriptif. C'est aussi vrai sur les procédures de déclaration d'incidents.

Enfin il est fort possible que l'analyse de risque demande une mise à jour, voir un basculement vers une autre méthode que celle utilisée dans le contexte ISO 27001 (la 27001 n'impose pas de méthode, la transposition par contre ...).

Alors oui, disposer d'une certification ISO 27001 est évidemment un grand avantage en termes de maturité. Cela va permettre de gagner du temps.

Pour autant, attention à ne pas partir du principe que la conformité NIS2 sera présumée dans le cas d'une 27001 en place. Ce serait un raccourci trop hâtif.

Une analyse s'impose, et permet de déterminer l'effort complémentaire rapidement. N'hésitez pas à me contacter pour aller plus loin !

L'ordonnancement de NIS2

Michael Harlaut — Mon, 03 Mar 2025 00:00:00 +0100

Le texte de la directive est ventilé en 9 parties et 3 annexes :

Voici un résumé volontairement réduit.

Dispositions générales	Principes, champ d'application, définitions
Cadres coordonnés	Stratégie, autorités compétentes, cadres nationaux, coopération nationale
Coopération internationales	Groupes de coopération, CSIRT, gestion de crises, évaluations
Mesures de gestion des risques	Gouvernance, mesures de gestion des risques, obligation d'information, certification, normalisation
Compétences	Registre des entités, compétences
Partage d'informations	Accords de partage, notifications
Supervision	Mesures de supervision et d'exécution, sanctions et assistance mutuelle
Actés délégués et actes d'éxecution	Délégation, comités
Dispositions	Transposition, modifications, abrogation, réexamen
Annexes	Definition des secteurs, tableau de correspondance NIS1-NIS2

Ce n'est pas très clair ? Aucune inquiétude, nous allons balayer ces points dans d'autres publications. Notez que j'accompagne déjà des entreprises sur le sujet.

Pour le texte de la directive, voir ici

NIS2 : de quoi parle-t-on ?

Michael Harlaut — Fri, 21 Feb 2025 00:00:00 +0100

NIS2 est une directive Européenne qui porte un objectif simple : assurer un niveau de sécurité des réseaux et systèmes d'information qui soit élevé et commun dans toute l'Union.

Pourquoi ? Parce que la menace cyber est devenue systémique. C'est à dire que l'impact d'une attaque sur quelques acteurs peut menacer des secteurs entiers, par effet domino. Ce qui n'est plus tolérable et nécessite un nouveau paradigme pour protéger l'économie et l'administration des pays.

Si certains secteurs sensibles (Opérateurs d'Importance Vitale, organisations soumises à la Loi de Programmation Militaire ou encore organismes financiers) devaient déjà se conformer à des règles fortes, il est devenu nécessaire d'étendre les bonnes pratiques au plus grand nombre.

NIS2, contrairement à certaines normes et standards (ex : ISO 27001) s'applique à la totalité du système d'information, qu'il soit de gestion ou industriel.

NIS2 concerne toutes les organisations appartenant :

à l'un des 18 secteurs d'activité définis par la directive (les fournisseurs de services numériques, principalement)
aux entités qui répondent à certains seuils de chiffre d'affaire (10 M€) ou d'effectif (50 employés). Attention, on parle en Unité de Travail Annuel. Et il faut penser "groupe".

On évalue le nombre d'entités concernées entre 10 000 et 15 000, selon les cas. Cela va s'affiner rapidement même si pour certaines entités on ne doute pas un instant de leur catégorisation à venir.

A noter : contrairement à la directive NIS1 qui désignait les entités concernées de façon officielle, NIS2 ne fera pas l'objet d'une communication ciblée. C'est aux entreprises d'identifier si elles sont concernées.

NIS2 définit de manière très claire des niveaux d'exigence de sécurité, applicables selon qu'on soit défini comme un Entité Essentielle (EE) ou une Entité Importante (EI), en fonction du secteur d'activité principalement.

Si on ne doit retenir qu'un objectif, c'est le suivant : NIS2 permet d'élever le niveau global de cybersécurité par l'application de règles harmonisées et simplifiées.

Je suis conscient de la relative complexité de la directive. Je propose une offre de conseil NIS 2 pour vous accompagner.

Dans le doute, n'hésitez pas à me contacter, c'est sans engagement.

Gouvernance, Risque et Conformité

Michael Harlaut — Fri, 14 Feb 2025 00:00:00 +0100

Quand j'explique mon travail, je dois commencer par expliquer que non, je ne suis pas un hacker qui essaie de trouver des failles dans les outils et systèmes. Je ne sauve pas non plus le monde en regardant des milliers de lignes de code défiler sur mon écran pour stopper la menace ultime. Et ce n'est pas non plus ma spécialité de parcourir le dark web pour retrouver des données volées. Je sais bien bricoler quelques petites choses sympathiques pour illustrer mes propos, mais à chacun son métier.

Bref, j'explique le travail d'un consultant en Gouvernance, Risque et Conformité.

La GRC, c'est avant tout une approche méthodique, un moyen d'atteindre des objectifs clairs en choisissant le meilleur chemin. Et l'objectif est clair pour moi : m'assurer que mes clients se sentent suffisamment sereins face aux menaces informatiques.

Qu'ils puissent se concentrer sur ce qu'ils font de mieux : leur métier.

La gouvernance, c'est d'abord une approche centrée sur le client.

Ma priorité absolue, c'est de comprendre vos objectifs, vos besoins, vos problèmes, et surtout vos contraintes. Et bref, ne pas arriver avec des solutions génériques pour des problèmes qui n'en sont pas, sans tenir compte de vos possibilités et vos moyens.

En bref, je ne suis pas là pour vendre un produit sous prétexte que je l'ai au catalogue ou en stock. Je ne dispose d'ailleurs d'aucun produit à mon catalogue. Je sais par contre vous aider à choisir ce qui fera réellement la différence.

Mon objectif c'est de vous faire adopter la bonne posture et de vous donner les clés et les outils pour la maintenir sur la durée. Parce qu'une gouvernance ne vaut que si elle continue à bien fonctionner après mon départ.

Le risque, c'est le fait de rechercher et anticiper en permanence les failles et limitations qui pourraient être demain le point d'entrée d'une attaque, avec les conséquences que l'on connait.

Les risques sont divers par nature. Techniques, organisationnels, humains ou encore environnementaux. Les connaître, c'est effectuer un travail de veille permanente. Ce qui est une partie importante de mon travail journalier et que je peux mutualiser.

Chaque risque ne se vaut pas. Voir l'article dédié.

Et pour chaque risque il existe parfois plusieurs solutions. Mon rôle est alors de repartir de la partie gouvernance pour déterminer la meilleure des solutions dans votre contexte.

Pas la plus chère. Pas la plus miraculeuse. La plus adaptée.

C'est aussi dans la partie risque qu'on va parler le plus de technique. Pour déterminer les actions à mettre en place, les types de solutions à prévoir, les plans de mise en œuvre, ou encore les processus associés (sauvegarde, continuité d'activité, ...).

La conformité, c'est un domaine à part entière. Plus encadré et ne laissant parfois que très peu de marge sur la mise en oeuvre. Il s'agit de mettre en place les éléments qui permettent d'être conforme à des lois, à des règlementations, ou à des normes.

La conformité est souvent portée par une volonté au plus haut niveau (choisir de mettre en place une démarche ISO 27001), par des contraintes règlementaires (CRA, DORA, NIS2, ...) ou bien parce que les partenaires élèvent leur niveau d'exigence pour pouvoir travailler avec eux. Le plus souvent, le "choix d'y aller" est un mélange de toutes ces raisons.

Mon rôle est dans ce cas celui d'un facilitateur. Je vais partir de l'objectif et retranscrire l'intégralité des tâches et contraintes pour planifier, orchestrer, et jouer le chef de projet si vous le souhaitez. Sans compter un rôle à première vue secondaire mais pourtant clé : garder les équipes motivées sur la durée !

En deux mots : efficacité et agilité.

Tout cela manque encore un peu de clarté ? Contactez-moi !