DORA, Secure-IC et IA : les dossiers qui redessinent la cybersécurité

Le 17 janvier 2025 ne constitue pas une date ordinaire pour les banques, assureurs et prestataires technologiques qui travaillent avec eux : le règlement européen DORA est désormais applicable. Son ambition est simple à énoncer, mais exigeante à mettre en œuvre : faire en sorte qu’un incident informatique, une cyberattaque ou la défaillance d’un fournisseur ne paralyse pas les services financiers.

Cette nouvelle étape réglementaire est au cœur d’une semaine qui illustre aussi les transformations industrielles du secteur. L’acquisition de la française Secure-IC par l’américain Cadence souligne l’importance prise par la sécurité des composants électroniques. Cisco, de son côté, entre sur le terrain de la protection des systèmes d’intelligence artificielle avec AI Defense. Entre règles européennes, concentration du marché et nouveaux usages de l’IA, la sécurité numérique devient une fonction structurante de l’économie.

DORA : la résilience numérique devient une obligation pour la finance

DORA, pour Digital Operational Resilience Act, est un règlement de l’Union européenne consacré à la résilience opérationnelle numérique du secteur financier. Il est entré en vigueur en janvier 2023, mais ses obligations sont applicables depuis le 17 janvier 2025. Cette distinction est importante : c’est à partir de cette dernière date que les organisations concernées doivent être en mesure de respecter concrètement son cadre.

Le texte vise à réduire un risque bien identifié : dans une finance largement numérisée, une panne informatique majeure ou une attaque réussie contre un acteur central peut se propager bien au-delà de l’entreprise initialement touchée. L’enjeu n’est donc pas seulement de protéger des données. Il est aussi d’assurer la continuité de services essentiels, comme les paiements, l’accès aux comptes, les transactions ou les indemnisations.

DORA ne s’adresse pas uniquement aux grandes banques. Il couvre un ensemble large d’entités financières, parmi lesquelles figurent notamment les banques, les compagnies d’assurance, les entreprises d’investissement et certains gestionnaires de fonds. Il prend aussi en compte les fournisseurs de technologies de l’information et de la communication, notamment les prestataires de services cloud, lorsque leur rôle est jugé critique.

Le règlement demande aux acteurs concernés d’organiser leur sécurité autour de plusieurs piliers :

• une gouvernance claire des risques liés aux technologies de l’information et de la communication ;
• la détection, la gestion et la déclaration des incidents informatiques graves ;
• des tests réguliers de la résilience numérique ;
• un encadrement plus rigoureux des risques liés aux prestataires technologiques externes ;
• un partage volontaire d’informations sur les cybermenaces entre organisations.

DORA ne se résume pas à une certification

Les exigences de DORA s’inscrivent dans une logique proche de bonnes pratiques connues en cybersécurité, telles que celles associées aux normes ISO 27001 et ISO 27002. Toutefois, il ne s’agit pas d’une simple obligation de certification. DORA demande de démontrer que la gestion des risques, les procédures de crise, les contrats avec les fournisseurs et les tests de sécurité forment un dispositif cohérent.

Pour une organisation, cela implique par exemple de savoir quels services dépendent d’un fournisseur cloud, de prévoir comment poursuivre l’activité si ce fournisseur devient indisponible et d’identifier les incidents qui doivent être signalés aux autorités compétentes. La cybersécurité quitte ainsi le seul périmètre technique pour devenir une responsabilité de direction et de gouvernance.

Pourquoi le rachat de Secure-IC intéresse l’industrie électronique

L’entreprise américaine Cadence a annoncé l’acquisition de la start-up française Secure-IC, spécialisée dans la cybersécurité des systèmes embarqués. Ces systèmes sont présents dans de très nombreux équipements : objets connectés, appareils industriels, équipements automobiles, terminaux de paiement ou infrastructures critiques.

La protection de ces composants se joue très en amont. Il ne suffit pas d’ajouter une couche de sécurité à une application une fois qu’elle est déployée : une faiblesse dans un composant électronique, dans son logiciel embarqué ou dans la manière dont il communique peut compromettre l’ensemble du produit. C’est cette sécurité intégrée au matériel et aux logiciels bas niveau qui fait la spécificité de Secure-IC.

L’opération illustre la stratégie de Cadence, dont il s’agit de la dixième acquisition en moins de cinq ans. Pour le groupe américain, intégrer cette expertise permet d’élargir son portefeuille dans un contexte où les concepteurs d’équipements électroniques doivent prendre en compte les attaques dès la phase de conception.

Le rapprochement peut aussi intéresser les secteurs soumis à de fortes obligations de résilience, dont la finance. Les terminaux de paiement, les cartes, les appareils d’authentification et les équipements de réseau sont autant de maillons matériels pouvant nécessiter une protection robuste. Il faut néanmoins distinguer les deux sujets : DORA ne prescrit pas l’usage d’une technologie de Secure-IC. Il oblige les organisations financières à gérer leurs risques numériques, quel que soit l’outil retenu pour y parvenir.

Cisco AI Defense face à une nouvelle surface d’attaque

Cisco a lancé AI Defense, une offre destinée à protéger les systèmes d’intelligence artificielle des entreprises contre les abus et les cybermenaces sophistiquées. L’annonce intervient alors que les modèles d’IA générative sont progressivement intégrés aux logiciels internes, aux outils de relation client, à l’analyse de documents et aux processus de développement.

Cette adoption ouvre de nouveaux risques. Un système d’IA peut recevoir des instructions malveillantes, exposer involontairement des données sensibles ou produire des réponses dangereuses si les garde-fous sont insuffisants. À cela s’ajoutent les risques plus classiques : contrôle des accès, sécurisation des données, surveillance des infrastructures et gestion des fournisseurs.

La promesse d’AI Defense s’inscrit dans cette évolution : ne pas traiter l’intelligence artificielle comme un logiciel isolé, mais comme un ensemble à sécuriser, depuis les modèles et les données jusqu’aux applications qui les utilisent. Pour les entreprises, le sujet devient particulièrement concret lorsque des collaborateurs ou des clients peuvent interroger directement un assistant connecté à des ressources internes.

Aux États-Unis, l’avenir du comité CSRB suscite des interrogations

La semaine est aussi marquée par une décision de l’administration de Donald Trump concernant des membres de comités gouvernementaux consacrés à la cybersécurité, dont le Cyber Safety Review Board, ou CSRB. Cette instance est chargée d’examiner les cyberincidents importants et d’en tirer des enseignements pour améliorer la sécurité collective.

Le CSRB occupe une place particulière dans l’écosystème américain. Il n’est pas une équipe d’intervention qui bloque directement les attaques. Son rôle est plutôt de conduire des analyses approfondies après des incidents majeurs, y compris ceux liés à des acteurs étatiques. Ses travaux peuvent aider les entreprises, les administrations et les responsables publics à comprendre les failles exploitées et à éviter leur répétition.

L’éviction de plusieurs membres soulève donc des questions sur la continuité de ces travaux, alors que les opérations de piratage attribuées à des acteurs liés à des États, notamment à la Chine, restent une préoccupation majeure. Elle rappelle que la cybersécurité dépend à la fois des technologies déployées par les entreprises et de la solidité des mécanismes publics d’enquête, de coordination et de retour d’expérience.

Inherent absorbe Devensys Cybersecurity en France

Le mouvement de concentration touche également le marché français. Devensys Cybersecurity, spécialiste de la cybersécurité fondé à Montpellier, a été acquis par le groupe lorrain Inherent. L’objectif affiché est de renforcer les moyens et la présence du groupe dans ce domaine.

L’intégration ne se limite pas à un changement d’actionnariat. Le dirigeant de Devensys doit piloter l’activité cybersécurité du groupe Inherent. Des recrutements sont également annoncés dans les mois à venir pour accompagner la croissance de cette activité.

Ces opérations répondent à une réalité du marché : les organisations recherchent des partenaires capables de couvrir plusieurs besoins à la fois, de la protection des réseaux et des postes de travail à la surveillance des incidents, en passant par le conseil et l’accompagnement réglementaire. Pour les entreprises françaises, la montée en puissance d’acteurs locaux peut compter au moment où DORA élève les attentes des secteurs les plus régulés.

Ce qu’il faut surveiller après le 26 janvier 2025

La première échéance de DORA est franchie, mais le travail de mise en conformité et de contrôle ne fait que commencer. Les entités financières devront démontrer dans la durée que leur organisation résiste aux incidents, que leurs fournisseurs critiques sont suivis et que leurs procédures ne restent pas théoriques.

Le deuxième point à suivre est la sécurité des technologies intégrées. Le rachat de Secure-IC met en lumière le fait que les attaques ne visent pas seulement les logiciels visibles par les utilisateurs. Elles peuvent exploiter un appareil connecté, un composant ou une chaîne de conception électronique. À mesure que les objets connectés se multiplient, cette sécurité embarquée devient un enjeu industriel majeur.

Enfin, la généralisation de l’IA dans les organisations devrait accélérer la demande d’outils spécialisés tels qu’AI Defense. La question ne sera pas simplement de savoir si les entreprises utilisent l’intelligence artificielle, mais dans quelles conditions elles l’ouvrent à leurs collaborateurs et à leurs clients. En janvier 2025, la tendance est claire : résilience, maîtrise des dépendances et sécurité dès la conception deviennent les trois axes d’une cybersécurité appelée à peser davantage dans les décisions de direction.