Cybersécurité : RSSI sous pression et menace chinoise en cinq constats

La cybersécurité ne se joue pas uniquement dans les logiciels, les centres opérationnels et les salles de crise. Elle repose aussi sur des femmes et des hommes soumis à une pression continue : les responsables de la sécurité des systèmes d’information, ou RSSI. À l’automne 2024, ce métier concentre les inquiétudes liées à la multiplication des attaques, à l’accélération de la transformation numérique et aux menaces d’espionnage informatique attribuées à des acteurs étatiques.

Le chiffre le plus révélateur est humain : près de 24 % des RSSI envisageraient de changer de poste. Derrière cette donnée se dessine une difficulté majeure pour les entreprises. Elles demandent à leurs équipes de sécurité d’anticiper des attaques toujours plus nombreuses, de protéger des données critiques, de respecter des règles de conformité et de réagir vite lorsqu’un incident survient. Or, aucun dispositif technique ne peut être durablement efficace si les personnes chargées de le piloter s’épuisent.

Cette semaine du 20 octobre 2024, cinq signaux permettent de mieux comprendre les défis auxquels sont confrontées les organisations : les conditions de travail des RSSI, les opérations attribuées à des groupes chinois, l’élargissement des surfaces d’attaque, le besoin de résilience et l’impact de cette pression sur les équipes.

1. Le RSSI, un poste devenu central et exposé

Le RSSI est la personne qui organise la sécurité numérique d’une entreprise ou d’une administration. Son rôle ne consiste pas seulement à installer un antivirus ou à bloquer des accès suspects. Il doit établir des règles de sécurité, identifier les risques, superviser les outils de protection, sensibiliser les salariés, préparer la réponse aux incidents et dialoguer avec la direction générale.

Cette position transversale explique en partie la pression qui pèse sur lui. Lorsqu’une attaque réussit, les conséquences peuvent être immédiates : interruption de production, indisponibilité d’un site marchand, vol de données personnelles, divulgation de secrets industriels ou préjudice d’image. Pourtant, une bonne sécurité est souvent invisible. Il est donc difficile de mesurer, au quotidien, les incidents qui ont été évités grâce à un travail de prévention.

Le fait que près d’un RSSI sur quatre envisage un changement de poste traduit un déséquilibre. Les exigences augmentent rapidement, alors que les compétences spécialisées restent difficiles à recruter et que les budgets ne progressent pas toujours au même rythme que les risques. Le RSSI doit aussi convaincre : une mesure de sécurité peut ralentir un processus interne ou imposer une contrainte supplémentaire aux salariés. Faire accepter ces contraintes est une part essentielle du travail.

2. Pourquoi les groupes de hackers chinois préoccupent les organisations

Les opérations informatiques attribuées à des groupes liés à la Chine font partie des menaces suivies de près par les autorités et les entreprises, notamment lorsqu’elles ciblent des infrastructures, des administrations, des fournisseurs technologiques ou des secteurs stratégiques. Dans ce type de dossier, l’objectif ne se limite pas nécessairement au gain financier immédiat. Il peut s’agir de renseignement, d’accès durable à un réseau ou de collecte d’informations sensibles.

L’attribution d’une cyberattaque reste toutefois complexe. Un pirate peut utiliser des serveurs situés dans plusieurs pays, réemployer des outils disponibles en ligne et laisser de fausses pistes. Les experts croisent donc des indices techniques, les méthodes employées, les cibles visées et le contexte géopolitique avant d’associer une opération à un groupe ou à un État. Parler de « hackers chinois » ne signifie pas que tous les acteurs malveillants chinois agissent pour le compte de Pékin, ni que les attaques contre les entreprises viennent d’un seul réseau organisé.

Ce qui inquiète les défenseurs, c’est la capacité de certains groupes à mener des campagnes patientes et ciblées. Plutôt que de déclencher immédiatement un logiciel de rançon, un attaquant peut chercher à rester discret, obtenir des identifiants, explorer le réseau et maintenir un accès dans la durée. Cette logique rend la détection plus difficile : l’activité malveillante peut ressembler à une connexion ordinaire ou à une opération d’administration informatique.

Pour une organisation, l’enjeu est moins de deviner l’origine géographique de chaque attaque que de se protéger contre les techniques utilisées : hameçonnage, exploitation d’une faille non corrigée, vol de mots de passe, accès distant mal sécurisé ou compromission d’un prestataire.

3. La digitalisation multiplie les portes d’entrée

La transformation numérique apporte des gains considérables : travail à distance, services en ligne, outils collaboratifs, automatisation, exploitation de données et interconnexion avec les partenaires. Mais elle augmente aussi ce que les spécialistes nomment la surface d’attaque, c’est-à-dire l’ensemble des points par lesquels une personne malveillante peut tenter d’entrer dans un système.

Un ordinateur portable, une boîte mail, un compte de stockage en ligne, une application métier, un serveur exposé sur internet, un téléphone professionnel ou un fournisseur externe peuvent devenir une porte d’entrée. La difficulté ne vient donc pas seulement du nombre de menaces, mais du nombre d’actifs à connaître et à sécuriser.

Une vulnérabilité n’est pas automatiquement une catastrophe. Encore faut-il qu’elle soit accessible, qu’un attaquant sache l’exploiter et qu’aucune mesure de protection ne l’arrête. Mais la rapidité compte. Lorsqu’une faille critique est rendue publique, les organisations doivent déterminer si elles sont concernées, corriger si nécessaire et vérifier qu’aucune intrusion n’a déjà eu lieu.

Cette discipline suppose une vision claire du système d’information. Une entreprise qui ignore quels services elle utilise, quels comptes disposent de droits élevés ou quels prestataires accèdent à ses données aura beaucoup plus de mal à réagir efficacement. La cybersécurité commence souvent par des questions simples : qu’avons-nous, qui y accède et que se passe-t-il en cas de panne ou de compromission ?

4. Cinq leviers concrets pour renforcer la résilience cyber

La résilience cyber ne signifie pas promettre qu’aucune attaque ne réussira. Une telle promesse serait irréaliste. Elle désigne la capacité à prévenir une part des incidents, à les détecter rapidement, à limiter leurs effets et à reprendre l’activité dans des conditions maîtrisées.

Pour les RSSI, une stratégie de résilience repose sur plusieurs leviers complémentaires. Aucun n’est suffisant isolément.

• Former régulièrement les collaborateurs : l’hameçonnage exploite souvent la confiance, l’urgence ou l’inattention. Des exercices et des rappels concrets aident à reconnaître les messages suspects.
• Corriger les vulnérabilités prioritaires : tous les correctifs n’ont pas la même urgence. Il faut d’abord traiter les failles réellement exposées ou activement exploitées.
• Renforcer les accès : des mots de passe robustes, une authentification à plusieurs facteurs et des droits limités réduisent l’impact d’un compte compromis.
• Préparer la réponse à incident : chacun doit savoir qui alerter, qui décide, quelles activités protéger en priorité et comment communiquer en cas de crise.
• Sauvegarder et tester la restauration : une sauvegarde non testée peut s’avérer inutilisable au moment critique. La capacité à restaurer les données conditionne souvent la reprise des opérations.

5. Prévention et réaction : deux efforts indissociables

La prévention vise à réduire la probabilité d’une attaque réussie. Elle inclut les mises à jour, le cloisonnement des réseaux, les contrôles d’accès, la sensibilisation et la sécurisation des configurations. La réaction, elle, commence lorsqu’un événement suspect est détecté : connexion inhabituelle, transfert de données anormal, ordinateur chiffré, compte détourné ou service indisponible.

Les entreprises les plus préparées ne sont pas nécessairement celles qui possèdent le plus grand nombre d’outils. Elles sont celles qui savent les utiliser, qui disposent de procédures connues et qui ont défini leurs priorités. En cas d’incident, une organisation doit pouvoir répondre à des questions très opérationnelles : faut-il isoler une machine ? Quels systèmes sont les plus critiques ? Comment préserver les éléments utiles à l’analyse ? Qui informe les clients, les salariés ou les autorités compétentes ?

Les exercices de crise ont ici une valeur particulière. Ils permettent de tester les décisions dans un cadre contrôlé et d’identifier les zones floues avant une attaque réelle. Une procédure oubliée, un numéro de téléphone absent ou une responsabilité mal définie peut faire perdre un temps précieux lorsque la pression monte.

6. La fatigue des équipes devient un risque de sécurité

Le moral des équipes cyber est un sujet de sécurité à part entière. Face à un flux constant d’alertes, de nouvelles vulnérabilités et de demandes internes, le risque est celui de la saturation. Lorsqu’une équipe est trop réduite ou qu’elle travaille en urgence permanente, elle peut perdre du temps sur les priorités, laisser s’accumuler certaines tâches ou peiner à retenir ses talents.

Cette tension ne concerne pas seulement les grandes entreprises. Les petites et moyennes organisations disposent souvent de ressources plus limitées, alors qu’elles utilisent elles aussi des services numériques, conservent des données et dépendent de fournisseurs informatiques. Elles doivent donc adapter leurs mesures à leurs risques réels, sans chercher à reproduire à l’identique les dispositifs d’un grand groupe.

Améliorer les conditions de travail des RSSI passe par une gouvernance plus claire. La direction doit reconnaître que la sécurité est un investissement continu, et non une dépense exceptionnelle décidée après une crise. Elle doit également fixer des priorités réalistes. Protéger tout, tout le temps et au même niveau est impossible. En revanche, identifier les actifs vitaux et concentrer les efforts sur les scénarios les plus graves permet de mieux employer les moyens disponibles.

Ce qu’il faut surveiller dans les prochains mois

Les cinq constats de cette semaine dessinent une même réalité : la cybersécurité devient une fonction de pilotage pour l’entreprise. Les attaques ciblées, y compris celles attribuées à des acteurs liés à des États, rappellent que les données et les infrastructures numériques sont des enjeux économiques et stratégiques. Dans le même temps, l’augmentation des services connectés rend la maîtrise des accès, des logiciels et des partenaires indispensable.

Le premier point à suivre sera la capacité des organisations à réduire l’écart entre les risques identifiés et les moyens réellement accordés aux RSSI. Le deuxième concernera la rapidité avec laquelle elles appliquent les correctifs de sécurité et déploient l’authentification renforcée. Enfin, la fidélisation des professionnels de la cybersécurité sera décisive : une stratégie solide dépend de technologies adaptées, mais aussi d’équipes formées, soutenues et capables de tenir dans la durée.

Pour les dirigeants comme pour les salariés, le message est simple : la sécurité numérique ne peut plus être déléguée à un service isolé. Elle doit être intégrée aux décisions quotidiennes, de l’achat d’un outil à l’ouverture d’un message, en passant par le choix d’un prestataire et la préparation d’une crise.