Cybersécurité éthique : protéger l’entreprise sans surveiller à outrance

Protéger une entreprise ne consiste plus seulement à verrouiller un réseau, détecter un fichier malveillant ou rétablir un poste après une attaque. À la date du 28 septembre 2025, la montée des ransomwares et l’arrivée d’outils de sécurité plus automatisés imposent une autre question : jusqu’où une organisation peut-elle aller pour se défendre sans porter une atteinte disproportionnée à la vie privée, à l’autonomie des salariés ou à la confiance de ses clients ?

La cybersécurité éthique cherche précisément à répondre à cette question. Elle ne demande pas de choisir entre protection et respect des personnes. Elle invite à concevoir des systèmes capables d’être efficaces contre les menaces, tout en limitant la collecte de données, en rendant les décisions compréhensibles et en gardant une responsabilité humaine lorsque les conséquences peuvent être importantes.

Pourquoi la cybersécurité devient aussi une question éthique

Les attaques par rançongiciel, ou ransomware, illustrent la brutalité du défi. Ces logiciels malveillants chiffrent des données, perturbent l’activité et s’accompagnent parfois d’un vol d’informations utilisé comme moyen de pression. Les noms d’Akira et de Ryuk sont ainsi devenus des repères dans le paysage des attaques auxquelles les organisations cherchent à résister.

Face à ce risque, les clients peuvent réclamer des capacités de confinement très agressives. Dans un contexte d’alerte, isoler immédiatement une machine du réseau, bloquer un compte ou suspendre un processus paraît souvent souhaitable. Mais une réponse conçue uniquement autour de l’urgence peut avoir des effets indésirables : interruption du travail d’un salarié, blocage d’un outil métier essentiel, conservation excessive de journaux d’activité ou décisions prises sur la base d’un signal erroné.

C’est le dilemme souligné par Romeus Prabhu Raymond, directeur de la technologie chez ManageEngine. Pour les équipes techniques, la performance ne se mesure donc pas seulement à la vitesse de détection ou au nombre d’incidents stoppés. Elle se mesure aussi à la proportionnalité de la réponse, à la protection des données traitées et à la possibilité de rendre compte des choix effectués.

Concevoir la sécurité avec la responsabilité dès le départ

Une entreprise qui innove vite sans prévoir de protections suffisantes s’expose à des violations de données et à des incidents difficiles à maîtriser. À l’inverse, une organisation qui réduit sa stratégie à l’évitement de tout risque peut perdre en réactivité et laisser ses concurrents avancer plus rapidement. Le défi consiste à ne pas opposer innovation et sécurité.

L’approche dite « trust by design » propose d’intégrer la confiance et la responsabilité dès la conception d’un produit, d’un service ou d’un processus interne. Elle rejoint l’idée selon laquelle les questions de confidentialité, d’accès aux données et de contrôle humain ne doivent pas être traitées à la dernière minute, une fois que l’outil est déjà déployé.

Concrètement, cela suppose de poser des questions simples avant même de mettre en service une nouvelle solution : quelles informations seront analysées ? Pendant combien de temps seront-elles conservées ? Qui pourra y accéder ? Une personne concernée peut-elle comprendre la logique générale d’une décision qui l’affecte ? Que se passe-t-il si l’outil se trompe ?

Ces questions sont particulièrement importantes lorsque la sécurité touche aux terminaux de travail, aux identités numériques et aux messageries, c’est-à-dire à des environnements où se mêlent informations professionnelles et données pouvant concerner directement les salariés.

L’IA de sécurité doit rester sous contrôle humain

L’intelligence artificielle prend une place croissante dans les opérations de cybersécurité. Elle peut aider les équipes à trier un grand nombre d’alertes, identifier des signaux inhabituels ou accélérer des réponses face à une menace. Cette automatisation répond à une difficulté concrète : les équipes de sécurité doivent analyser des volumes d’événements qu’aucun humain ne pourrait examiner seul dans des délais raisonnables.

Mais l’IA ne reste pas cantonnée à un rôle d’assistance. Comme le souligne Romeus Prabhu Raymond, elle devient plus décisionnelle. C’est là que les enjeux éthiques se renforcent. Un système qui hiérarchise des alertes n’a pas le même impact qu’un système qui coupe automatiquement un accès, isole un équipement ou déclenche une action susceptible de désorganiser une activité.

ManageEngine met en avant ses principes « SHE AI », pour une IA sécurisée, humaine et éthique. L’idée centrale est de maintenir une supervision humaine pour les actions de sécurité critiques. Cette exigence n’implique pas que chaque tâche soit exécutée manuellement. Elle consiste à déterminer à l’avance les décisions qui peuvent être automatisées et celles qui doivent être validées, vérifiées ou contestables par une personne identifiée.

Une gouvernance sérieuse de l’IA de cybersécurité doit notamment distinguer trois niveaux :

• les actions à faible impact, comme le regroupement d’alertes similaires, qui peuvent être largement automatisées ;
• les actions réversibles, qui peuvent être déclenchées rapidement mais doivent pouvoir être annulées et contrôlées ;
• les actions critiques, comme un confinement étendu ou la suspension d’accès sensibles, qui exigent une procédure claire de validation humaine.

Comment concilier surveillance et respect de la vie privée ?

La sécurité informatique repose souvent sur l’observation : journaux de connexion, activité réseau, comportements inhabituels, tentatives d’accès ou alertes sur un poste. Ces données peuvent être indispensables pour comprendre une intrusion. Elles peuvent aussi, si elles sont collectées sans limite, créer un environnement dans lequel chaque salarié a le sentiment d’être traité comme un suspect.

C’est pourquoi la frontière entre protection nécessaire et surveillance intrusive doit être explicitement discutée. Une politique éthique ne consiste pas à promettre qu’aucune donnée ne sera utilisée à des fins de sécurité. Elle consiste à encadrer les usages : définir une finalité précise, limiter les données recueillies, réduire leur durée de conservation et éviter les accès non justifiés.

ManageEngine défend trois principes particulièrement structurants : la minimisation des données, la surveillance guidée par une finalité et l’anonymisation lorsque celle-ci est possible. La minimisation évite de stocker « au cas où » des informations qui ne sont pas utiles à la sécurité. Une finalité clairement établie empêche de transformer des outils de défense en instruments de contrôle généralisé. L’anonymisation, enfin, peut réduire l’exposition des personnes lors de certaines analyses, à condition que les données ne permettent pas de les réidentifier aisément.

La transparence est tout aussi importante. Les salariés doivent pouvoir savoir quelles catégories de données sont traitées pour la sécurité, dans quel but et selon quelles règles. Cette clarté ne révèle pas les détails opérationnels qui aideraient un attaquant. Elle permet en revanche de prévenir la défiance, d’expliquer les limites du dispositif et de rappeler que les pouvoirs d’un outil de sécurité ne sont pas illimités.

Normes, conformité et responsabilité des fournisseurs

Les fournisseurs de technologies ont une responsabilité particulière. Leurs outils peuvent être déployés à grande échelle et donner à leurs clients une capacité considérable de collecte, d’analyse ou de réaction. Ils ne peuvent donc pas se présenter comme de simples vendeurs de fonctionnalités : ils participent à la définition des pratiques de sécurité de milliers d’organisations.

L’intégration de la conformité dès la conception est un premier socle. Le RGPD encadre la protection des données à caractère personnel dans l’Union européenne. La famille des normes ISO/IEC 27000 offre quant à elle des repères pour organiser le management de la sécurité de l’information. Ces cadres aident à structurer les politiques, les rôles, les contrôles et l’amélioration continue.

Ils ne remplacent toutefois pas le jugement éthique. Une organisation peut appliquer une procédure conforme tout en choisissant une surveillance disproportionnée ou insuffisamment expliquée. Inversement, une intention louable ne dispense jamais de respecter les obligations légales et de sécuriser effectivement les données. La conformité est un plancher, pas nécessairement un plafond.

Pour choisir un prestataire, les entreprises ont intérêt à examiner autant les capacités techniques que les garanties de gouvernance. Les questions utiles portent sur les données collectées par l’outil, les modalités d’accès, les mécanismes de journalisation, la réversibilité des actions automatiques et l’existence de contrôles humains sur les décisions sensibles.

Mettre en pratique une cybersécurité éthique dans l’entreprise

Le passage des principes aux actes doit commencer au niveau de la gouvernance. L’adoption d’une charte d’éthique en cybersécurité par le conseil d’administration donne un cadre aux arbitrages les plus difficiles. Elle peut rappeler que la protection des actifs numériques, des clients et des salariés fait partie d’un même objectif, sans donner à la sécurité un blanc-seing pour collecter ou surveiller sans limites.

Cette charte doit ensuite se traduire dans les choix quotidiens. Lorsqu’une entreprise sélectionne un fournisseur, elle peut intégrer la protection de la vie privée et les exigences éthiques dans ses critères, au même titre que la capacité de détection ou le coût. Lorsqu’elle déploie un outil, elle peut documenter ses finalités et attribuer clairement les responsabilités. Lorsqu’un incident survient, elle peut évaluer non seulement l’efficacité de la réponse, mais aussi ses effets sur les personnes concernées.

La formation des équipes est indispensable. Les collaborateurs n’ont pas tous besoin de maîtriser les mêmes concepts techniques, mais ils doivent comprendre les règles applicables aux données, les canaux de signalement et les risques d’une manipulation inappropriée des outils. Les responsables métiers, les équipes informatiques, les juristes et les dirigeants doivent pouvoir dialoguer, car aucun de ces acteurs ne peut régler seul les tensions entre sécurité, activité et confidentialité.

Une démarche crédible repose enfin sur la capacité à revoir ses décisions. Les menaces évoluent, les outils changent et les usages internes se transforment. Une règle de surveillance ou d’automatisation qui paraissait proportionnée lors de son déploiement peut ne plus l’être quelques mois plus tard.

Ce qu’il faut surveiller dans les prochaines années

L’automatisation intégrale des opérations de sécurité soulève une question majeure : qui est responsable lorsqu’un système autonome commet une erreur ou prend une décision dont les effets se révèlent disproportionnés ? La réponse ne peut pas être de renvoyer la faute à l’algorithme. Les entreprises et leurs fournisseurs doivent conserver des règles de responsabilité claires.

L’émergence de l’informatique quantique est un autre sujet de vigilance. Sa capacité potentielle à compromettre certaines communications aujourd’hui protégées impose une préparation prudente. Il ne s’agit pas seulement d’un enjeu cryptographique : les choix de migration, les données à protéger en priorité et les délais de conservation devront aussi être pensés au regard de leurs conséquences pour les organisations et les individus.

En 2025, la cybersécurité éthique apparaît donc comme une discipline de décision autant qu’une discipline technique. Les entreprises les mieux préparées ne seront pas seulement celles qui accumulent les outils. Elles seront celles qui savent justifier la nécessité de leurs contrôles, limiter les intrusions dans la vie privée et conserver une responsabilité humaine à la hauteur des pouvoirs confiés à leurs systèmes de défense.