Nick Lowther Directeur des ventes aux grandes entreprises, Australie et Nouvelle-Zélande

En juin 2026, l’Australian Signals Directorate a publié une annonce concernant une déclaration commune des agences de cybersécurité des « Five Eyes ». Cette publication, qui renvoie directement au texte intégral de la déclaration, résume le caractère urgent de la position du gouvernement australien en matière de cyber-résilience :

L'intelligence artificielle accélère la vitesse, l'ampleur et la sophistication des cybermenaces, à un rythme plus rapide que ce à quoi la plupart des organisations sont préparées. Compte tenu des risques que cela fait peser non seulement sur la continuité des activités, mais aussi en termes de pertes financières et d'atteinte à la réputation, le message est clair : la cyber-résilience constitue désormais un risque stratégique majeur pour l'entreprise, et non plus seulement un enjeu informatique. Les dirigeants d'entreprise sont invités à agir sans tarder.

Source : Australian Signals Directorate via LinkedIn

Ces messages constituent un point de référence, en synthétisant et en validant les facteurs de stress intenses auxquels sont confrontés les dirigeants d'entreprise et les professionnels de la sécurité avec lesquels je travaille quotidiennement en Australie et en Nouvelle-Zélande.

Derrière ce message urgent se cache un risque réel et immédiat qui connaît une croissance exponentielle. Depuis des années, les leaders mondiaux de la cybersécurité insistent sur la nécessité d’adopter une approche de cyberdéfense fondée sur le principe « partir du principe que la violation a eu lieu ». Il apparaît désormais clairement que les mesures défensives, bien qu’elles restent essentielles, ne suffisent pas. Les organisations doivent être prêtes à réagir et à se remettre plus rapidement des attaques, même celles qu’elles ne peuvent pas anticiper entièrement.

L'IA a bouleversé la nature de la surface d'attaque. Elle a modifié la manière dont les pirates mènent leurs opérations et dont nous défendons nos systèmes. Elle modifie également la façon dont les conseils d'administration doivent appréhender l'interaction entre l'adoption de l'IA, la sécurité des identités, ainsi que la réponse aux incidents et la reprise après sinistre.


En bref : les points clés à retenir pour les responsables de la sécurité et les dirigeants d'entreprise

  • L'IA accélère le rythme des événements dans le cyberespace et rend dangereuses les hypothèses obsolètes.
  • Les agences des « Five Eyes » ont fait de la cyber-résilience un enjeu relevant de la direction générale, et non plus uniquement un enjeu informatique.
  • Pour la plupart des entreprises, la résilience des identités est au cœur de la cyber-résilience, car Active Directory et les identités hybrides constituent le fondement des opérations métier et de la reprise après sinistre.
  • La sauvegarde à elle seule ne suffit pas. Les entreprises doivent démontrer qu'elles sont en mesure de restaurer Active Directory dans un état dont la conformité est avérée, dans un délai de reprise d'activité (RTO) réaliste.
  • Les programmes les plus efficaces considèrent la protection de l'identité, le rétablissement sans antécédents et la gestion de crise comme une seule et même discipline plutôt que comme des projets distincts.

Comment l'adoption de l'IA accentue actuellement les risques cybernétiques

Les grandes entreprises australiennes (à l’instar de leurs homologues du monde entier) me confient qu’elles se trouvent tiraillées entre les opportunités et les menaces liées à l’IA. D’après une étude de Semperis, cette situation est bien trop courante, ce qui signifie que les entreprises accordent aux agents d’IA un accès direct à leurs systèmes critiques avant même d’avoir pu mettre en place des mesures de protection adéquates.

Dans l'étude intitulée « L'état de la sécurité des identités à l'ère de l'IA », j'ai découvert que les personnes interrogées issues d'organisations australiennes ont confirmé que :

  • 37 % de leurs collaborateurs disposent d'une IA installée sur leurs ordinateurs locaux, d'où elle peut accéder aux clés SSH et de chiffrement.
  • 24 % des entreprises utilisent déjà des agents IA pour traiter les demandes d'assistance liées à la sécurité, notamment la réinitialisation des mots de passe et l'accès au VPN.

Tout en accélérant le déploiement d'agents d'IA, les participants à cette étude reconnaissent que l'ajout d'identités d'agents augmente considérablement la surface d'attaque liée aux identités.

  • 80 % des personnes interrogées en Australie s'attendent à ce que l'IA entraîne une augmentation de la fréquence des attaques par usurpation d'identité.
  • 65 % s'attendent à ce que les pirates utilisent l'IA pour s'attaquer à leur infrastructure d'identité.

Les statistiques régionales que j'ai trouvées dans l'étude Semperis reflètent fidèlement les rapports provenant de toutes les régions du monde. Il s'agit d'un problème mondial.

Lorsque les conseils d'administration demandent si l'entreprise est prête à faire face à une cyberattaque accélérée par l'IA, de nombreuses équipes répondent en énumérant une série de mesures de contrôle : authentification multifactorielle (MFA), détection et réponse au niveau des terminaux (EDR), sauvegarde, application de correctifs, surveillance, exercices de simulation. Tous ces éléments sont importants.

Mais la réalité est que seules 21 % des entreprises australiennes — et à peine 32 % des entreprises dans le monde— estiment qu'elles pourraient reprendre le contrôle si un agent d'IA venait à divulguer des identifiants d'administrateur.

La déclaration des agences de cybersécurité des « Five Eyes » place la barre plus haut. Le message ne se limite pas à inviter les organisations à renforcer leurs défenses. Il souligne que les dirigeants doivent partir du principe que leurs hypothèses en matière de risques cybernétiques peuvent devenir obsolètes en quelques mois, voire en quelques semaines, et que la résilience doit tenir bon face à la pression lors d’un incident réel.

C'est une exigence difficile à satisfaire. De nombreuses entreprises n'ont jamais véritablement vérifié si elles étaient en mesure de rétablir leurs systèmes d'identité rapidement et sans heurts après une intrusion.

Et comme l'identité constitue le plan de contrôle métier, cette lacune n'est pas une simple anecdote technique. Il s'agit d'un risque métier ayant des conséquences opérationnelles, financières et en termes de réputation.


Pourquoi l'avertissement des « Five Eyes » concernant l'IA revêt aujourd'hui une importance particulière

Les agences du groupe « Five Eyes » ont formulé un avertissement concis et direct. L’intelligence artificielle réduit déjà les obstacles pour les acteurs malveillants, accroît la rapidité et la complexité des attaques, et raccourcit le délai entre la découverte d’une vulnérabilité et son exploitation, notamment en matière d’identité.

Dans le même temps, ils affirment que la cyber-résilience n'est plus une simple question technique. Il s'agit d'une responsabilité qui incombe aux dirigeants et qui est liée à la continuité des activités, à la confiance des marchés et à la valeur à long terme.

Ce cadre et ces spécifications devraient intéresser tous les RSSI, responsables IAM, administrateurs Active Directory et d’identités hybrides, responsables SecOps et architectes d’entreprise. Cela fait passer la question de « Disposons-nous de contrôles ? » à « Pouvons-nous prouver que ces contrôles fonctionneront lors d’un incident réel, lorsque l’identité est menacée ? »

Pour la plupart des entreprises, la preuve de leur résilience réside dans la restauration des identités. Comme le souligne Semperis, le système d'identité est impliqué dans la plupart des incidents cybernétiques, et dans la plupart des organisations, ce système d'identité est un environnement hybride s'appuyant sur Active Directory et Entra ID.


Le défi que les conseils d'administration ont souvent tendance à négliger : l'identité est à la fois un objectif et un facteur déterminant

Les responsables de la sécurité s'efforcent depuis des années d'expliquer qu'Active Directory constitue une infrastructure essentielle. Mais la déclaration des « Five Eyes » confère à cet argument une nouvelle urgence, car l'IA réduit le temps disponible pour détecter, prendre une décision et réagir.

Le problème ne réside pas seulement dans le fait que les pirates s'attaquent aux systèmes d'identité. Il tient également au fait que le reste de l'organisation dépend de ces systèmes pour fonctionner. Lorsque les systèmes d'identité sont hors service, la messagerie électronique, les conférences, l'accès aux fichiers, l'accès aux solutions SaaS, les processus opérationnels et même la coordination en cas de crise peuvent s'en trouver perturbés.

Cela engendre un risque combiné :

  • L'identité constitue une surface d'attaque à haut risque.
  • L'identité permet les déplacements latéraux et l'escalade des privilèges.
  • L'identité est également le système dont l'entreprise a besoin pour tout récupérer.

C'est pourquoi les conseils d'administration ne doivent pas considérer la restauration d'Active Directory comme un simple exercice de sauvegarde parmi d'autres. AD est une base de données répliquée à plusieurs maîtres, soumise à des exigences strictes en matière de restauration ; une restauration mal effectuée peut prolonger les temps d'arrêt, permettre aux attaquants de s'implanter à nouveau ou contraindre les équipes à tout recommencer depuis le début.


Pourquoi l'IA rend la question de la restauration d'identité encore plus urgente

Les recommandations des « Five Eyes » n'affirment pas que l'IA bouleverse tous les principes de la cybersécurité. En réalité, la plupart de ces conseils sont fondamentaux : réduire l'exposition aux risques, accélérer l'application des correctifs, mettre hors service les systèmes obsolètes, renforcer les contrôles d'identité et d'accès, partir du principe que des violations se produiront et tester les plans d'intervention à l'avance.

Ce que l'IA change, c'est la rapidité et l'ampleur avec lesquelles les vulnérabilités peuvent être détectées et exploitées. Cela signifie que des idées reçues de longue date, telles que « nous aurons le temps d'enquêter », « nous pouvons corriger cela manuellement » ou « notre sauvegarde est probablement suffisante », deviennent plus difficiles à défendre.

Pour les équipes chargées de la gestion des identités, l'implication principale est la suivante : la préparation à la reprise doit être considérée comme une capacité évolutive, et non comme un document statique. Si les attaquants sont capables d'agir plus rapidement, les organisations doivent en être informées à l'avance :

  • Combien de temps faut-il pour rétablir l'AD dans un état dont on sait qu'il est correct ?
  • Si les sauvegardes sont correctes
  • Si les voies d'accès privilégiées ont été identifiées et réduites
  • La communication de crise et la prise de décision peuvent-elles se poursuivre en cas de défaillance des outils reposant sur l'identité ?

Ce sont là des questions qui relèvent du conseil d'administration, car elles déterminent si un incident cybernétique se traduira par une perturbation circonscrite ou par une crise opérationnelle prolongée.


L'écart entre la résilience de secours et la résilience de l'identité réelle

L'une des distinctions les plus importantes en matière de résilience identitaire réside dans la différence entre disposer d'une sauvegarde et être capable de rétablir un état fiable.

Semperis le dit clairement : c'est la restauration qui compte, et non pas la sauvegarde en soi.

N'importe qui peut prétendre avoir sauvegardé Active Directory. La question la plus délicate est de savoir si l'entreprise est en mesure de le restaurer de manière à rétablir une capacité d'identité fiable suffisante pour assurer les opérations minimales indispensables à la survie de l'entreprise (MVC) dans les délais requis.

Cette distinction est importante, car les systèmes d’identité compromis ne le sont pas d’une seule manière. Les attaquants peuvent compromettre les systèmes d’exploitation hébergeant Active Directory, mais ils peuvent également s’assurer une persistance au sein même de la base de données Active Directory par le biais de comptes privilégiés, de modifications des autorisations, d’adhésions non autorisées ou d’autres portes dérobées. Restaurer trop rapidement une sauvegarde inadaptée peut tout simplement permettre à l’attaquant de reprendre pied.

C'est là que de nombreux programmes de résilience présentent encore des lacunes. Ils disposent certes de politiques de sauvegarde, voire de guides de reprise, mais ils n'ont pas démontré que l'identité pouvait être restaurée sans problème, dans le respect d'un objectif de temps de reprise (RTO) réaliste, dans le contexte de stress et de confusion propre à une cybercrise réelle.

Ce que les conseils d'administration devraient demander à la direction dès maintenant

Si la déclaration des « Five Eyes » constitue un appel à faire preuve de leadership, les conseils d'administration doivent se poser des questions concrètes. En voici quelques-unes particulièrement pertinentes :

  • Pouvons-nous restaurer Active Directory dans un état dont on sait qu'il est « propre » ? Une restauration rapide est importante, mais une restauration « propre » l'est encore plus. Les dirigeants devraient se demander comment l'organisation vérifie que le point de restauration est fiable et que la persistance au niveau de la couche d'identité ne survivra pas à la restauration.
  • Avons-nous testé la reprise après sinistre par rapport à notre RTO opérationnel réel ? Un objectif de reprise après sinistre pour Active Directory n'a de sens que s'il permet de restaurer suffisamment de services d'identité pour prendre en charge les applications et les processus métier critiques de l'entreprise. La reprise d'un contrôleur de domaine n'équivaut pas à la reprise des opérations métier.
  • Sait-on quelles vulnérabilités liées à l'identité sont les plus critiques ? Les recommandations des « Five Eyes » mettent l'accent sur les contrôles fondamentaux et la réduction de l'exposition aux risques. Concrètement, cela implique de bien cerner les chemins d'accès privilégiés, les accès administrateurs obsolètes, les erreurs de configuration, les risques liés à la délégation d'accès, ainsi que les contrôles d'identité insuffisants que les attaquants peuvent exploiter de manière combinée.
  • L'équipe d'intervention peut-elle assurer la coordination si les systèmes dépendant de l'identité sont indisponibles ? Un plan de reprise qui part du principe que la messagerie électronique, les partages de fichiers et les communications habituelles continueront de fonctionner pendant une panne liée à l'identité est incomplet. La gestion de crise doit fonctionner indépendamment des systèmes faisant l'objet de la reprise, grâce à une capacité de communication et de coordination hors bande (telle que Semperis Ready1) garantissant que les équipes d’intervention puissent continuer à collaborer tout au long de l’incident.
  • Avons-nous validé cela suffisamment récemment? Si les hypothèses relatives aux risques cybernétiques peuvent devenir obsolètes en quelques mois, la validation de la résilience ne peut pas se limiter à une simple formalité annuelle. Elle doit être testée suffisamment souvent pour refléter l'architecture actuelle, les dépendances actuelles et les vecteurs d'attaque actuels.

À quoi ressemble la préparation pratique ?

La bonne nouvelle qui ressort de la déclaration des « Five Eyes », c'est que la réponse ne consiste pas à « acheter davantage d'outils ».

Les agences invitent explicitement les dirigeants à se recentrer sur les principes fondamentaux, une exécution rigoureuse et une utilisation réfléchie de l’IA pour améliorer la défense là où elle apporte une valeur ajoutée.
Dans le cas des environnements d’identité hybrides, la préparation opérationnelle implique généralement plusieurs mesures.


Réduire les vecteurs d'attaque liés à l'identité

Renforcez la sécurité des accès privilégiés, éliminez toute exposition inutile, vérifiez régulièrement les autorisations et identifiez les voies d'attaque à haut risque menant aux actifs de niveau 0 avant qu'un adversaire ne le fasse.


Améliorer la visibilité sur les comportements spécifiques à chaque identité

La journalisation générale est importante, mais les attaques par usurpation d'identité nécessitent souvent un contexte spécifique à Active Directory pour détecter les modifications dangereuses, telles que l'activité DCSync, les comportements de type « Golden Ticket », la manipulation des groupes privilégiés ou l'utilisation abusive du compte AdminSDHolder.


Tester la reprise des activités telle qu’elle serait vécue par l’entreprise

Un test de reprise efficace permet de vérifier si les services d'identité sont rétablis dans le bon ordre, avec les dépendances appropriées, et à une échelle suffisante pour les opérations critiques. Il permet également de vérifier si les équipes sont capables d'agir sous pression et de communiquer efficacement tout au long de l'incident.


Considérer la gestion de crise et la restauration de l'identité comme indissociables

La restauration de l'identité ne se résume pas à une simple opération technique. Il s'agit également d'un problème de coordination impliquant les dirigeants, les équipes juridiques, les équipes chargées de l'infrastructure, les responsables d'applications, les intervenants et, souvent, des parties prenantes externes. Les organisations qui parviennent à bien gérer ces deux aspects se remettent plus rapidement et avec moins de perturbations.


Le rôle de Semperis en tant que conseiller de confiance

Semperis apporte une valeur ajoutée particulièrement précieuse dans ce contexte lorsque l'objectif n'est pas simplement de vendre un produit, mais d'aider les organisations à combler le fossé entre leurs plans de sécurité des identités et la résilience effective de leurs identités.

Pour cela, il faut commencer par comprendre les risques d'exposition. Semperis propose des outils gratuits et pratiques permettant d'établir un état des lieux de la sécurité des identités, notamment Purple Knight l'évaluation des vulnérabilités courantes dans AD, Entra ID et Okta, ainsi que Forest Druid pour identifier les vecteurs d’attaque de niveau 0.

L'expertise de Semperis s'étend également aux interventions et à la reprise d'activité. Son équipes « Identity Forensics and Incident Response » (IFIR) soulignent l’importance d’une reprise qui rétablisse Active Directory dans un état fiable et exempt de logiciels malveillants, plutôt que de se contenter de remettre les services en ligne. La planification de la reprise s’accompagne d’une coordination de crise qui reste opérationnelle même lorsque les systèmes dépendant de l’identité ne le sont pas.

Ce positionnement est important car il s'inscrit dans la lignée des recommandations des « Five Eyes ». Le besoin stratégique n'est pas d'alimenter davantage la peur, mais d'apporter davantage de preuves :que les contrôles fondamentaux sont efficaces, que l'identité peut être rétablie sans heurts, et que l'organisation est capable de poursuivre ses activités tout au long de l'incident plutôt que d'improviser en plein milieu de celui-ci.


Les conseils d'administration doivent désormais valider la procédure de rétablissement d'identité

Le principal enjeu soulevé par la déclaration des « Five Eyes » n'est pas de déterminer si l'IA va modifier les risques cybernétiques. C'est déjà le cas.

Désormais, les équipes de direction doivent s'assurer de disposer de la capacité qui sera la plus cruciale en cas de compromission des identités : celle de restaurer Active Directory rapidement, de manière efficace et avec un contrôle suffisant pour permettre à l'activité de se poursuivre.

Les conseils d'administration n'ont pas besoin d'une énième assurance abstraite selon laquelle « nous avons mis en place des contrôles ». Ils ont besoin de preuves démontrant que la résilience en matière d'identité fonctionne même sous pression. Les organisations capables d'apporter ces preuves seront mieux préparées non seulement à survivre aux menaces amplifiées par l'IA, mais aussi à préserver la confiance lorsque l'épreuve se présentera.


Ressources connexes

Déclaration des agences de cybersécurité des « Five Eyes » | Cyber.gov.au
L'état de la sécurité des identités à l'ère de l'IA
Intégration d’agents IA à votre infrastructure d’identité
Récupération d’identité et gestion de crise : deux éléments indissociables de la réponse aux incidents
Repenser la gestion des crises cybernétiques : pourquoi les plans échouent
Les principaux écueils de l’ AD Forest Recovery e manuelle
Entreprise minimale viable : la véritable cyber-résilience commence par l’identité
Liste de contrôle : préparez votre infrastructure d’identité à l’ère des agents