Être RSSI peut donner l'impression de mener un combat perdu d'avance.
Aujourd’hui, les RSSI sont appelés à aider l’entreprise à comprendre les risques cybernétiques, à mettre en place des contrôles adaptés à son appétit pour le risque et à veiller à ce qu’elle puisse résister à des situations difficiles ou s’en remettre rapidement, tout en continuant à atteindre les résultats opérationnels requis. Et comme je l’ai déjà souligné, ils doivent y parvenir dans un monde où les cyberattaquants n’ont besoin de réussir qu’une seule fois, tandis que les défenseurs sont censés réussir à chaque fois.
C'est un combat inégal. C'est aussi la réalité.
Le nouveau cyber-documentaire de Semperis, Midnight in the War Room, sera présenté en avant-première lors de la conférence Black Hat USA le 5 août 2026. Ce film aborde un sujet que beaucoup d’entre nous tentent de faire valoir depuis des années : la cybersécurité n’est pas une simple question technique. Il s’agit d’un enjeu de résilience des entreprises, d’un enjeu de leadership et, dans de nombreux secteurs, d’un enjeu de société.
C'est cette réalité que met en lumière l'ouvrage *Midnight in the War Room *. Trop souvent, on aborde encore la cybersécurité comme si elle relevait exclusivement du service informatique. D'après mon expérience, c'est une erreur.
Les RSSI sont en première ligne dans la guerre cybernétique
Une cyberattaque grave se transforme rapidement en crise d’entreprise. Elle affecte les opérations, les communications, les services juridiques, les finances, la chaîne d’approvisionnement, la confiance des clients et, dans certains secteurs, même la sécurité et le bien-être public. Il s’agit également d’une crise personnelle pour ceux qui se trouvent en première ligne face à ce qui peut sembler être un assaut sans fin. Non seulement les RSSI doivent souvent faire face à des attaques pouvant entraîner de véritables catastrophes humaines, comme dans le cas des ransomwares qui menacent de paralyser le fonctionnement des hôpitaux ou des cyberattaques menées dans le cadre d’un conflit mondial, mais les attaquants ont également commencé à recourir à des menaces de violence physique à l’encontre des responsables et du personnel chargés de la cybersécurité.
Consciente de ces enjeux, Semperis n'a pas souhaité se contenter d'analyser les défis techniques liés aux logiciels malveillants ou aux cyberattaques. Nous avons voulu donner la parole aux dirigeants et aux équipes chargés d'assurer la pérennité des organisations, même dans les conditions de pression les plus extrêmes.
Qu'est-ce que la cyber-résilience ?
La cyber-résilience, c'est la résilience de l'entreprise . Dans le paysage numérique actuel, les cyberattaques ne sont souvent que le déclencheur d'un événement plus large ayant des répercussions sur l'entreprise. Cette distinction est importante.
« Midnight in the War Room » met particulièrement l'accent sur le poids émotionnel et psychologique de la cyberdéfense, notamment pour les RSSI chargés de protéger les infrastructures critiques et les services essentiels. Je pense que c'est tout à fait juste.
Le rôle du RSSI moderne est plus vaste que ne le pensent de nombreuses personnes extérieures à la profession. Il exige non seulement une maîtrise technique, mais aussi du discernement, de la diplomatie, des compétences en gestion des crises cybernétiques, des capacités de direction en matière de réponse aux incidents, ainsi que la capacité d’expliquer les risques cybernétiques dans un langage permettant aux conseils d’administration et aux équipes de direction d’agir en conséquence. Il exige des dirigeants qu’ils anticipent les interruptions prolongées, les perturbations opérationnelles transfrontalières, la fragilité de la chaîne d’approvisionnement et la résilience humaine nécessaire pour gérer un incident pouvant durer des jours, voire des semaines, et non pas quelques heures.
On estime que la cybercriminalité coûte 10 500 milliards de dollars par an. Il y a 3,5 millions de postes vacants dans le domaine de la cybersécurité, et la durée moyenne d’un mandat de RSSI est inférieure à 11 mois. Ce ne sont pas de simples arguments de discussion. Ils décrivent un environnement dans lequel les défenseurs sont soumis à une pression constante.
Comme l'a fait remarquer le général (à la retraite) David Petraeus : « Chaque jour, une guerre fait rage dans le cyberespace. »
Une véritable cyber-résilience ne se limite pas à la prévention
La communauté de la cybersécurité sait que chaque organisation doit désormais adopter une approche fondée sur le principe « partir du principe qu’une violation a eu lieu » face aux cybermenaces. La cyber-résilience ne se mesure pas uniquement à votre capacité à prévenir les attaques. La question la plus importante est de savoir si vous êtes en mesure de rétablir rapidement et intégralement vos activités après un cyberincident.
Cela est particulièrement vrai dans le domaine de la sécurité des identités.
Les attaquants s'attaquent systématiquement aux systèmes d'identité, car c'est là qu'ils peuvent causer le plus de dégâts. Dans la plupart des organisations, l'identité est le moteur de l'écosystème numérique, et Active Directory reste au cœur de cet environnement. Si vous ne pouvez pas faire confiance à ce fondement ni le rétablir rapidement, vous ne pouvez pas prétendre de manière crédible être résilient.
Sécurité des identités, résilience opérationnelle et décisions les plus difficiles à prendre en cas de cybercrise
Un leadership solide en matière de cybersécurité ne se limite pas à la seule réponse technique. En cas de véritable crise cybernétique, les décisions les plus difficiles à prendre sont souvent d'ordre commercial.
- Qui dispose d'un pouvoir délégué pour agir ?
- Quels sont les services aux entreprises prioritaires ?
- À quel moment communiquez-vous avec les autorités de régulation, les salariés, les fournisseurs, les clients ou les actionnaires ?
- Pendant combien de temps l'entreprise peut-elle supporter l'indisponibilité de ses systèmes essentiels ?
- Quelles sont les implications juridiques, en matière de réputation, sur le plan opérationnel et en matière de sécurité de la stratégie d'intervention que vous choisissez ?
Ces questions sont au cœur de la résilience opérationnelle.
Lors d'exercices sur table, j'ai souvent constaté que les organisations se tournent instinctivement vers les aspects technologiques, au détriment des dimensions humaines, juridiques et liées à la réputation. Or, l'efficacité de la technologie dépend entièrement de la qualité des processus et des personnes qui la gèrent.
À l'ère de l'essor de l'IA, on peut facilement perdre de vue cet aspect. Pourtant, au fond, un leadership solide en matière de cybersécurité repose avant tout sur les personnes.
Comme l’a déclaré Jen Easterly : « Pour venir à bout des cyberattaques malveillantes qui menacent notre mode de vie, il faudra plus que des technologies conçues pour être sécurisées ; il faudra la créativité et la curiosité de l’esprit humain. Ces qualités permettent aux défenseurs de déjouer les adversaires et de les devancer, et c’est un honneur de faire partie de Midnight in the War Room pour faire avancer cette mission. »
Les meilleurs responsables de la cybersécurité favorisent la diversité des points de vue, veillent à ce que les voix les plus discrètes soient entendues et aident les équipes à rester concentrées sur la continuité des activités pendant que les équipes techniques se chargent de leurs missions.
Des témoignages authentiques, des défis concrets
« Midnight in the War Room » rassemble plus de 50 experts, parmi lesquels des responsables de la sécurité informatique (CISO), d’anciens hackers, des responsables militaires et de la sécurité nationale, des cyberpsychologues, des journalistes et des victimes. Parmi les noms les plus connus, on trouve :
- Chris Inglis
- Jen Easterly
- Général (à la retraite) David Petraeus
- Marcus Hutchins
- Professeure Mary Aiken
La distribution au sens large comprend notamment Marene Allison, Krista Arndt, Alan Berry, Roger Brotz, Grace Cassy et Chase Cunningham, entre autres.
La diversité des points de vue exprimés dans ce film est importante. La cyber-résilience ne relève pas de la seule responsabilité d’un service. Elle nécessite les éclairages de professionnels, de décideurs politiques, de chercheurs et de dirigeants qui comprennent comment les pressions cybernétiques influencent la prise de décision dans le monde réel.
Chris Inglis l’a dit sans détour : « La plus grande menace à laquelle nous sommes confrontés n’est pas seulement la sophistication des cyberattaques menées par des États, c’est la complaisance. C’est en refusant de considérer les défenses actuelles comme suffisantes et en nous préparant aux combats à venir que nous forgerons notre résilience. »
Les acteurs de la lutte pour la résilience
Les responsables de la cybersécurité évoluent dans un contexte marqué par une complexité croissante des menaces, des budgets de plus en plus serrés, une pénurie persistante de compétences et une dépendance numérique toujours plus grande. Dans ce contexte, les organisations doivent définir beaucoup plus clairement ce qu’implique réellement la cyber-résilience.
Il ne suffit pas de partir du principe que la technologie sera disponible au moment où vous en aurez besoin. Il ne suffit pas de partir du principe que les canaux de communication habituels continueront de fonctionner en cas de cybercrise. Il ne suffit pas de partir du principe que le problème relève de la responsabilité de quelqu’un d’autre.
Les dirigeants doivent être capables d'expliquer les risques cybernétiques en termes commerciaux, de définir les services essentiels, d'établir les priorités en matière de reprise d'activité, de donner aux intervenants les moyens d'agir de manière appropriée et de s'assurer que l'organisation s'est préparée à l'impensable, plutôt que de se contenter de le consigner par écrit.
Tout responsable de la gestion des incidents reconnaîtra la justesse de cette affirmation de Marcus Hutchins : « En fin de compte, tout se résume à ceci : la bonne personne était-elle au bon endroit au bon moment ? »
Si *Midnight in the War Room* permet à davantage d'équipes de direction de comprendre cela, il aura rempli sa mission.
Rejoignez la « War Room »
Je ne pense pas que les responsables de la sécurité aient besoin d'un énième récit sensationnaliste sur les cyberrisques. Ce dont ils ont besoin, c'est que le grand public comprenne plus clairement et plus honnêtement en quoi consiste réellement leur travail et quels sont les défis auxquels ils sont confrontés au quotidien.
Prêt à entrer dans la « War Room » ? Si vous participez à Black Hat USA le mois prochain, rejoignez Semperis lors de la premièrede « Midnight in the War Room » le 5 août. Ne manquez pas non plus les simulations sur table « Enter the War Room », consacrées aux secteurs de la santé, des infrastructures critiques et du commerce de détail, organisées en partenariat avec WWT et accessibles dans le Business Hall. En attendant, vous pouvez visionner la bande-annonce du documentaire ici. Rejoignez ensuite la conversation sur Instagram ou LinkedIn.
