Les entreprises et les particuliers produisent chaque jour un volume croissant de données numériques. Le cadre réglementaire européen s’est densifié : au RGPD s’ajoutent désormais NIS2 pour les secteurs critiques, DORA pour la finance et l’AI Act pour les systèmes d’intelligence artificielle, avec des calendriers d’application échelonnés. Dans ce contexte, la sécurité des données ne se résume plus à un antivirus ou à un mot de passe robuste. Elle engage des choix d’architecture, de gouvernance et de vérification continue.
Sauvegardes ciblées par les attaquants : un angle mort des stratégies de protection
La plupart des guides de cybersécurité recommandent de sauvegarder régulièrement ses fichiers. Ce conseil reste valable, mais il masque un problème plus récent. Les retours terrain montrent que les infrastructures de sauvegarde sont désormais une cible prioritaire pour les attaquants. L’objectif n’est plus seulement de chiffrer les fichiers actifs, mais de neutraliser aussi les copies de secours, rendant toute récupération impossible sans paiement d’une rançon.
Cette évolution change la donne pour les équipes informatiques. Disposer d’une sauvegarde ne suffit plus si celle-ci est accessible depuis le même réseau que les systèmes de production. L’immutabilité des copies (impossibilité de les modifier après écriture) et leur isolement physique ou logique deviennent des critères de choix pour toute solution de stockage. Il est également recommandé de tester régulièrement la restauration effective des données, car une sauvegarde qui ne se restaure pas n’en est pas une.
Pour approfondir ces enjeux, les informations sécurité sur Open Syd détaillent plusieurs approches adaptées aux entreprises et aux indépendants.
Chaîne d’approvisionnement numérique et risques liés aux prestataires
Les réglementations récentes, NIS2 en tête, élargissent le périmètre de responsabilité bien au-delà du système d’information interne. L’évaluation des risques liés aux fournisseurs et sous-traitants fait désormais partie des obligations pour les entités concernées. Un prestataire cloud mal sécurisé, un outil SaaS qui stocke des données personnelles sans chiffrement adéquat, un accès tiers non révoqué après la fin d’un contrat : autant de failles que les solutions numériques doivent couvrir.
Concrètement, cela implique plusieurs vérifications avant de confier des données à un tiers :
- Examiner les certifications de sécurité du prestataire (ISO 27001, qualification SecNumCloud ou équivalent) et vérifier leur périmètre exact.
- Contractualiser les obligations de notification en cas d’incident, avec des délais précis et des engagements de transparence.
- Prévoir un mécanisme de réversibilité : pouvoir récupérer l’intégralité de ses données dans un format exploitable si le prestataire change ses conditions ou cesse son activité.
- Auditer les accès tiers régulièrement, en supprimant ceux qui ne sont plus justifiés.
Les retours terrain divergent sur la capacité réelle des PME à mener ces audits de manière systématique. Le coût et la complexité restent des freins, ce qui pousse certaines structures à mutualiser ces évaluations via des groupements sectoriels.
Conformité réglementaire : RGPD, NIS2, DORA et AI Act en pratique
L’empilement des textes européens crée une difficulté concrète pour les entreprises : chaque réglementation couvre un périmètre différent, avec des obligations qui se recoupent partiellement. Le RGPD encadre le traitement des données personnelles. NIS2 impose des mesures de cybersécurité aux entités dites « importantes » ou « importantes ». DORA cible spécifiquement la résilience numérique du secteur financier. L’AI Act ajoute des contraintes pour les systèmes d’intelligence artificielle à haut risque.
Pour une entreprise qui utilise un outil d’IA traitant des données personnelles dans un secteur couvert par NIS2, ces trois textes s’appliquent simultanément. Les solutions numériques de conformité tentent d’automatiser une partie de ce travail : cartographie des traitements, registre des activités, détection des écarts. Les données disponibles ne permettent pas encore de mesurer l’efficacité réelle de ces outils sur le long terme, mais leur adoption progresse dans les organisations de taille intermédiaire.
Ce que change l’AI Act pour la protection des données
L’AI Act introduit une classification des systèmes d’IA par niveau de risque. Les systèmes à haut risque (recrutement automatisé, scoring bancaire, vidéosurveillance intelligente) doivent respecter des exigences de transparence, de traçabilité et de gouvernance des données d’entraînement. Un modèle d’IA entraîné sur des données biaisées ou mal protégées expose l’entreprise à des sanctions au titre de l’AI Act et du RGPD simultanément.
La CNIL a publié des lignes directrices sur l’articulation entre IA et protection des données personnelles, notamment pour les systèmes dits « agentiques » (IA autonome capable d’actions en chaîne). Ces précisions sont récentes et leur traduction opérationnelle reste à construire pour beaucoup d’organisations.
Solutions numériques de détection et de réponse aux menaces
Les outils de détection ont évolué au-delà de l’analyse de signatures connues. Les solutions de type EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response) corrèlent les événements sur plusieurs couches du système d’information : postes de travail, messagerie, réseau, cloud. La détection repose désormais sur l’analyse comportementale, ce qui permet d’identifier des menaces inédites qui ne correspondent à aucune signature répertoriée.
En revanche, ces solutions génèrent un volume d’alertes que les équipes doivent trier. Sans processus de qualification clair, le risque est de noyer les analystes sous les faux positifs ou, à l’inverse, de passer à côté d’un incident réel noyé dans la masse. L’automatisation du tri (via des règles ou de l’IA) aide, mais elle n’élimine pas le besoin d’expertise humaine pour les décisions critiques.
Le choix d’une solution de sécurité ne se fait pas sur une liste de fonctionnalités. Il dépend de la taille de l’organisation, de la sensibilité des données traitées, du cadre réglementaire applicable et de la capacité réelle des équipes à exploiter l’outil au quotidien. Un outil sophistiqué mal configuré protège moins qu’un outil simple correctement maintenu. C’est sur ce point que la plupart des incidents trouvent leur origine, bien plus que sur une faille technologique spectaculaire.