Et si la cybersécurité était un moteur de performance, pas un centre de coût ?

Sortir de la logique du coût évité

Le discours dominant valorise la cyber par le négatif : combien d’incidents évités, combien d’euros d’amende épargnés, combien de fuites contenues. Cette approche par le coût évité a un défaut majeur, elle est invisible au bilan. On ne célèbre jamais une attaque qui n’a pas eu lieu. Le CISO se retrouve à justifier sa valeur par l’absence d’événement, posture intenable sur le long terme. « Démontrer qu’on a été bon parce qu’on n’a peut-être pas été attaqué : c’est toute la limite de l’exercice », résume Patrick Radja, VP CISO Naval Group, co-président de Cyber On Board.

Or les organisations les plus matures ont compris que la sécurité produit de la valeur tangible. Une infrastructure bien sécurisée est aussi une infrastructure mieux cartographiée, mieux maîtrisée, plus résiliente aux pannes. La rigueur imposée par la sécurité — inventaire des actifs, gestion des identités, segmentation — améliore mécaniquement la qualité opérationnelle du système d’information tout entier. « Quand on s’adresse au COMex sur la performance globale, et plus seulement sur l’évitement du risque, on devient plus compréhensible et de fait, on obtient une oreille bien plus attentive » ajoute Patrick Radja.

De la probabilité à la preuve

Et si la cybersécurité empruntait à l'armement sa logique la plus élémentaire, non pas estimer qu'une protection tiendra, mais le prouver ? « On déploie des mesures, on estime qu’elles tiendront, mais on ne démontre pas explicitement à qui et à quoi elles vont résister à un instant donné. Ni à quoi elles ne résistent pas ou encore comment cette résistance évolue dans le temps quand les attaques et les environnements numériques changent eux aussi. » explique Patrick Radja.

Le parallèle, il le dresse aisément avec l’armement : « On ne se contente pas d’estimer qu’une munition va fonctionner. On l’éprouve et on le prouve. La cybersécurité se doit de suivre le même chemin ». Le glissement de l’estimation à la démonstration n’est plus hors de portée : en s’appuyant sur l’échantillonnage de gros volumes de données, il devient possible de calculer mathématiquement la performance et la résilience d’une stratégie cyber. « Tester ensuite avec des techniques offensives connues permet de valider la performance cyber de l’environnement. En somme, dire ce que l’on fait ne suffit plus. Pour évaluer sa performance, il faut y apporter la notion de contrôle des opérations » impliquant « un suivi de la mesure de la performance ».

L’enjeu est d’autant plus pressant que la menace s’est industrialisée. « Une attaque qui s’exécute en quelques heures/minutes entre la découverte d’une faille et son exploitation, va demander de changer nos paradigmes et passer de chaines de décision longues à de l’automatisation, de la gestion de patch à la gestion de la réaction adaptée. C’est ce fait de la cyber, un enjeu opérationnel », rappelle-t-il. Face à des offensives automatisées et continuellement réoutillées, l’estimation d’hier ne suffit plus ; seule la preuve, répétée et actualisée, tient face à l’IA devenue alliée des cyberattaquants.

Longtemps, cette approche est restée théorique. « On nous disait que c’était trop conceptuel. On s’aperçoit aujourd’hui que le concept est devenu une réalité opérationnelle de plus en plus utilisé dans le monde du numérique embarqué », observe-t-il. Et cette réalité a, aux yeux des dirigeants, un mérite décisif : elle rend le sujet de la cybersécurité lisible. « Le glissement n'est pas que sémantique. Tant que la cyber se mesure à l'aune des attaques évitées, elle reste un coût ; dès qu'elle se démontre, elle devient un actif, un différentiateur tangible et vérifiable » précise Patrick Radja.

La sécurité c’est aussi un accélérateur du business

Dans le développement logiciel, le DevSecOps bien implémenté ne ralentit pas la livraison : il l’accélère. En intégrant la sécurité dès la conception, on évite les reprises tardives, les blocages de mise en production, les vulnérabilités découvertes en catastrophe. La sécurité devient un facteur de fluidité, pas de friction. Et avec des indicateurs de performance, c’est beaucoup plus facile à illustrer. La cybersécurité ne doit pas être une surcouche mais une performance intrinsèque maintenue et évaluée régulièrement. Le même raisonnement vaut pour la conquête commerciale. Dans un nombre croissant de secteurs, un niveau de sécurité démontrable est devenu une condition d’accès au marché. Une certification, une conformité solide, une posture cyber crédible qui tient et qui s’adapte, ne sont plus des contraintes : ce sont des arguments qui débloquent des appels d’offres, rassurent les grands comptes et raccourcissent les cycles de vente. La sécurité devient un actif commercial. Avec l’accroissement des tensions géopolitiques et la lucidité forcée par celles-ci — aux impacts majeurs sur nos entreprises et nos économies —, la confiance devient non seulement une valeur refuge mais aussi un différenciateur stratégique.

Changer d'indicateurs pour changer de regard

Ce basculement exige de repenser les métriques. Tant que la cyber se mesure en nombre d’alertes traitées ou de vulnérabilités corrigées, elle restera enfermée dans le registre technique et défensif. Pour exister comme levier de performance, elle doit parler le langage de la valeur : contribution à la disponibilité des services, accélération du time-to-market, taux de transformation commerciale lié à la confiance, résilience mesurée en continuité d’activité. Du rôle de gardien, le CISO évolue vers un poste plus offensif et devient un véritable partenaire stratégique.

Vers une attestation opposable

Cette logique de preuve pourrait, demain redessiner les responsabilités. Dans le monde de la safety, la découverte d’une vulnérabilité, avec des impacts critiques, impose de la traiter et la corriger. Une fois la solution trouvée et livrée à l’exploitant, la responsabilité bascule vers ce dernier, à qui il revient de la déployer. « La cybersécurité devrait suivre la même mécanique, encore faut-il pouvoir attester, à un instant donné, que les mesures sont effectivement en place et efficaces » souligne Patrick Radja. « Ce serait presque comme disposer d'une sorte de contrôle technique cyber évolutif pour répondre aux enjeux de la menace ».

Oser le changement de paradigme

Penser la cybersécurité comme une performance plutôt que comme une réduction de probabilité de risque n’est pas un artifice rhétorique. C’est une lecture plus juste de ce qu’elle produit réellement dans une entreprise résolument numérique, quelle qu’elle soit : de la fiabilité, de la vitesse, de la confiance, de l’accès au marché, de la performance en somme.

La cybersécurité ne se contente plus uniquement de protéger la valeur de l’entreprise. Bien pilotée, elle devient créatrice de valeur dans nos mondes toujours plus numérisés et connectés. Le vrai changement est à l’oeuvre : le regard que l’on porte sur la cyber change, et la place qu’elle tient au coeur de l’entreprise aussi. D’ici peu on parlera ouvertement de performances opérationnelles en matière de cyber et les entreprises qui auront osé aujourd’hui franchir ce pas et guider le mouvement auront une longueur d’avance. Des précurseurs prêts à oser, il y en a. Et bonne nouvelle : « Le monde appartient à ceux qui passent à l’action » souffle Barack Obama.

Produit par S&D Magazine, cet article propose un regard accessible sur la cybersécurité comme levier de performance et de création de valeur pour les organisations.

S&D Magazine - média spécialisé dans le numérique et la cybersécurité

____________________

Ne manquez pas la prochaine édition des Assises de la Cybersécurité !

Vous souhaitez en découvrir davantage sur nos contenus grâce à des prises de paroles exclusives et échanger avec des acteurs clés de la cybersécurité lors de rendez-vous personnalisés ultra-qualifiés ?

Inscrivez-vous dès maintenant et rejoignez la communauté des Assises !