Depuis des années, la cyber-résilience est définie par la technologie : mesures de sécurité, capacités de détection sophistiquées et stratégies de sauvegarde de plus en plus robustes, conçues pour prévenir les attaques ou permettre une reprise plus rapide. Ces investissements restent essentiels, mais ils ne suffisent plus. L’IA a profondément modifié la nature des cyberattaques, qui évoluent désormais à une vitesse qui met à rude épreuve même les organisations les plus expérimentées. Alors que le délai entre la compromission et la perturbation des activités ne cesse de se réduire, la résilience consiste de moins en moins à prévenir chaque attaque et de plus en plus à maintenir le fonctionnement de l’entreprise lorsque la prévention échoue inévitablement.
Cette évolution est au cœur du nouveau rapport d’IDC, intitulé « Resilience Operations : The Discipline that Makes Readiness Provable » (Opérations de résilience : la discipline qui rend la préparation vérifiable). Cette évolution est au cœur du nouveau rapport d’IDC, « Resilience Operations : la discipline qui rend la préparation vérifiable ». S’appuyant sur une enquête menée auprès de plus de 500 organisations nord-américaines, ce rapport affirme que la résilience est en train de devenir une discipline opérationnelle transversale qui relie les priorités métier à la cybersécurité, aux opérations informatiques (ITOps) et à la reprise après sinistre. Plus important encore, il met en évidence plusieurs lacunes qui suggèrent que de nombreuses organisations continuent de se préparer à un paysage de menaces qui n’existe plus. Voici les enseignements qui en ressortent.
La reprise doit s’articuler autour des résultats commerciaux, et non des aspects techniques.
Historiquement, la planification de la reprise après sinistre s’est concentrée sur la restauration des infrastructures dans les meilleurs délais, le succès étant évalué à l’aune des objectifs de délai de reprise, des taux d’achèvement des sauvegardes et de la disponibilité des applications. Bien que ces indicateurs restent pertinents, ils ne répondent pas nécessairement à la question qui préoccupe le plus les dirigeants : quand l’activité pourra-t-elle reprendre ?
IDC estime que la résilience doit être axée sur les résultats commerciaux plutôt que sur des étapes techniques : il s’agit de rétablir les capacités qui permettent à l’entreprise de servir ses clients, de générer des revenus et de remplir ses obligations. Cela peut sembler n’être qu’une question de terminologie, mais cela modifie la manière dont les priorités en matière de reprise sont définies. La technologie devient alors un moyen d’atteindre un objectif, plutôt qu’une fin en soi.
La plupart des organisations n’ont toujours pas défini ce qui compte le plus.
Près de 6 organisations sur 10 n’ont pas encore clairement défini leur « modèle économique minimal viable » (MVB) – c’est-à-dire l’ensemble minimal de fonctions, de systèmes, de processus et de données nécessaires pour poursuivre leurs activités après une perturbation.
Sans vision commune des éléments dont dépend réellement l’activité, chaque action menée pendant la phase de reprise devient une simple réaction. En définissant votre MVB avant qu’une crise ne survienne, vous favoriserez une prise de décision plus rapide, une meilleure coordination pendant la phase de reprise et, au final, une organisation plus résiliente.
L’automatisation devient la ligne de démarcation entre la résilience et la charge liée à la reprise.
Alors que les attaquants automatisent de plus en plus les phases de reconnaissance, d’exploitation et de déplacement latéral, de nombreuses entreprises continuent de s’appuyer sur des processus de restauration manuels. Ce déséquilibre devient de plus en plus difficile à ignorer. L’IA réduit les délais d’attaque, mais les délais de restauration n’ont pas suivi le rythme. L’orchestration automatisée de la restauration, l’identification précise des points de restauration et la validation coordonnée deviennent des capacités essentielles pour assurer une restauration à la vitesse exigée par les attaques modernes.
Ce n’est pas la technologie qui constitue le principal défi en matière de résilience, mais bien la cohésion organisationnelle.
Les équipes de sécurité se concentrent sur le confinement, les équipes chargées de l’infrastructure sur la remise en état, les dirigeants sur l’impact sur les clients et les équipes chargées de la conformité sur les obligations réglementaires. Aucune de ces priorités n’est en soi erronée, mais lorsqu’elles évoluent de manière indépendante, les organisations se retrouvent confrontées à une crise sans disposer d’un modèle opérationnel commun.
C’est là qu’intervient le concept de « ResOps ». Plutôt que de considérer la résilience comme une responsabilité du service informatique, le rapport la présente comme une discipline qui rassemble délibérément les domaines de l’activité, de la sécurité, de l’infrastructure et de la planification de la reprise. Le message est clair : la résilience dépend moins des outils individuels que de la définition de priorités communes avant qu’un incident ne vous oblige à prendre des décisions difficiles.
Le dépistage reste l’un des indicateurs les plus fiables de la résilience.
IDC a constaté que relativement peu d’organisations mènent fréquemment des exercices sur table ou des simulations en cyber-range, alors que des décennies de données montrent que ces répétitions améliorent systématiquement les performances lors d’incidents réels.
Les exercices permettent de mettre en évidence les dépendances cachées, de révéler les lacunes en matière de communication et de permettre aux équipes de prendre des décisions sans en subir les conséquences réelles. Les organisations qui valident régulièrement leurs processus de reprise développent un niveau de confiance qui va au-delà de la simple planification.
Les défis de demain en matière de résilience se profilent déjà.
Les ransomwares continuent de faire la une de l’actualité, mais les prochains défis en matière de résilience se profilent déjà à l’horizon : de l’IA agentique et des identités machines à la cryptographie post-quantique.
Ces menaces nous rappellent que la planification de la résilience ne peut pas se concentrer exclusivement sur les infrastructures actuelles. La reprise implique de plus en plus des services « cloud », des applications « SaaS », des modèles d’IA, des identités machine, des fournisseurs tiers et des écosystèmes numériques distribués qui n’existaient pas il y a dix ans.
La résilience devient mesurable.
Le modèle de maturité ResOps d’IDC est un outil précieux pour évaluer la situation actuelle de votre organisation. Plutôt que de considérer la résilience comme une qualité que les organisations possèdent ou non, ce cadre décrit une évolution allant d’opérations réactives et cloisonnées vers une résilience mature et adaptative, fondée sur la gouvernance, l’automatisation et l’amélioration continue. À mes yeux, cette évolution reconnaît une réalité importante : la résilience n’est jamais achevée. Il ne s’agit pas d’acheter une plateforme ou de mener à bien un projet. Les organisations deviennent résilientes en améliorant continuellement la manière dont la technologie, les personnes et les processus métier collaborent sous pression. Sous cet angle, la résilience s’apparente moins à une assurance qu’à l’excellence opérationnelle : une capacité qui peut être évaluée, renforcée et démontrée au fil du temps.
Nous assistons actuellement à une évolution plus générale de la manière dont les organisations envisagent la résilience.
Les discussions sur la résilience ne portent plus uniquement sur la protection des infrastructures, mais s’étendent désormais à la protection de l’entreprise elle-même. Cela signifie que la planification de la reprise commence par les clients plutôt que par les serveurs, que la gouvernance revêt désormais autant d’importance que la technologie, et que la confiance repose davantage sur la démonstration des capacités que sur la simple documentation des intentions. ResOps n’est pas vraiment un nouveau cadre ; il s’agit plutôt d’une prise de conscience plus large du fait que la cyber-résilience est devenue une discipline opérationnelle. À mesure que les attaques gagnent en rapidité et en complexité, la résilience ne se mesurera plus à l’absence d’incidents, mais à la capacité d’une organisation à continuer de servir ses clients, de soutenir ses collaborateurs et de préserver la confiance malgré les perturbations. C’est finalement ce que ResOps est censé démontrer. Rajiv Kottomtharayil est directeur des produits chez Commvault.