PwC préconise un socle minimal de capacités à préserver pour rester opérationnel

Toujours attendue, l’étude Global Digital Trust Insights de PwC montre cette année que les organisations investissent davantage, tout en révélant des lacunes dans certaines capacités dont elles ont besoin aujourd’hui. Beaucoup n’ont pas défini leur MVC -Minimum Viable Company.

Parmi tous les ordres de grandeur du Global Digital Trust Insights 2027 de PwC, un pourcentage devrait retenir l’attention : 39 %. C’est la proportion de CISO affirmant que leur organisation dispose de plans de continuité opérationnelle pleinement formalisés et intégrés, traitant spécifiquement des cyber-risques. À l’inverse, 23 % ne disposent d’aucun plan formalisé.

C’est un point crucial, analyse Morgan Adamski, US Leader Cyber, Data & Technology Risk business, PwC. « Le véritable test de la cybersécurité ne réside pas dans la capacité à prévenir chaque incident. Il s’agit plutôt de savoir si l’entreprise peut poursuivre ses activités en cas de problème, et si elle est en mesure d’identifier les éléments prioritaires à rétablir en premier. »

Des incidents récents, survenus dans divers secteurs, ont mis en évidence la rapidité avec laquelle un problème affectant un système, un fournisseur ou une composante d’un écosystème peut se transformer en un défi opérationnel majeur. De là, l’importance du MVC (Minimum Viable Company) : l’ensemble minimal de capacités opérationnelles nécessaires pour maintenir l’activité en cas de perturbation.

« Identifiez les technologies, les données, les collaborateurs et les tiers dont dépendent ces capacités. Ensuite, testez votre plan. N’attendez pas qu’une crise survienne pour vérifier si les hypothèses formulées sur le papier sont réellement opérationnelles. »

Changement de paradigme

Pendant des décennies, les organisations ont été encouragées à rechercher toujours plus d’efficacité : structures allégées, chaînes d’approvisionnement en flux tendus, dépendances à des fournisseurs uniques, modèles opérationnels mondialisés. Cette quête d’optimisation reposait sur une conviction implicite : un environnement globalement stable, où les perturbations demeuraient rares, isolées et temporaires. Cette réalité appartient désormais au passé.

Aujourd’hui, la perturbation n’est plus l’exception : elle constitue le nouvel état normal des organisations. Les cyberattaques peuvent paralyser une entreprise pendant plusieurs semaines. Les dépendances critiques au cloud ou aux éditeurs de logiciels peuvent faillir sans préavis. Les chaînes d’approvisionnement sont fragilisées par les tensions géopolitiques et les évolutions réglementaires. Les événements climatiques extrêmes et les crises énergétiques sont désormais susceptibles d’affecter simultanément les infrastructures, l’approvisionnement, les sites et les opérations.

« La question, aujourd’hui, n’est plus de savoir si une crise surviendra, mais comment l’organisation continuera à fonctionner lorsqu’elle surviendra », résume Morgan Adamski.

Du MVP au MVC

Le principe s’inspire directement du concept de MVP (Minimum Viable Product) issu de l’entrepreneuriat agile -popularisé par Eric Ries et la méthodologie Lean Startup- en l’appliquant à l’échelle de l’entreprise entière pour faire face aux chocs (cyberattaques, pannes, crises géopolitiques. KPMG, aussi, l’exploite.

De même, des acteurs technologiques commencent à le mettre en avant. Ainsi, Cohesity qui préconise de passer d’un « Restore Everything » à un « Recover What Matters ». L’idée ? Un système restauré n’est pas nécessairement un système fiable. C’est pourquoi l’approche MVC ne se limite pas à la rapidité et à la disponibilité, mais prend également en compte l’isolation, la validation et la confiance.

Idem pour l’IA. « Nous sollicitons les données plus que jamais ; nous attendons d’elles qu’elles alimentent l’IA, accélèrent la prise de décision et circulent au sein d’environnements toujours plus interconnectés. Or, la fiabilité de l’IA dépend entièrement de celle des données sur lesquelles elle repose, insiste Morgan Adamski. Si vous ignorez où se trouvent vos données sensibles, qui y a accès, comment elles circulent ou si elles sont assorties des contrôles appropriés, l’intégration de l’IA risque d’amplifier le problème plutôt que de le résoudre. »

L’autonomie doit progresser à mesure que la confiance s’établit 

C’est précisément là que la maîtrise des fondamentaux devient un enjeu stratégique, et non une simple question d’hygiène informatique : identification et classification des données, contrôle des accès et des identités, gestion des vulnérabilités et des correctifs, surveillance, procédures de récupération testées, et visibilité sur les tiers ainsi que sur les dépendances critiques. Aucun de ces éléments n’est nouveau, mais ils gagnent en importance à mesure que l’environnement devient plus rapide et plus autonome.

Les agents d’IA rendent cette tension particulièrement manifeste. L’étude montre que seuls 22 % des dirigeants se disent prêts à autoriser des agents d’IA à exécuter intégralement des actions de cyberdéfense sans approbation humaine. Plus de la moitié d’entre eux citent la fiabilité et la maturité des technologies d’IA actuelles comme principal obstacle, suivies de près par les questions de responsabilité et d’explicabilité.

« La solution ne consiste pas, à mon sens, à attendre que la technologie soit parfaite. Il s’agit plutôt de réfléchir de manière délibérée aux domaines où l’autonomie est pertinente, et de définir ce qui doit s’interposer entre un agent et les conséquences de ses actions. »

À mesure que la confiance se renforce, les limites peuvent évoluer. Mais cette confiance doit être méritée, fondée sur des preuves concrètes, et non tenue pour acquise simplement parce que la technologie progresse rapidement.

A faire dès maintenant

Le paysage des menaces continuera d’évoluer. L’objectif n’est pas de prédire chaque vulnérabilité, chaque technique d’attaque ou chaque changement technologique, mais de bâtir une organisation capable d’absorber ces transformations sans perdre la maîtrise des fondamentaux.

« Pour les dirigeants, je préconise de se concentrer sur quelques axes : identifier les services critiques indispensables au fonctionnement de l’entreprise et tester les procédures pour les rétablir ; combler les lacunes en matière de protection des données avant de déployer l’IA à grande échelle ; intégrer la sécurité, la gouvernance et la responsabilité dès la conception des systèmes d’IA ; identifier les dépendances envers des tiers ou des technologies qui pourraient constituer des points de défaillance uniques ; et, enfin, utiliser l’IA là où elle permet réellement d’accroître la rapidité et l’échelle, tout en maintenant des contrôles humains appropriés. »

La cybersécurité a toujours été une problématique multidimensionnelle. L’IA ne change pas ce fait ; elle en modifie toutefois la vitesse, l’ampleur et les enjeux, conclut Morgan Adamski.

« Les organisations les mieux préparées à l’avenir seront celles qui sauront poursuivre leurs efforts d’innovation tout en assurant une exécution exemplaire des fondamentaux. »