Cybersécurité - Une culture à piloter au niveau de la direction

Alors que les cyberattaques progressent de 15 % par an, la majorité des PME et ETI françaises restent insuffisamment préparées. Beaucoup continuent de percevoir la cybersécurité comme un sujet technique qu’elles peuvent déléguer à leur prestataire informatique. Or la cybersécurité n’est pas un service à sous-traiter mais une culture à piloter.

Pourquoi observe-t-on une telle explosion des attaques cyber ces dernières années ?

Serge Touré : Plusieurs facteurs expliquent cette hausse. En France, l’ANSSI a traité 4 386 événements de sécurité en 2024, soit une augmentation de 15 % en un an. La tendance sera a minima équivalente pour 2025. La menace est réelle et mesurable : elle progresse plus vite que la capacité des entreprises à s’en protéger. La digitalisation massive élargit considérablement la surface d’exposition : déploiement du cloud, téléphonie IP, outils collaboratifs, interconnexion avec les fournisseurs etc. Chaque nouveau service numérique est une porte d’entrée potentielle.

L’intelligence artificielle renforce encore cette dynamique. Elle démocratise les outils d’attaque, permet de produire des campagnes de phishing extrêmement crédibles et automatise des actions autrefois réservées à des profils experts. L’ENISA (l’Agence de l’Union européenne pour la sécurité des réseaux et de l’information) [PL1] note d’ailleurs une forte croissance des attaques assistées par IA en Europe.

Enfin, la cybercriminalité obéit à une logique économique. Voler des données ou bloquer un système est aujourd’hui plus rentable et moins risqué que la criminalité traditionnelle, car plus difficile à attribuer à un auteur identifié. Résultat : 67 % des entreprises françaises déclarent avoir subi au moins une cyberattaque en 2024 (contre 53 % en 2023).

Vous affirmez que la cybersécurité n’est pas un sujet informatique, mais un sujet de direction. Pourquoi ?

S. T. : Parce que la cybersécurité commence par une décision stratégique : déterminer par exemple la perte maximale de données que l’entreprise est prête à accepter. Sécuriser, c’est arbitrer. Cela signifie investir dans des sauvegardes plus robustes, accepter parfois une légère perte de confort pour gagner en protection. Ces arbitrages relèvent de la direction, car ils engagent directement la continuité d’activité et l’exposition financière. En France, une PME victime d’une cyberattaque peut subir un coût moyen allant jusqu’à 466 000 euros (CriseHelp – Étude France), incluant les pertes d’exploitation, interruption d’activité, restauration des systèmes et impact réputationnel. Dès lors, considérer ce sujet comme purement technique est une erreur stratégique.