Cyber-résilience : comment transformer une crise majeure en incident maîtrisable

Au premier trimestre 2026, la France était le deuxième pays le plus touché au monde par les fuites de données selon Surfshark. 23,5 millions de comptes compromis en trois mois. Pirates isolés, groupes criminels, acteurs étatiques : la menace a changé d'échelle. L'Hexagone s'est longtemps cru épargné. À tort. "On ne s'est jamais dit : le suivant, c'est nous, constate Louis-François Garnier. Sauf que le suivant, c'est déjà nous."

"Imaginez un grand groupe avec divers sites dans le monde, frappé par des tremblements de terre qui détruisent l'intégralité de ses infrastructures en même temps. Une cyberattaque, c'est sensiblement la même chose. Sauf que c'est moins physique, on le ressent moins." L'image est de Louis-François Garnier, expert en cyber-résilience chez Inetum. Et le séisme n'est pas localisé. Il ne s'arrête pas aux datacenters : il ébranle les données, les partenaires, les collaborateurs, jusqu'aux clients qui, lassés d'être mal protégés, partent à la concurrence.

Même si les cyberattaques se multiplient, la cybersécurité est désormais bien présente dans les organisations. Toutefois, elle est encore trop souvent abordée sous l'angle de la conformité réglementaire ou des exigences d'audit, avec pour principal objectif de répondre aux obligations plutôt que de construire une véritable démarche de maîtrise des risques. Cette approche conduit fréquemment à des démarches incomplètes, où les mesures de sécurité sont déployées sans être pleinement intégrées aux enjeux métiers et à la stratégie globale de gestion des risques.

De ce fait, la cybersécurité continue d'être perçue comme un centre de coûts dont les bénéfices restent difficiles à mesurer, aussi bien avant qu'après un incident. Pourtant, lorsqu'une attaque survient, les conséquences opérationnelles, financières et réputationnelles rappellent toute la valeur des investissements qui auraient pu être réalisés en amont.

Romain Massari, Directeur des Activités cybersécurité chez Inetum, observe régulièrement lors des analyses de risque que certaines directions métiers acceptent des niveaux d'exposition particulièrement élevés, souvent sans en appréhender pleinement les implications. Des pans entiers du système d'information peuvent ainsi demeurer insuffisamment protégés, non par choix éclairé, mais par méconnaissance des conséquences réelles qu'un incident cyber pourrait engendrer. Ce qui semble complètement improbable de nos jours.

L'accompagnement d'Inetum répond au problème en se concentrant justement sur le métier, pas uniquement la technique. Le Business Impact Analysis (BIA) croise d'abord la menace cyber avec les besoins opérationnels pour identifier les processus vitaux de l'entreprise. De là découlent un plan de continuité d'activité (PCA), "100 % métier", et un plan de reprise d'activité (PRA), dont Louis-François Garnier pointe le péché originel : "Il a été dimensionné pour répondre à des besoins techniques, pas du tout à des besoins métiers."

Inetum a donc choisi de pousser la logique plus loin avec les "5C", une méthode maison formalisée dans un livre blanc. Elle consiste à cartographier les données les plus critiques de l'entreprise (à quoi elles servent et où elles vivent) pour reconstruire le système d'information au plus vite le jour venu. "L'objectif, c'est de transformer une crise majeure en une gestion d'incident", résume Louis-François Garnier. L'exercice met tout le monde autour de la table, direction générale et direction des risques comprises. "Sur les dix derniers clients auxquels nous avons présenté cette démarche, tous ont été conquis", assure Romain Massari.

L'IA rend l'urgence plus vive encore : courriels de phishing sans la moindre faute, échanges audio ou vidéo générés (deepfakes), détection automatisée de vieilles vulnérabilités. "Tout comme les consultants deviennent augmentés par l'IA, les attaquants deviennent augmentés par l'IA", observe Romain Massari. "Le défi est la vitesse d'adaptation. Un attaquant assisté par l'IA peut générer et tester de nouvelles variantes d'attaques en quelques secondes", prévient l'expert. Bien qu'elle soit également utilisée pour renforcer la cyberdéfense, l'IA accentue aujourd'hui l'asymétrie de vitesse entre l'attaque et la défense.

Dans son livre blanc consacré à la résilience face aux cyberattaques, Inetum alerte également sur de nouvelles formes de compromission liées à l’IA, notamment via les prestataires, les sous-traitants et les agents internes connectés aux données de l’entreprise.

Avec plus de 40 agences en France, Inetum accompagne aussi bien les grands groupes bancaires que les ETI en région, souvent dans des secteurs très régulés. Les missions sont d'abord courtes, avec un audit stratégique, avant de s'installer sur un ou deux ans. Une équipe entièrement dédiée à la cyber-résilience entraîne les clients à la gestion de crise, exercices intensifs à l'appui.

Les prochains chantiers sont connus : moderniser les infrastructures vieillissantes, reprendre la main sur la souveraineté des données, réinterroger le tout-cloud, maîtriser le coût de l'IA avant le mur financier. Des arbitrages entre innovation, sécurité et résilience, où un regard extérieur fera la différence. "Le sujet, ce n'est pas 'combien ça va coûter", conclut Louis-François Garnier. C'est plutôt de savoir 'est-ce que je serai encore là demain parce que j'ai fait les bons choix'."

L’un des enseignements les plus récurrents des grands programmes CRM est que l’adoption dépend rarement de campagnes de communication internes ou d’actions ponctuelles de sensibilisation.

Les collaborateurs intègrent réellement une plateforme lorsqu’ils constatent qu’elle facilite leur travail.

Cette réalité conduit à repenser la conduite du changement. La formation ne consiste plus à présenter des fonctionnalités ; elle s’appuie sur des situations concrètes liées à chaque métier. Les managers ne se limitent plus à encourager l’usage du CRM ; ils prennent leurs décisions à partir des données qu’il produit. Quant à la technologie, elle cesse de solliciter l’attention des utilisateurs pour s’intégrer naturellement dans leurs activités quotidiennes.

À ce stade, le CRM n’est plus perçu comme un outil. Il devient une capacité métier à part entière.

Les institutions financières ont démontré leur capacité à déployer des plateformes complexes. Le défi actuel consiste désormais à les maintenir pertinentes, alignées sur les priorités métier et capables d’évoluer au rythme du marché.

Car la transformation qui produit des résultats durables n’est pas celle qui arrive en production. C’est celle qui continue à créer de la valeur lorsque le projet appartient déjà au passé.

Dans nos échanges avec les acteurs du secteur, nous constatons que cette logique d’amélioration continue devient un facteur de différenciation majeur. Les organisations qui réussiront demain seront moins celles qui déploient le plus vite que celles qui savent faire vivre leurs plateformes dans la durée, en conciliant innovation, gouvernance et adoption.