Une centaine de victimes vient d'engager une action collective contre l'État après la cyberattaque qui a frappé le fisc. L'affaire dépasse de loin son cadre administratif. Elle installe une idée que toute direction informatique devrait déjà avoir intégrée : être attaqué ne suffit plus à être considéré comme une simple victime.
Un basculement de regard
Pendant des années, la cyberattaque a été perçue comme une fatalité. Un coup du sort technique, subi, presque extérieur à la responsabilité de l'organisation. Ce temps est révolu. La question qui vient désormais juste après l'incident n'est plus seulement « qui a attaqué ? », mais « qu'avez-vous fait pour l'empêcher, et pour en limiter les dégâts ? ».
C'est un renversement lourd de conséquences. La ligne de défense ne se joue plus uniquement au niveau du pare-feu. Elle se joue aussi devant un juge, un régulateur, ou l'opinion.
L'impréparation ne se plaide pas
Dans ce dossier, plusieurs voix pointent un niveau d'impréparation. Et rappellent une évidence trop souvent oubliée dans les organigrammes. La cybersécurité n'est pas une affaire strictement technique reléguée à un étage discret de la DSI. C'est une fonction qui relève de la direction générale, avec des moyens identifiés et une responsabilité assumée au plus haut niveau.
Le message pour les entreprises est direct. Un budget cyber sous-dimensionné, une gouvernance floue, des arbitrages jamais tracés : autant d'éléments qui, le jour de l'incident, se retournent contre l'organisation. Pas contre l'attaquant.
Documenter devient une ligne de défense
Pour un DSI ou un RSSI, l'enseignement est concret. La solidité d'un dispositif ne se mesure plus seulement à sa capacité à bloquer l'attaque. Elle se mesure aussi à sa capacité à démontrer, après coup, que tout ce qui était raisonnable avait été fait. La traçabilité des décisions devient une pièce à conviction.
Concrètement, cela veut dire garder trace des analyses de risque, des mesures déployées, mais aussi des risques sciemment acceptés et des raisons de ces choix. Le standard des « mesures raisonnables » s'apprécie toujours après coup, souvent par des gens qui n'étaient pas là au moment des arbitrages budgétaires. Autant leur laisser un dossier solide.
La cybersécurité n'est plus un centre de coût qu'on rogne en fin d'exercice. C'est une assurance de responsabilité.
