Accueil / Cybersécurité & Résilience
Rubrique 3
NIS 2, gestion des crises, identités non humaines, SOC/SIEM. Le filet de sécurité du paysage européen, éprouvé par les contrôles, les exercices et les incidents réels.
Enquête de la rédaction auprès de 18 DSI et RSSI (France, Benelux, Allemagne)
Acquis réels : inventaires, plans de crise, permanences, durcissement des accès. Façade persistante : chaîne d'approvisionnement non maîtrisée, exercices trop scénarisés, décisions de crise jamais déléguées. La conformité a progressé d'un cran, la résilience réelle beaucoup moins.
Karim Belhadj, DSI du Groupe Vantelis (distribution, France)
Douze mois après l'applicabilité, une même anomalie partout : les prestataires externes ne sont pas cartographiés. Réponse : un registre d'actifs unique et une clause de sécurité renégociée avec 60 fournisseurs en 90 jours.
Marc Delattre, DSI du Groupe Soreval (eau & énergie, France)
Une bibliothèque de 200 téléchargements par mois, maintenue par un contributeur unique. La compromission a été détectée par un contrôle d'intégrité d'image, pas par l'éditeur. Soreval a généralisé la vérification de signature et la relecture des dépendances critiques.
Grégoire Kastel, RSSI du Groupe Aurélien Hôtellerie (Belgique) · Karim Belhadj, DSI du Groupe Vantelis (France)
Propriétaire nominatif, justification métier, expiration, niveau de privilège : quatre champs que la quasi-totalité des ETI ignorent pour leurs comptes machine. Rendus obligatoires à la création, les demandes ont chuté de 40 % — l'usage devient réellement examiné.
Marc Delattre, DSI du Groupe Soreval (eau & énergie, France)
Les offres IaaS sont prises, les SaaS restent largement hors périmètre. Bilan mitigé : la certification a accéléré les infrastructures, pas les applications métier. Double standard maintenu — souverain pour la donnée critique, marché pour le reste.
Piotr Nowak, RSSI Groupe Ferrovial Digital (Pologne)
Un vendredi soir de grève simulé, production paralysée. Constat amer : chaîne de décision créée en deux heures, reconstruction des sauvegardes en dix jours. Le rapport recommande un runbook de reprise testé chaque trimestre, plus tous les deux ans.
Martial Zinsou, Directeur des Systèmes d'Information & stratégie Numérique(France)
Première campagne de contrôle, quatre semaines de préparation, un constat partagé : la cartographie existait, la preuve de sa mise à jour non. Un point mensuel de revalidation avec les responsables métier : seule routine qui transforme un inventaire mort en document opposable.
Ensemble de six DSI auditionnés par la rédaction (France, Belgique, Allemagne)
Cartographie : avancée. Plan de gestion de crise : rédigé, rarement testé. Chaîne d'approvisionnement : le point faible partout. Le verdict : la conformité documentée a progressé, la résilience démontrée beaucoup moins.
Martial Zinsou, Directeur des Systèmes d'Information & stratégie Numérique(France)
Un mail imité de mon président, une facture « urgente », un biais bancaire : l'attaque visait mon service financier, pas mon infrastructure. Notre runbook ne couvrait pas la fraude au dirigeant — réécrit en 48 heures, échoué deux fois au test, tenu au troisième.
Martial Zinsou, Directeur des Systèmes d'Information & stratégie Numérique(France)
La signature manuscrite du DSI sur chaque suppression a transformé un nettoyage technique en signal managérial. Quarante équipes sont venues défendre leurs accès, dix-neuf se sont avérés sans activité liée depuis un an.
Martial Zinsou, Directeur des Systèmes d'Information & stratégie Numérique(France)
Quatre indicateurs, pas un de plus : comptes administrateur créés, sauvegardes testées, alertes de niveau 2 non traitées, accès distants actifs. Quinze minutes, une feuille, des noms propres — c'est ce tableau qui fait bouger les équipes.
Martial Zinsou, Directeur des Systèmes d'Information & stratégie Numérique(France)
Sept outils non déclarés, dont deux pour rédiger des procédures de production. Ni sanction ni interdit : inventaire publié en réunion sans noms, catalogue agréé avec SSO. Six outils sur sept déclarés en six semaines.