MtoM Mag - Le journal de l'MtoM.

Longtemps perçue comme une préoccupation propre aux grands groupes, la cybersécurité s’est imposée comme une condition de survie pour l’ensemble des entreprises. Continuité d’activité, confiance des clients, compétitivité : tout en dépend désormais. Cette évidence, pourtant, reste largement théorique pour une grande partie de l’économie. Les PME, les ETI et les organisations de taille intermédiaire doivent souvent composer avec des ressources contraintes, souvent sans responsable de la sécurité attitré, parfois sans gouvernance cyber structurée. Elles affrontent néanmoins les mêmes attaquants et les mêmes obligations réglementaires que les multinationales. C’est précisément dans ce décalage entre l’exposition au risque et le niveau réel de protection qu’apparaît ce que l’on peut appeler le seuil de pauvreté cyber : le seuil en deçà duquel une organisation ne réunit plus les conditions minimales pour se protéger.

Les chiffres donnent la mesure du phénomène. Sur les 359 millions d’entreprises recensées dans le monde, moins de 35 000 emploient un RSSI, soit à peine une sur dix mille. Or la plupart des cadres normatifs et des référentiels de conformité présupposent l’existence de cette fonction. Concrètement, l’immense majorité des entreprises est dépourvue de l’expertise stratégique indispensable pour concevoir et conduire un véritable programme de sécurité.

Les limites d’une cybersécurité fragmentée

Pendant des années, la cybersécurité s’est bâtie par sédimentation : une menace, une solution. Pare-feu, EDR, SIEM, MDR, MFA, outils de gouvernance… chaque brique a densifié l’écosystème, mais aussi sa complexité. Multiplier les technologies ne produit pourtant pas mécaniquement une protection solide. Cette course à l’outillage a donné naissance à des architectures onéreuses, difficiles à maîtriser, dont la lourdeur constitue elle-même une vulnérabilité.

Ce qui compte aujourd’hui n’est plus la quantité de solutions déployées, mais leur articulation et leur aptitude à restituer une lecture unifiée du risque. Le seuil de pauvreté cyber ne révèle pas un défaut d’équipement : il traduit une carence de pilotage stratégique. Les organisations possèdent le plus souvent les composants nécessaires ; ce qui leur fait défaut, c’est la capacité à les orchestrer comme un ensemble cohérent, à les piloter, à les affiner et à en évaluer l’efficacité dans la durée.

Cette mission incombe classiquement au RSSI, profil aussi convoité qu’introuvable. Car la sécurité a débordé le champ strictement technique : elle relève désormais de la gouvernance, touchant à la continuité d’activité, à la maîtrise des risques, à la conformité et à l’image de l’entreprise. Le RSSI convertit les alertes techniques en arbitrages opérationnels ; encore faut-il que ce rôle existe, alors qu’il demeure fréquemment vacant, marginalisé ou sous-doté.

Cette fragilité ne se limite d’ailleurs pas aux petites structures. De grands groupes internationaux peuvent eux aussi glisser sous cette ligne lorsque leurs dispositifs de sécurité n’ont pas absorbé leur croissance, leurs rachats ou l’enchevêtrement de leur organisation. À l’inverse, des acteurs plus modestes la franchissent par le haut à force de rigueur. La frontière ne tient donc pas au chiffre d’affaires ni aux effectifs, mais à l’aptitude à gouverner sa cybersécurité sur le long terme.

Rendre l’expertise RSSI accessible à toutes les organisations

Sortir de cette impasse suppose un changement d’échelle. L’objectif n’est pas de transformer chaque PME en centre opérationnel de sécurité, mais de mettre la cybersécurité à la portée d’organisations qui ne disposent pas d’une forte maturité interne. Cela passe par l’industrialisation des fonctions clés de la gouvernance — collecte et analyse des données, surveillance des postures, conformité, continuité d’activité, hiérarchisation des risques — au moyen d’un RSSI augmenté, ou virtuel, adossé à l’automatisation, à l’orchestration et à l’exploitation intelligente des données.

Cette approche répond à une contrainte incontournable : les compétences en cybersécurité sont trop rares pour être internalisées partout. La réponse est donc autant organisationnelle que technologique. La défense doit s’articuler comme un système intégré, dans lequel endpoint, réseau, cloud, identité, SIEM, MDR et threat intelligence partagent un même contexte. À défaut de RSSI, ce système doit pouvoir produire des décisions de niveau RSSI, en s’appuyant sur une IA agentique placée sous la supervision d’experts. L’intelligence collectée à l’échelle de centaines de milliers d’organisations profite alors à chacune d’entre elles.

L’intelligence artificielle amplifie ce mouvement. Devant une télémétrie devenue colossale, elle s’avère incontournable pour trier, corréler et prioriser l’information. L’automatisation cesse d’être un agrément pour devenir une condition de viabilité. L’IA n’en reste pas moins ambivalente : elle ouvre l’accès à des capacités avancées de détection et de réponse, mais elle élargit aussi le fossé entre les organisations capables d’en tirer parti et celles qui décrochent — d’autant que les attaquants s’en emparent également. Loin de dispenser d’une gouvernance cyber, elle la rend plus vitale que jamais, en mobilisant toute l’entreprise, des métiers jusqu’au comité de direction.

Le seuil de pauvreté cyber n’a rien d’une abstraction. Il désigne une vulnérabilité concrète : celle d’entreprises privées des moyens élémentaires de se défendre, alors même qu’elles forment un rouage indispensable de l’économie. Les abandonner durablement à cette précarité, c’est affaiblir la résilience de tous. Rien n’est joué pour autant. Cette situation découle d’un marché qui a longtemps servi en priorité les organisations les plus avancées. En démocratisant l’accès à une gouvernance et à des capacités de sécurité de haut niveau, l’IA agentique rebat les cartes. La cybersécurité ne peut plus s’apparenter à un privilège : elle doit s’imposer comme un standard de résilience.