La cybersécurité au-delà de la technologie

Ma conviction est née de mon travail à l’intersection même de ces disciplines, là où elles entrent constamment en collision. J’ai examiné plus de 2 500 ventures technologiques, aidé à lever plus de 40 millions de dollars, conseillé des entreprises entrant sur les marchés asiatiques et travaillé directement avec des entreprises de cybersécurité, des grands groupes, des investisseurs et des acteurs du secteur public. Au fil de ces expériences, j’ai toujours observé le même schéma. Une entreprise pouvait posséder une excellente technologie mais échouer à devenir investissable parce que sa gouvernance, son modèle commercial ou sa posture de sécurité étaient faibles. Une autre pouvait être bien financée mais incapable de convertir ce capital en une innovation défendable. Une troisième pouvait croître rapidement, puis découvrir qu’un seul incident cyber avait détruit la confiance sur laquelle reposaient sa valorisation et son accès au marché.

L’investissement détermine quelles technologies reçoivent le temps et les ressources nécessaires pour passer à l’échelle. La stratégie d’innovation détermine si ces ressources produisent une entreprise pertinente et différenciée. La cybersécurité détermine si les clients, les régulateurs, les partenaires et les investisseurs peuvent faire confiance à cette entreprise à grande échelle. Il ne s’agit pas de préoccupations adjacentes. Elles forment une seule et même chaîne de création de valeur et de risque. Dans les industries numériques, la cybersécurité n’est pas simplement une fonction protectrice ajoutée après l’innovation. Elle fait partie de la qualité du produit, de la résilience de l’entreprise, de la confiance des clients, de la due diligence et, en fin de compte, de la valorisation.

Cela est particulièrement vrai en Asie, où l’entrée sur un marché est façonnée par la régulation nationale, la politique industrielle, les relations locales, la souveraineté des données, les structures d’achat et les considérations géopolitiques. Le même produit peut faire face à des attentes totalement différentes au Japon, en Corée du Sud, à Singapour, en Indonésie ou en Thaïlande. Le capital sans stratégie locale est facilement gaspillé. L’innovation sans compréhension institutionnelle est difficile à commercialiser. La cybersécurité sans contexte commercial devient un exercice technique que les conseils d’administration et les clients peinent à valoriser.

Je considère donc ce défi stratégique comme une question d’alignement. Le capital, la technologie, l’accès au marché, la gouvernance et la sécurité doivent se renforcer mutuellement. Lorsqu’ils sont séparés, les entreprises créent des failles invisibles. Lorsqu’ils sont intégrés, l’innovation devient plus investissable, plus digne de confiance et plus capable de traverser les frontières.

L’excellence technique est nécessaire, mais ce n’est que le début. Une entreprise techniquement impressionnante a construit quelque chose de difficile. Une entreprise prête à s’internationaliser a construit un système reproductible autour de cette technologie. Elle peut en expliquer clairement la valeur, la déployer de manière fiable, l’accompagner localement, la tarifer intelligemment, satisfaire aux exigences des achats et permettre aux clients et aux partenaires de l’utiliser sans dépendre du fondateur pour chaque conversation importante.

Je teste généralement cette préparation par des questions pratiques. Un commercial local peut-il expliquer le produit en trois minutes à un dirigeant non technique ? Un partenaire peut-il le démontrer correctement sans la présence de l’équipe d’ingénierie ? La documentation, les licences, les niveaux de service, les options de déploiement et les exigences d’intégration sont-ils clairs ? L’entreprise comprend-elle où son produit s’insère dans l’architecture et le budget existants du client ? Peut-elle produire des références crédibles, répondre aux revues juridiques et de sécurité, et accompagner le client après la signature du contrat ? Si la réponse à ces questions est non, l’entreprise possède peut-être une invention, mais elle n’a pas encore un business exportable.

Le passage à l’échelle internationale exige également une humilité stratégique. Trop d’entreprises supposent que le succès sur leur marché domestique prouve que le même positionnement, la même tarification, le même cycle de vente et la même structure de canaux fonctionneront ailleurs. C’est rarement le cas. Le Japon peut exiger une documentation extensive et une longue construction de consensus en interne. Les marchés d’Asie du Sud-Est peuvent requérir des relations locales plus fortes, des modèles commerciaux flexibles et un engagement persistant sur le terrain. Singapour peut fournir une crédibilité régionale, mais ce n’est pas un substitut à la localisation dans d’autres pays.

Le facteur décisif est de savoir si l’équipe de direction est prête à s’adapter sans diluer la valeur fondamentale de la technologie. Une véritable mise à l’échelle repose sur une localisation disciplinée, une économie de partenaires solide, une cohérence opérationnelle et la capacité d’apprendre de chaque marché. La technologie ouvre la porte. La préparation organisationnelle détermine si l’entreprise peut la franchir de manière répétée.

Les trois sont essentiels, mais la confiance locale est généralement le facteur décisif une fois que le produit a atteint le seuil minimum de crédibilité technique. La cybersécurité diffère de nombreuses autres catégories technologiques car le client n’achète pas simplement une fonctionnalité. Le client peut accorder l’accès à des systèmes sensibles, accepter un certain degré de dépendance opérationnelle et s’appuyer sur le vendeur lors de moments de crise. Un produit techniquement supérieur peut tout de même échouer si l’acheteur n’a pas confiance en l’entreprise, en ses équipes, en son modèle de support ou en son engagement à long terme sur le marché.

La performance technique permet à une entreprise d’être considérée. La confiance locale lui permet de survivre à l’examen minutieux. Les partenariats institutionnels permettent à cette confiance de passer à l’échelle. La séquence importe. Sans performance, la confiance finit par s’effondrer. Sans confiance, la performance ne sera peut-être jamais testée. Sans institutions et partenaires locaux crédibles, même un vendeur de confiance peut rester cantonné à un petit nombre d’opportunités isolées.

En pratique, la confiance se construit par une présence locale constante, une communication transparente, des revendications réalistes, des références crédibles et des partenaires qui comprennent à la fois la technologie et l’environnement du client. Un partenaire local ne doit pas être traité simplement comme un revendeur basé sur la commission dont le seul rôle est d’ouvrir des portes. En cybersécurité, le partenaire fait souvent partie du modèle d’assurance. Les clients peuvent dépendre de ce partenaire pour l’intégration, la réponse aux incidents, la formation, l’interprétation réglementaire et la communication exécutive.

J’ai eu la chance de travailler avec plus de dix entreprises de cybersécurité, dont NPCore en Corée du Sud, P.O.TECH à Chypre et swIDch au Royaume-Uni. Soutenir leur croissance internationale a renforcé cette vision. Bien que ces entreprises opèrent dans différents domaines de la cybersécurité, leur expansion à travers les marchés asiatiques dépend des mêmes fondamentaux. Une technologie forte crée un intérêt initial, mais des progrès durables nécessitent des partenaires locaux capables de communiquer sa valeur avec précision, d’accompagner les clients après le déploiement, de naviguer dans les attentes institutionnelles et de démontrer que le vendeur s’engage sur le marché au-delà d’une simple transaction.

Les relations institutionnelles sont particulièrement importantes sur les marchés où les agences gouvernementales, les grands conglomérats, les industries réglementées et les organismes nationaux de cybersécurité influencent les normes d’achat et les décisions d’achat. Cependant, de telles relations ne peuvent compenser un produit immature ou une mauvaise exécution. Mon point de vue n’est pas qu’un facteur remplace les autres. La performance technique est le fondement, la confiance locale est le mécanisme de décision et les partenariats institutionnels sont le multiplicateur de force.

L’erreur la plus courante est de traiter l’Asie comme un marché unique. C’est une étiquette géographique, pas un environnement commercial unifié. Les systèmes réglementaires, les pratiques d’achat, les perceptions des risques, les exigences linguistiques, les structures de canaux et les cultures de prise de décision du Japon, de la Corée du Sud, de Singapour, de la Malaisie, de l’Indonésie, de la Thaïlande, du Vietnam et des Philippines sont matériellement différents. Une stratégie régionale construite autour d’une seule présentation, d’une seule liste de prix et d’un seul modèle de distributeur est généralement le signe que l’entreprise n’a pas encore compris la région.

Une deuxième erreur est de supposer que le risque cyber visible crée automatiquement un budget immédiat. Les entreprises étrangères arrivent souvent avec des statistiques de menaces solides et s’attendent à ce que les clients réagissent avec urgence. Mais la demande, le budget et l’autorité d’achat sont trois choses différentes. Un client peut reconnaître le risque mais ne pas encore avoir de cycle budgétaire, de sponsor exécutif, d’architecture approuvée ou de partenaire de mise en œuvre de confiance. C’est pourquoi le développement patient du marché importe plus que les démonstrations répétées.

Les entreprises comprennent aussi mal le rôle des relations. Sur de nombreux marchés asiatiques, les relations ne sont pas un substitut à la compétence, ni un raccourci informel pour contourner les achats. Elles font partie de l’infrastructure opérationnelle de la confiance. Les clients veulent la preuve que le vendeur restera engagé après le pilote, répondra pendant un incident, s’adaptera aux exigences locales et protégera la réputation de tous les impliqués. Cette confiance prend du temps à se construire.

Enfin, les vendeurs étrangers surestiment souvent la valeur du prestige mondial et sous-estiment l’importance de la localisation. Une marque internationale forte peut sécuriser le premier rendez-vous, mais elle ne répondra pas aux questions sur le reporting en langue locale, la gestion des données, l’intégration, le support, la régulation ou les références clients. La bonne approche est pays par pays. Une vision régionale est utile, mais l’exécution doit être locale.

Un conseil d’administration doit comprendre que le risque cyber est une question de survie de l’entreprise, et non simplement de sécurité des systèmes. Les équipes techniques peuvent évaluer les vulnérabilités, configurer les contrôles, surveiller les réseaux et répondre aux incidents. Elles ne peuvent pas déterminer l’appétence au risque de l’organisation, décider quelles opérations doivent continuer sous attaque, approuver des investissements majeurs en résilience ou équilibrer l’exposition cyber avec l’ambition commerciale. Ce sont des décisions de gouvernance et donc des responsabilités du conseil.

Le conseil doit également comprendre que la surveillance interne n’est qu’une partie de la défense cyber. Une organisation peut maintenir des contrôles internes solides et être tout de même exposée par des fournisseurs compromis, des appareils personnels, des malwares de type infostealer, la réutilisation d’identifiants, d’anciens employés, des plateformes cloud, des sous-traitants ou des violations survenues des années plus tôt. Une fois que des identifiants, des documents internes, des enregistrements clients, du code source ou des informations opérationnelles apparaissent sur des places de marché du dark web ou des canaux Telegram criminels, même en petites quantités, ils peuvent devenir la matière première d’une attaque beaucoup plus large.

Les anciennes données ne doivent pas automatiquement être traitées comme des données inoffensives. Un mot de passe issu d’une violation antérieure peut encore fonctionner sur un autre système. Un annuaire d’employés obsolète peut aider les attaquants à identifier les dirigeants et les administrateurs. Une petite collection de documents internes peut révéler des conventions de nommage, des fournisseurs, des technologies, des formats d’email et des processus d’approbation. Les groupes criminels peuvent combiner des fragments de différentes violations avec des informations disponibles publiquement, de l’ingénierie sociale, de l’intelligence artificielle et des vulnérabilités nouvellement découvertes. Ce qui apparaît comme une fuite isolée peut donc devenir le fondement d’un ransomware, d’une compromission de messagerie professionnelle, d’un vol d’identité, d’une intrusion dans la chaîne d’approvisionnement ou d’une attaque ciblée contre la haute direction.

C’est pourquoi les conseils d’administration doivent exiger une visibilité au-delà du réseau de l’entreprise. Ils doivent demander si l’organisation surveille les identifiants divulgués, l’usurpation d’identité, les infrastructures exposées, les domaines frauduleux, les discussions criminelles, les violations de tiers et les signes que les données de l’entreprise sont échangées ou réutilisées. La surveillance externe des menaces ne doit pas être traitée comme une fonction de renseignement optionnelle. Elle doit alimenter les contrôles d’identité, la réponse aux incidents, la protection des dirigeants, la gestion des fournisseurs, la prévention de la fraude et les décisions de risque stratégique.

Le conseil doit savoir quels actifs et processus métier sont véritablement critiques, combien de temps l’organisation peut fonctionner sans eux, et ce qui se passerait si l’intégrité de ses données, de ses identités ou de ses systèmes de décision ne pouvait plus être fiable. Il doit comprendre le risque de concentration dans les services cloud, les fournisseurs, les plateformes logicielles et les prestataires externalisés. Il doit également savoir si les sauvegardes peuvent réellement être restaurées, si l’autorité de crise est claire, et si l’entreprise peut communiquer de manière crédible avec les régulateurs, les clients, les employés, les investisseurs et le public lors d’un incident majeur.

Les conseils d’administration demandent souvent si l’entreprise est en sécurité. C’est la mauvaise question car aucune organisation sérieuse ne peut garantir une sécurité complète. De meilleures questions sont de savoir si l’entreprise peut identifier les signes avant-coureurs externes, détecter une activité anormale tôt, contenir les dommages, fonctionner dans un état dégradé, se remettre d’une base de référence de confiance et prendre des décisions difficiles rapidement. Le conseil doit tester régulièrement ces questions par des exercices réalistes impliquant non seulement le CISO, mais aussi la finance, le juridique, la communication, les opérations, les ressources humaines et la direction métier.

Le risque cyber ne peut pas être délégué car la responsabilité ne peut pas être déléguée. Un incident majeur peut affecter les revenus, la sécurité, la position réglementaire, la valeur des fusions-acquisitions, la confiance des clients et la crédibilité des dirigeants en même temps. Le conseil n’a pas besoin de gérer les pare-feu, mais il doit comprendre que les menaces peuvent se développer à la fois à l’intérieur et à l’extérieur de l’organisation. Il doit gouverner les conséquences de l’échec et s’assurer que la résilience est financée avant qu’une crise ne rende le coût inévitable.

La décision de management la plus efficace est de rendre chaque leader métier responsable de la sécurité des processus, des données, des personnes, de la technologie et des fournisseurs sous son contrôle, tout en donnant aux employés une autorité claire pour escalader et agir rapidement lorsqu’une menace apparaît. Tant que la cybersécurité est mesurée uniquement à travers le budget du CISO, l’achèvement de la formation annuelle, les documents de politique ou les résultats d’audit, le reste de l’organisation continuera de la traiter comme la responsabilité de quelqu’un d’autre. La culture change lorsque la propriété opérationnelle et l’autorité de prise de décision changent.

Cela est particulièrement important car les cybercriminels et les pirates malveillants opèrent sous un modèle fondamentalement différent de celui des organisations qu’ils attaquent. Ce sont souvent des innovateurs agressifs. Ils expérimentent constamment, échangent des outils et des techniques, automatisent leurs opérations, apprennent de leurs attaques ratées et changent de tactique sans attendre l’approbation d’un comité. Ils n’ont pas besoin de consulter les équipes juridiques, les départements achats, les conseils d’administration, les régulateurs ou plusieurs couches de management avant d’essayer une nouvelle méthode.

Les défenseurs, en revanche, travaillent à l’intérieur d’organisations légitimes qui exigent gouvernance, responsabilité, documentation, contrôles budgétaires, revue juridique et stabilité opérationnelle. Ces procédures sont compréhensibles et souvent nécessaires. Cependant, une bureaucratie excessive peut devenir une faiblesse de sécurité sérieuse lorsqu’une activité suspecte doit passer par plusieurs lignes de reporting, des comités d’approbation et des frontières départementales avant que quiconque ne soit autorisé à agir. Un attaquant peut n’avoir besoin que de quelques minutes pour exploiter un identifiant ou se déplacer latéralement, tandis que l’organisation défendante peut prendre des heures ou des jours pour décider si un incident est assez grave pour être contenu.

Le management doit donc concevoir la gouvernance de la sécurité pour la vitesse autant que pour le contrôle. Les employés doivent savoir exactement où signaler une activité suspecte. Les équipes de sécurité doivent avoir une autorité pré-approuvée pour isoler les appareils, suspendre les comptes, bloquer les infrastructures malveillantes, préserver les preuves et lancer les procédures de crise lorsque des seuils définis sont atteints. Les leaders métier doivent comprendre à l’avance quels services peuvent être temporairement interrompus pour empêcher une perte beaucoup plus importante. Une action rapide ne doit pas dépendre de la localisation d’un dirigeant senior pendant les premières minutes critiques d’une attaque.

La responsabilité doit également être intégrée dans les tableaux de bord de management et les revues d’affaires normales. Un leader commercial doit être responsable de la manière dont les données clients sont collectées, partagées et stockées. Un leader des achats doit être responsable de l’accès des fournisseurs et de l’exposition des tiers. Un leader produit doit être responsable de la conception sécurisée et des délais de correction. Un leader des opérations doit être responsable des exercices de récupération et des procédures de continuité. Les ressources humaines doivent être responsables des changements d’accès lorsque les employés rejoignent, changent de rôle ou quittent l’entreprise. L’équipe de sécurité doit fournir l’expertise, le challenge, le renseignement et la supervision, mais elle ne doit pas être tenue de porter la responsabilité des décisions commerciales prises ailleurs.

Le management doit également créer un environnement dans lequel les gens signalent immédiatement les erreurs et les activités suspectes. Les employés ne doivent pas craindre une punition automatique pour avoir admis qu’ils ont cliqué sur un lien malveillant, partagé des informations avec le mauvais destinataire ou approuvé une demande suspecte, à condition qu’ils le signalent rapidement et honnêtement. La dissimulation, les violations délibérées de la politique et la négligence répétée doivent avoir des conséquences, mais le signalement rapide doit être reconnu comme une contribution à la résilience organisationnelle. C’est une décision de management, pas un contrôle technique.

L’objectif est de faire du comportement sécurisé une partie intégrante de la façon dont le travail est conçu, approuvé, mesuré et corrigé. La sécurité doit être présente dans le développement de produits, les achats, l’intégration des fournisseurs, les décisions d’accès, les revues de performance, les réunions de direction et les exercices opérationnels. Elle doit également inclure des scénarios réalistes dans lesquels les canaux d’approbation normaux sont indisponibles ou trop lents. Les organisations doivent s’entraîner à prendre des décisions difficiles sous pression avant qu’un attaquant réel ne les y oblige.

La cybersécurité devient une pratique organisationnelle quotidienne lorsque les managers acceptent que la conformité prouve seulement que des procédures existent. Elle ne prouve pas que l’organisation peut répondre à la vitesse d’un attaquant. La culture la plus forte combine responsabilité, signalement précoce, awareness décentralisée et autorité clairement définie pour une action rapide.

Le premier changement doit concerner le modèle opérationnel de l’industrie, et non simplement sa stratégie tarifaire ou son mix de produits. L’Europe a souvent utilisé la régulation pour protéger les consommateurs, les industries et les intérêts stratégiques, et une certaine protection peut être justifiée lorsque la concurrence est faussée. Mais la régulation ne peut que créer du temps. Elle ne peut pas créer de véhicules compétitifs, un développement logiciel plus rapide, des coûts plus bas, des écosystèmes de batteries plus solides ou de meilleures expériences numériques. Si l’Europe utilise la régulation pour ralentir la concurrence externe sans utiliser ce temps pour accélérer l’innovation interne, elle protégera les structures existantes tout en tombant davantage en retard sur la direction principale de l’industrie.

Les constructeurs chinois ne concurrencent pas uniquement par des véhicules électriques moins chers. Les entreprises les plus fortes combinent batteries, électronique de puissance, logiciels, données, aide avancée à la conduite, itération rapide des produits, contrôle de la chaîne d’approvisionnement et économie de fabrication disciplinée. Elles développent souvent autour d’une architecture de véhicule défini par le logiciel plutôt que de traiter le logiciel comme une fonctionnalité supplémentaire attachée à une plateforme mécanique traditionnelle. Cela leur permet d’apprendre plus vite des clients, de mettre à jour les produits plus fréquemment et de réduire les cycles de développement.

Les constructeurs européens doivent donc aller au-delà du débat étroit sur les moteurs à combustion interne, les hybrides et les véhicules électriques à batterie. Le groupe motopropulseur reste important, mais la compétition plus large concerne la couche d’intelligence numérique du véhicule. L’Europe a besoin de capacités logicielles et d’IA internes plus fortes, d’architectures électroniques plus centralisées, de cycles de décision plus courts, d’une coopération plus profonde à travers les batteries et les semi-conducteurs, et de systèmes de management qui donnent aux équipes d’ingénierie plus de vitesse et de responsabilité.

L’Europe ne doit pas copier la Chine aveuglément. Elle a des forces en matière de sécurité, d’ingénierie, de marques premium, de qualité industrielle et de régulation. Mais elle doit comprendre l’ampleur et la direction du changement. Une régulation stratégique doit être associée à un investissement agressif, à l’expérimentation, aux infrastructures et au renouvellement industriel. Sinon, la protection devient une pause défensive plutôt qu’une stratégie compétitive.

La dimension la plus sous-estimée est la capacité à continuer à opérer et à reconstruire lorsque la confiance numérique elle-même a été compromise. La plupart des organisations se concentrent encore sur la prévention de l’intrusion et la détection d’activité malveillante. Ces capacités restent essentielles, mais d’ici 2030, le problème le plus difficile sera de déterminer ce qui peut encore être digne de confiance après qu’une attaque a traversé les systèmes d’identité, les plateformes cloud, les chaînes d’approvisionnement logicielles, la technologie opérationnelle, les services d’IA et les fournisseurs tiers.

Une organisation peut posséder des sauvegardes et être tout de même incapable de récupérer si les identités privilégiées sont compromises, si les images logicielles sont contaminées, si les données de configuration ne sont pas fiables, ou si le même attaquant reste à l’intérieur de l’environnement de récupération. Les gouvernements peuvent avoir des plans de réponse sectoriels et peiner tout de même lorsque les télécommunications, l’énergie, la finance, les transports, les soins de santé et l’administration publique sont perturbés en même temps par des dépendances numériques partagées.

La résilience exige donc plus qu’une infrastructure redondante. Elle exige des environnements de récupération connus comme bons, une restauration d’identité indépendante, des sauvegardes immuables et testées, des procédures opérationnelles manuelles, des communications segmentées, des bases matérielles et logicielles de confiance, et une autorité claire pour prendre des décisions sous incertitude. Elle exige également une cartographie honnête des chaînes de dépendance. De nombreuses organisations connaissent leurs fournisseurs directs mais pas le cloud, les logiciels, les données et les services d’identité dont ces fournisseurs dépendent.

La question stratégique pour 2030 n’est pas simplement de savoir si une attaque peut être arrêtée. C’est de savoir si les fonctions essentielles peuvent continuer dans un état dégradé et si les institutions peuvent restaurer des opérations de confiance sans amplifier les dommages. Les gouvernements et les conseils d’administration doivent traiter la coordination de la récupération, la dépendance intersectorielle et la reconstruction de confiance comme des capacités nationales et d’entreprise fondamentales. Les attaquants ciblent de plus en plus les systèmes sur lesquels les organisations s’appuient pour vérifier la réalité. La résilience doit donc inclure la capacité de rétablir la confiance, et non simplement de restaurer des machines.