Un directeur financier reçoit un virement frauduleux de plusieurs dizaines de milliers d’euros, initié après un appel téléphonique où la voix de son PDG a été reproduite par intelligence artificielle. La cybersécurité pour les dirigeants ne se résume plus à valider un budget informatique annuel : elle conditionne la survie opérationnelle de l’entreprise.
Exfiltration de données : le risque que les dirigeants sous-estiment
On parle encore beaucoup de rançongiciels qui chiffrent les serveurs et paralysent la production. Le terrain a changé. Le Panorama de la cybermenace 2025, publié par l’ANSSI le 11 mars 2026, relève une hausse marquée des incidents d’exfiltration de données, alors que les compromissions par rançongiciel reculent légèrement.
A lire aussi : Comment améliorer la performance environnementale d'une entreprise ?
Concrètement, les attaquants ne se contentent plus de bloquer l’accès aux systèmes. Ils copient les données sensibles avant toute négociation. Fichiers clients, contrats fournisseurs, propriété intellectuelle : la menace porte sur la divulgation publique ou la revente, pas sur la restauration d’une sauvegarde.
Pour un dirigeant, cette bascule change la nature de la décision. Restaurer un serveur chiffré est un problème technique, gérable avec un plan de reprise. Gérer une fuite de données clients engage la responsabilité juridique, la relation commerciale et la réputation de l’entreprise sur des mois, parfois des années.
A voir aussi : Etsy est-elle une économie de partage ?
Chaîne logicielle et fournisseurs : un angle mort dans la gouvernance cyber
La plupart des entreprises concentrent leur surveillance sur leur propre système d’information. L’ENISA, dans son Threat Landscape 2025 couvrant la période de juillet 2024 à juin 2025, identifie pourtant un vecteur en forte croissance : les dépendances logicielles et les extensions compromises.
Un composant open source intégré dans une application métier, une extension de navigateur utilisée par le service comptable, un connecteur API vers un prestataire de paie : chacun de ces éléments constitue un point d’entrée potentiel. L’attaquant n’a pas besoin de franchir le pare-feu de l’entreprise si un fournisseur de rang deux lui ouvre la porte.
Ce que cela implique au niveau de la direction
On ne peut pas demander au DSI de cartographier seul toutes les dépendances logicielles. Le sujet remonte au comité de direction parce qu’il touche aux choix de sous-traitance, aux contrats d’achat et aux clauses de responsabilité.
- Auditer les composants tiers utilisés dans les applications critiques, en exigeant de chaque éditeur un inventaire logiciel à jour (SBOM)
- Intégrer des clauses de notification d’incident dans les contrats fournisseurs, avec des délais précis et des pénalités
- Limiter les droits d’accès des connecteurs API au strict nécessaire, en révisant les permissions chaque trimestre
Ingénierie sociale dopée à l’IA : pourquoi la sensibilisation classique ne suffit plus
Former les salariés à repérer un courriel de hameçonnage reste utile, mais le niveau de sophistication a franchi un palier. L’ENISA documente l’usage croissant de l’intelligence artificielle par les groupes malveillants pour produire des campagnes de manipulation plus crédibles.
On ne parle plus d’un mail truffé de fautes d’orthographe. Les attaquants génèrent des messages contextualisés, parfois vocaux, qui reproduisent le ton et les habitudes de communication d’un interlocuteur connu. Un faux message du directeur des achats demandant de modifier un RIB fournisseur peut résister à un premier réflexe de vérification.
Revoir les procédures avant d’augmenter les budgets
La réponse n’est pas uniquement technologique. Un dirigeant qui valide un virement de plus de cinq mille euros sur la base d’un simple appel téléphonique expose son entreprise, quelle que soit la qualité de l’antivirus.
- Mettre en place une double validation systématique pour tout changement de coordonnées bancaires, y compris celles de partenaires historiques
- Instaurer un contre-appel sur un numéro préenregistré (pas celui indiqué dans le message reçu) pour toute demande financière urgente
- Simuler des attaques d’ingénierie sociale au moins deux fois par an, en variant les scénarios et les canaux (mail, téléphone, messagerie interne)
Directive NIS 2 et responsabilité des dirigeants : ce qui change en pratique
La directive européenne NIS 2 élargit le périmètre des organisations concernées par des obligations de cybersécurité. Les dirigeants deviennent personnellement responsables de la conformité de leur organisation aux mesures de gestion des risques cyber.
Attendre la transposition nationale complète pour agir serait une erreur tactique. Les exigences portent sur des fondamentaux qui demandent du temps à mettre en place : politique de gestion des risques formalisée, procédures de notification d’incident sous délai contraint, gouvernance documentée avec implication de la direction.
Prioriser trois chantiers sans attendre
Plutôt que de viser une conformité exhaustive d’un coup, on peut structurer la démarche autour de trois axes concrets. Le premier concerne la cartographie des actifs critiques : savoir précisément quels systèmes, données et processus conditionnent la continuité d’activité.
Le deuxième porte sur la formalisation d’un plan de réponse à incident testé au moins une fois par an avec les membres du comité de direction. Le troisième cible la traçabilité des décisions de sécurité, pour démontrer que la direction pilote activement le sujet et ne le délègue pas intégralement à l’équipe technique.
La cybersécurité n’est plus un poste budgétaire que l’on arbitre en fin d’exercice. Quand le risque principal se déplace vers l’exfiltration silencieuse de données, quand un fournisseur compromis suffit à exposer toute une organisation, la décision de sécurité est une décision de direction, au même titre qu’un investissement ou qu’un recrutement stratégique.
