Comment évolue la sécurité, de la prévention à la réaction face aux menaces

Le paysage de la sécurité des entreprises devient progressivement plus sophistiqué. Les attaques peuvent être automatisées et exploiter des techniques fondées sur l’intelligence artificielle afin d’identifier les vulnérabilités et de rendre les campagnes d’attaque plus efficaces. 

En Suisse également, le niveau de menace reste élevé. Dans son rapport semestriel couvrant le second semestre 2025, l’Office fédéral de la cybersécurité (OFCS) a enregistré une hausse de 108 % du nombre de sites de phishing identifiés, mettant en évidence une vague de menaces en forte croissance, y compris celles reposant sur l’IA. Par ailleurs, les PME sont devenues des cibles privilégiées des cybercriminels, car elles disposent souvent d’une visibilité moindre et de moyens plus limités pour assurer une surveillance continue de leur infrastructure. 

Dans ce contexte, les entreprises doivent prendre en compte une surface d’attaque toujours plus étendue. Il ne s’agit plus uniquement de serveurs, de pare-feu et de postes de travail : il faut également considérer les boîtes mail, les navigateurs, les applications SaaS, les outils de collaboration, les appareils mobiles et les services Cloud. 

Un autre élément doit également être pris en compte : le facteur humain. 

Les e-mails restent en effet l’un des principaux canaux utilisés pour diffuser du phishing, des attaques de type Business Email Compromise, des pièces jointes malveillantes et des liens frauduleux. Une stratégie de sécurité efficace doit donc également agir sur le comportement des utilisateurs, sans pour autant transformer la formation en une simple activité générique et ponctuelle. 

La cybersécurité doit devenir un processus continu, impliquant les personnes, les technologies et les procédures à tous les niveaux de l’organisation. 

La première phase d’une stratégie end-to-end est naturellement la prévention. L’objectif n’est pas seulement d’empêcher une attaque de réussir, mais aussi de réduire les risques qu’elle se produise et de faire en sorte que l’organisation soit prête à en reconnaître les signes avant-coureurs. 

Cela signifie travailler simultanément sur deux fronts : les personnes et la technologie. 

Comme évoqué précédemment, les personnes représentent souvent l’un des principaux points d’entrée des menaces externes dans l’écosystème de l’entreprise. C’est pourquoi la formation à la sécurité ne peut se limiter à un cours initial ou à une communication ponctuelle. 

Un programme de Security Awareness doit être continu, mesurable et intégré au quotidien de l’organisation. Des solutions SaaS telles que FortiSAT de Fortinet permettent, par exemple, de combiner différents niveaux de formation : modules de base d’environ 8 à 10 minutes avec des quiz, sessions de micro-learning et bien plus encore. 

La formation peut être complétée par des campagnes de simulation d’attaques de phishing, qui permettent de vérifier concrètement la capacité des utilisateurs à reconnaître une menace. L’intérêt de ces activités n’est pas de culpabiliser les personnes qui commettent une erreur, mais d’identifier les zones les plus exposées et d’intervenir au moyen d’une formation ciblée. 

La Security Awareness devient ainsi une composante à part entière de la posture de sécurité et peut également contribuer à répondre aux exigences de cadres de référence et de réglementations tels que ISO/IEC 27001:2022, NIS2, GDPR, DORA, PCI DSS et NIST SP 800-50. 

La sensibilisation des utilisateurs doit s’accompagner d’une protection technique à plusieurs niveaux. La sécurité des e-mails constitue un premier niveau de protection, mais il ne suffit pas toujours de protéger exclusivement le client de messagerie. Les environnements de travail modernes comprennent en effet des plateformes et des outils de collaboration tels que Microsoft 365, Google Workspace, Teams, SharePoint, OneDrive et Slack, qui doivent être considérés comme faisant partie intégrante du périmètre de sécurité. 

Il en va de même pour le réseau et les endpoints. Les pare-feu de nouvelle génération (Next-Generation Firewall), tels que FortiGate, peuvent contribuer à segmenter le trafic et à appliquer des fonctionnalités IPS, Web Filtering et Antivirus, tandis que la protection des endpoints peut être gérée au moyen d’agents centralisés tels que Forticlient managé par un Server EMS (Endpoint Management Server). 

L’objectif est de construire une défense multicouche, dans laquelle le franchissement d’une seule barrière ne signifie pas automatiquement la compromission de l’ensemble de l’environnement. 

Même la meilleure stratégie de prévention ne peut garantir qu’une organisation ne subira jamais d’attaque. C’est là qu’intervient le deuxième élément de la sécurité end-to-end : la capacité à détecter rapidement ce qui se passe. 

Une menace qui n’est pas détectée peut continuer à agir sans être inquiétée. À l’inverse, la possibilité d’identifier immédiatement un comportement anormal réduit le temps dont dispose l’attaquant et permet d’intervenir avant que l’incident n’entraîne des conséquences plus étendues. 

Pour obtenir cette visibilité, il est nécessaire de collecter et d’analyser en continu les événements générés par l’infrastructure. 

• Analyse des logs. Les logs provenant du réseau et des endpoints doivent être centralisés et analysés en temps réel. Des référentiels dédiés, tels que FortiAnalyzer, permettent de collecter ces informations et de les rendre disponibles pour les activités d’analyse ultérieures.
• Filtrage des événements pertinents. La quantité de données générée par une infrastructure moderne est toutefois considérable. Analyser manuellement chaque événement n’est pas réaliste et risque de créer un autre problème, très humain : la alert fatigue, un état de désensibilisation psychologique et cognitive qui survient lorsque les opérateurs sont bombardés de notifications excessives. C’est pourquoi interviennent la corrélation des événements, les règles fondées sur des signatures et les techniques de Machine Learning. L’objectif est de passer de millions d’événements à un nombre beaucoup plus restreint d’anomalies nécessitant réellement l’attention des analystes.
• Threat Intelligence. Cette activité est complétée par la Threat Intelligence, qui permet d’enrichir les événements avec des informations provenant de sources mondiales, telles que les flux de FortiGuard Labs. La cartographie des événements selon le framework MITRE ATT&CK permet également de contextualiser le comportement observé et de comprendre à quelle étape du parcours d’attaque se situe la menace.

Il ne s’agit donc pas d’évaluer une alerte à la fois, mais de transformer une quantité considérable de données en informations utiles pour prendre des décisions éclairées. 

Le Security Operations Center est l’entité au sein de laquelle la surveillance, l’analyse et la réponse sont intégrées dans un processus continu. 

Sa mission consiste à surveiller l’écosystème 24 h/24 et 7 j/7, à signaler les anomalies, à comprendre la nature de l’événement, à en évaluer la gravité et à déclencher les actions nécessaires. 

Le cycle opérationnel peut être décomposé en sept phases : 

• Protect, qui concerne la configuration et la gestion des défenses périmétriques et des endpoints.
• Logging, c’est-à-dire la collecte et l’analyse centralisées des données générées par l’infrastructure.
• Detect, à savoir l’identification des activités anormales grâce à la corrélation des événements et à l’utilisation de techniques d’analyse et d’intelligence artificielle.
• Investigate, pour approfondir l’analyse de l’alerte, distinguer un événement réellement dangereux d’un faux positif et situer l’activité observée dans la Cyber Kill Chain.
• Escalate, lorsque l’incident est classé selon son niveau de gravité, par exemple au moyen de niveaux P1-P4, et pris en charge conformément à des procédures et à des SLA définis.
• Remediate, la phase durant laquelle l’Incident Response Team intervient pour contenir l’attaque, en isolant les hosts compromis, en bloquant les indicateurs malveillants et en travaillant au rétablissement des opérations.
• Improve, car une fois l’incident traité, il est nécessaire d’analyser ce qui s’est passé, de comprendre quelles défenses ont fonctionné et lesquelles doivent être améliorées, puis de mettre à jour les règles et les procédures en conséquence.

La valeur de ce modèle réside précisément dans la continuité et la circularité du processus : l’incident ne marque pas la fin des activités de sécurité, mais devient une source d’informations permettant de renforcer la posture de sécurité de l’organisation à l’avenir. 

La post-incident review permet en effet de transformer l’expérience en amélioration concrète : les informations recueillies lors de la violation peuvent être utilisées pour mettre à jour les règles de détection, modifier les politiques, renforcer la formation des utilisateurs et intervenir sur les configurations de l’infrastructure. 

Avec Tinext Cloud, la prévention, la surveillance et la réponse ne sont donc pas trois activités indépendantes, mais les composantes d’un processus unique d’optimisation et d’amélioration continue. 

Pour de nombreuses organisations, notamment lorsqu’il n’est pas possible de disposer en interne d’une équipe spécialisée opérationnelle 24 heures sur 24, le recours à un service managé tel que le SOC-as-a-Service peut représenter un moyen de renforcer leurs défenses de manière « holistique ». 

L’évolution de la cybersécurité passe donc par un changement de perspective : passer de la réaction à une attaque à une stratégie end-to-end circulaire et continue.