Vous n'avez pas d'inventaire, vous avez une intuition.
Toute mission de sécurité bute tôt ou tard sur la même question : qu'est-ce qu'on protège, exactement ? Comment construire un inventaire qui tient dans la durée.
Une voiture équipée d'une alarme, d'un antidémarrage et d'un traqueur GPS se fait voler en trente secondes. L'enquête ne révèle aucun matériel d'espion, aucune technologie de pointe : le propriétaire avait laissé les clés sur le siège. Toute la protection du monde n'a servi à rien, parce qu'un geste élémentaire manquait. Les cyberattaques les plus retentissantes racontent, presque toujours, cette même histoire.
Chaque semaine apporte son lot d'incidents spectaculaires. En 2026, plus de 320 collectivités françaises ont été victimes d'attaques significatives, sans compter les entreprises. Mais quand on remonte à la cause racine, le constat déroute : derrière l'attaque « sophistiquée » se cache presque toujours une faille élémentaire, l'équivalent numérique des clés sur le siège. C'est, au fond, une excellente nouvelle : cela veut dire que l'essentiel du risque se traite avec des mesures connues, à la portée de toutes les organisations.
En résumé
- Une voiture avec alarme, antidémarrage et GPS volée en trente secondes parce que les clés étaient sur le siège : les attaques spectaculaires racontent presque toujours cette histoire.
- Le point d'entrée est rarement un exploit inédit - c'est un mot de passe réutilisé, une absence de MFA, un correctif jamais appliqué, un service exposé par erreur, un clic un jour de fatigue.
- La sophistication, quand elle existe, vient après l'entrée : pour se propager et rester discret, jamais pour la porte elle-même.
- C'est une bonne nouvelle : l'essentiel du risque se traite avec des mesures connues et abordables - MFA, correctifs priorisés, sauvegardes testées, moindre privilège, sensibilisation, préparation.
- Si ces fondamentaux sont négligés, c'est qu'ils sont invisibles quand ils fonctionnent et qu'ils demandent une discipline durable plutôt qu'un projet ponctuel : c'est un sujet de gouvernance autant que de technique.
Le paradoxe de la sophistication
Les récits d'attaques mettent en scène des techniques avancées, des pirates encapuchonnés et des lignes de code qui défilent. Pourtant, le point d'entrée est rarement un exploit inédit. C'est, dans la quasi-totalité des cas : un mot de passe faible ou réutilisé, une absence d'authentification multifacteur, un correctif jamais appliqué, un service exposé par erreur sur Internet, ou un email d'hameçonnage sur lequel quelqu'un a cliqué un jour de fatigue. La sophistication, quand elle existe, vient après l'entrée - pour se propager et rester discret - jamais pour la porte elle-même. Le cambrioleur n'a pas crocheté la serrure : il a tourné une poignée qu'on avait oublié de verrouiller.
Sources : analyses sectorielles et panorama du CERT-FR - voir les liens en bas d'article.
Les fondamentaux qui bloquent la majorité des attaques
Quelques mesures, sans budget démesuré, ferment la plupart des portes :
- Authentification multifacteur généralisée : la mesure au meilleur rapport effort/protection (notre guide MFA).
- Gestion des correctifs priorisée par le risque (du CVE à la remédiation).
- Sauvegardes 3-2-1 testées, seule vraie assurance contre le rançongiciel (notre guide sauvegardes).
- Moindre privilège : limiter ce que chaque compte peut faire.
- Sensibilisation à l'hameçonnage, désormais dopé à l'IA (reconnaître et se protéger).
- Préparation à l'incident : savoir réagir à froid (les premières heures).
La sécurité n'est pas une course à l'outil
Empiler des solutions coûteuses sans tenir les fondamentaux revient à poser une porte blindée sur une fenêtre ouverte. Avant d'investir dans le dernier outil, assurez-vous que les bases sont réellement en place - et le restent dans la durée.
Pourquoi les fondamentaux sont négligés
S'ils sont si efficaces, pourquoi tant d'organisations les négligent ? Parce qu'ils sont invisibles quand ils fonctionnent, peu spectaculaires, et qu'ils supposent une discipline dans la durée plutôt qu'un projet ponctuel. C'est un sujet de gouvernance autant que de technique : quelqu'un doit en être responsable, avec un suivi régulier. Les cadres comme NIS2 et le ReCyF de l'ANSSI ne demandent d'ailleurs pas autre chose : formaliser et tenir ces bases.
En conclusion
La menace progresse, mais la porte d'entrée reste souvent la même : un fondamental négligé. Plutôt que de courir après chaque nouvelle mode technologique, les organisations résilientes tiennent leurs bases avec constance. C'est moins spectaculaire qu'un outil dernier cri, mais c'est ce qui protège vraiment.
Vérifier que vos fondamentaux tiennent
Kenawek évalue votre posture, identifie les fondamentaux manquants et construit une trajectoire réaliste pour les mettre - et les maintenir - en place. Parlons-en.