Pourquoi les organisations confondent stratégie IT et stratégie cyber

Deux logiques fondamentalement différentes

La stratégie IT et la stratégie cyber répondent à des questions fondamentalement différentes. La stratégie IT répond à : quels systèmes, quelles technologies, quelle architecture permettent à l'organisation d'atteindre ses objectifs opérationnels et commerciaux avec la meilleure efficacité ? La stratégie cyber répond à : quels risques les systèmes déployés génèrent-ils, comment les maîtriser, et quel niveau d'exposition est acceptable en regard des objectifs de l'organisation ? La stratégie IT est une stratégie d'optimisation et d'innovation. La stratégie cyber est une stratégie de maîtrise des risques. Les deux sont nécessaires — et leur confusion conduit à des décisions qui optimisent l'une au détriment de l'autre.

Comment la confusion se manifeste concrètement

La confusion entre stratégie IT et stratégie cyber se manifeste de plusieurs manières dans les organisations. Le budget de cybersécurité est traité comme une ligne du budget IT, et non comme un investissement autonome répondant à des risques spécifiques. La roadmap de sécurité est construite en prolongement de la roadmap technologique, sans évaluation indépendante des risques. Les décisions d'architecture sont prises par les équipes IT pour des raisons de performance et de coût, sans consultation systématique des équipes de sécurité sur les implications en termes d'exposition. Et le RSSI, quand il existe, dépend hiérarchiquement du DSI — ce qui le prive de l'indépendance nécessaire pour contrebalancer les choix technologiques.

Les conséquences d'investissements déséquilibrés

Quand la stratégie IT progresse sans stratégie cyber indépendante, les investissements technologiques et les investissements de sécurité évoluent à des rythmes différents. L'organisation déploie de nouvelles capacités — cloud, mobilité, automatisation, APIs — sans renforcer parallèlement les dispositifs de protection et de surveillance correspondants. La surface d'exposition s'élargit plus vite que la capacité à la surveiller et à la protéger. Ce déséquilibre est invisible dans les indicateurs de performance IT — qui mesurent la disponibilité, la performance et la satisfaction utilisateur. Il n'est révélé que lors d'un incident cyber, qui expose alors l'écart entre la sophistication technologique et la maturité de la protection.

Construire une stratégie cyber indépendante

Une stratégie cyber doit être construite indépendamment de la feuille de route IT, en réponse aux menaces réelles identifiées et aux risques propres de l'organisation. Elle ne part pas des technologies déployées pour en déduire les risques à couvrir — elle part des actifs à protéger et des menaces qui pèsent sur eux pour définir les mesures nécessaires. Elle inclut une vision sur trois à cinq ans de l'évolution de l'exposition — comment les projets de transformation prévus modifient la surface d'attaque — et des objectifs de réduction des risques prioritaires mesurables dans le temps. Cette stratégie est présentée à la direction indépendamment du plan IT, et fait l'objet d'arbitrages budgétaires distincts.

L'articulation entre les deux stratégies

L'indépendance des deux stratégies ne signifie pas leur séparation. La stratégie IT et la stratégie cyber doivent être articulées, avec des mécanismes qui garantissent que les évolutions IT sont évaluées au regard de leurs implications cyber avant leur déploiement. Cette articulation peut prendre la forme d'une revue de sécurité obligatoire pour tous les projets IT au-dessus d'un certain seuil, d'une participation systématique du RSSI aux instances de décision IT, ou d'un processus de validation croisée des budgets IT et cyber. L'objectif est que les deux stratégies progressent de concert, sans que l'une ne précède l'autre de plusieurs années.