Lorsqu’une organisation commence à travailler sur l’adaptation au NIS2, l’une des premières questions est souvent posée :
« Quel logiciel dois-je mettre en œuvre ?
La question semble logique.
Mais ce n’est pas la bonne question. Le NIS2 ne nécessite pas d’outils concrets. Il nécessite des capacités organisationnelles et techniques :
✔ Gestion des risques
✔ Gestion des incidents
✔ Sécurité de la chaîne d’approvisionnement
✔ Continuité des activités
✔ Gestion des accès
✔ Politiques et procédures
✔ Preuves et traçabilité
✔ Examen et amélioration continue
C’est l’une des erreurs les plus courantes : chercher un outil unique qui couvre tout.
Il n’existe pas.
La réalité ressemble souvent davantage à un écosystème de solutions fonctionnant ensemble.
Gestion des appareils (MDM)
Vous ne pouvez pas protéger ce que vous ne connaissez pas. Avant de parler de cybersécurité, il y a une question beaucoup plus fondamentale :
Quels sont les dispositifs existants au sein de votre organisation ?
Un système MDM permet :
- Inventaire du matériel
- Mise en œuvre de la politique
- Cryptage des appareils
- Gestion à distance
- Contrôle des versions et mises à jour
Exemples courants :
- Microsoft Intune
- Jamf
- VMware Workspace ONE
- Kandji
- Informatique factorielle
Sans visibilité, le reste commence à être construit sur du sable.
Surveillance et détection (SIEM)
La détection tardive d’un incident est souvent beaucoup plus coûteuse que sa prévention.
Les organisations génèrent des milliers ou des millions d’événements :
- accès
- changements
- erreurs
- activité suspecte
- événements liés à la sécurité
Exemples courants :
Protection des points finaux (EDR/XDR)
Les antivirus traditionnels ne suffisent plus.
Aujourd’hui, le problème n’est plus seulement de bloquer les logiciels malveillants.
La véritable différence se situe au niveau de :
- détecter un comportement anormal
- contenir les attaques
- isoler l’équipement
- réagir rapidement
Exemples :
Gestion des identités et des privilèges (IAM / PAM)
Les références restent l’un des principaux points d’entrée pour les incidents.
Cela implique :
- MFA
- privilèges minimaux
- examens réguliers
- gestion des utilisateurs privilégiés
- le contrôle des enregistrements et des radiations
Exemples :
Gestion de la vulnérabilité
Il ne suffit pas de rechercher les vulnérabilités.
Vous avez également besoin de :
- hiérarchisation
- l’allocation
- suivi
- traçabilité
Exemples :
Sauvegarde et récupération
La NIS2 parle explicitement de résilience.
Il ne suffit pas d’avoir des sauvegardes.
Les questions auxquelles il faut répondre sont les suivantes :
- Combien de temps faut-il pour se rétablir ?
- Qu’avons-nous à perdre ?
- Devons-nous tester les copies ?
- Existe-t-il une procédure documentée ?
Exemples :
Gestion des tiers et de la chaîne d’approvisionnement
L’un des principaux changements apportés par NIS2 est que la sécurité ne s’arrête plus à votre entreprise.
Il atteint également :
- fournisseurs
- partenaires
- sous-traitants
- services en nuage
Exemples :
- Centre fiduciaire Ithikios
- Vanta
- OneTrust – Gestion du risque fournisseur
- Carte de pointage de la sécurité
Formation et sensibilisation
La technologie seule n’élimine pas les risques.
De nombreux incidents continuent d’être d’origine humaine :
- hameçonnage
- mots de passe faibles
- erreurs opérationnelles
- faute professionnelle
Exemples :
Le problème le moins visible
De nombreuses organisations disposent d’outils :
✔ SIEM
✔ EDR
✔ MDM
✔ Sauvegardes
✔ Annuaire d’entreprise
Mais ensuite :
- Les risques vivent dans Excel
- Les politiques sont dans des dossiers partagés
- Les fournisseurs sont gérés par courrier
- Les incidents sont répartis entre les tickets et les documents
- Les preuves sont dispersées
Et lorsqu’un audit se présente, la même question revient toujours : « Où sont les preuves ?
Car le problème n’est généralement pas un manque d’outils.
Le problème réside souvent dans un manque de gouvernance.
La couche qui manque le plus souvent
C’est là qu’une plateforme de gouvernance et de conformité apporte une réelle valeur ajoutée.
Chez Ithikios, nous travaillons précisément sur cette couche :
✔ Gestion des risques
✔ Gestion des incidents
✔ Gestion des tiers
✔ Politiques et procédures
✔ Centre de confiance
✔ Canal de dénonciation
✔ Preuves et traçabilité
Ithikios n’a pas vocation à remplacer des outils spécialisés tels qu’un SIEM, un EDR ou un MDM.
Sa fonction est de relier des éléments épars et de transformer des informations isolées en processus exécutables et vérifiables. Car le véritable défi n’est généralement pas d’avoir trop peu d’outils. Il s’agit de les faire fonctionner ensemble.
