Pourquoi l’empilement d’outils fragilise la cybersécurité des organisations

Surface d'attaque élargie, pression réglementaire avec NIS2, groupes APT aux aguets — la cybersécurité des entreprises de taille intermédiaire n'a jamais été aussi complexe. Benoit Grünenwald, expert chez ESET France, démonte les fausses bonnes idées et plaide pour une approche radicalement plus cohérente.

Il y a quelques années encore, protéger son système d’information tenait d’une logique d’accumulation. Un antivirus par-là, un pare-feu par-ci, une solution de sauvegarde pour faire bonne mesure. Le résultat ? Des arsenaux hétéroclites, des alertes perdues dans des interfaces que personne ne surveille, et des failles béantes que personne ne voit venir. Benoit Grunenwald, incarnant depuis plus de deux décennies la parole d’ESET en France, a l’habitude de ce constat. Il le formule d’ailleurs sans détour.

Une surface d’attaque qui déborde

Le paysage a changé. Pas progressivement — brusquement. L’intelligence artificielle a ouvert de nouveaux vecteurs d’attaque que peu d’entreprises avaient anticipés. Les modèles eux-mêmes peuvent être ciblés. Les données qui servent à les entraîner aussi. De surcroît, les implémentations, souvent bâclées dans la précipitation du déploiement, constituent autant de portes d’entrée pour des acteurs malveillants de plus en plus organisés.

Mais l’IA agentique, encore émergente, n’est qu’une partie du problème. Ce qui préoccupe Benoit dans l’immédiat, c’est la banalisation de menaces autrefois réservées aux grands groupes. Les faux ordres de virement, les arnaques au président dopées au clonage vocal, les campagnes de désinformation ciblant des entreprises — tout cela descend désormais jusqu’aux PME. Sans oublier ce que les experts appellent le revenge porn par hypertrucage, qui peut surgir dans n’importe quel environnement de travail et transformer un problème RH en catastrophe réputationnelle.

Et puis il y a les APT — les Advanced Persistent Threats, ces groupes d’attaquants alignés avec des États. Russie, Chine, Corée du Nord, Iran — chacun avec ses méthodes, ses cibles, ses objectifs. L’industrie du drone en a fait l’expérience. Mais aucun secteur n’est épargné, comme Mathieu Tartare, chercheur chez ESET, le développera fin mars dans un épisode d’INCYBER Voices dédié aux groupes APT. Le vol de secrets industriels et le sabotage ne sont plus des scenarii comme au cinéma.

NIS2 : une contrainte qui force à grandir

La directive NIS2 ne se contente pas de recommander. Elle sanctionne. Et ce qui change fondamentalement, c’est que les sanctions visent désormais les dirigeants directement — financièrement et pénalement. C’est un signal fort à destination de ceux qui avaient jusqu’ici délégué la question cyber à un prestataire sans vraiment s’en emparer.

Mais NIS2 n’est pas un catalogue technique. C’est un cadre de gouvernance. Il s’appuie sur des principes d’hygiène informatique que l’ANSSI défend depuis des années — les 42 règles d’hygiène que peu d’organisations appliquent vraiment. Parmi elles, deux reviennent comme une obsession chez notre expert : se connaître soi-même et superviser. Deux verbes pourtant simples. Deux réalités souvent absentes des PME.

Le piège dans lequel tombent beaucoup d’organisations, c’est de croire que multiplier les solutions répond à cette exigence. C’est l’inverse. Chaque brique supplémentaire ajoute un angle mort potentiel. Elle peut être excellente dans son domaine et pourtant inutile si personne ne la surveille, si on n’en exploite que 10 % des capacités, ou si elle ne dialogue pas avec le reste de l’infrastructure. La vraie question n’est plus de savoir si on détecte — c’est de savoir si on voit.

40 minutes. Le chiffre qui change tout.

Les cybercriminels peuvent prendre pied dans un système en quarante minutes. C’est le temps qu’il faut, dans certains scenarii documentés, entre le premier point d’entrée et le déploiement d’une charge malveillante. Ce chiffre permet de mesurer l’absurdité d’un modèle où un responsable IT irait consulter manuellement les logs de chaque équipement à tour de rôle.

C’est là que le SIEM — le Security Information and Event Management — prend tout son sens. Non pas comme un outil de plus à empiler, mais comme un point de convergence. Toutes les données remontent en un endroit unique, corrélées, hiérarchisées. Et le SOAR — Security Orchestration, Automation and Response — permet ensuite d’agir sur les équipements concernés sans délai, sans avoir à naviguer entre dix interfaces.

Le vrai luxe, c’est le SOC — Security Operations Center — avec des analystes disponibles 24h/24, 7j/7. Parce que les attaquants ne s’arrêtent pas le week-end. Parce qu’ils savent très bien repérer les moments où personne n’est derrière les consoles. Pour les entreprises du CAC 40 ou du SBF 120, c’est atteignable. Pour les entreprises de moindre taille, il faut une approche différente.

Open XDR : la cohérence plutôt que la profusion

L’approche open XDR que défend ESET repose sur une idée en apparence simple : centraliser sans contraindre. Il n’y a pas une entreprise qui ne dispose pas déjà d’une protection du poste de travail ou de la messagerie. Plutôt que de tout remettre à plat, la plateforme accepte les données de ces outils existants, les ingère, les corrèle, et permet de réagir depuis un point unique. Les équipements qu’une organisation maîtrise bien, elle peut les garder.

Ce point central a un autre avantage. Il peut être piloté en interne — quand les ressources le permettent — ou confié à un MSSP, un Managed Security Service Provider, prestataire spécialisé qui assure la supervision et l’intervention à distance. Pour une PME sans analyste cyber en interne, c’est souvent la seule façon réaliste de tenir une surveillance continue, y compris la nuit et le week-end

C’est le caractère ouvert qui fait la différence. S’enfermer dans l’écosystème d’un seul éditeur, c’est accepter de voir avec des œillères. L’open XDR, au contraire, part du réel — d’une infrastructure telle qu’elle est, avec ses héritages et ses contraintes budgétaires — pour construire une visibilité globale.

Pour ESET, 2026 marque un tournant. Le premier trimestre verra l’ouverture complète de cette architecture. Un éditeur européen qui avance sur ce terrain au moment précis où NIS2 entre en vigueur et où la stratégie cyber nationale française insiste sur la souveraineté — la coïncidence est, disons, assumée.

2026 : l’année de l’audit ou de la surprise

Si Benoit Grünenwald devait donner un seul conseil aux dirigeants de PME et d’ETI pour 2026, ce serait celui-là. Avant d’investir, avant de déployer, avant même de parler de SIEM ou de SOC — faites un audit. Pas seul. Avec un tiers indépendant capable de dire sans ménagement où vous en êtes et où vous devriez être.

Pour ceux qui débutent, il existe même un point d’entrée gratuit : MonAideCyber, le service de l’ANSSI. Benoit en est lui-même aidant agréé et y donne de son temps. Ce qu’il y a découvert lors de ses diagnostics l’a parfois surpris — pas par le niveau alarmant des lacunes, mais par la qualité inattendue de certains systèmes de PME qui avaient investi intelligemment. La maturité cyber n’est pas réservée qu’aux grands.

Ce qui l’est en revanche, c’est l’illusion qu’on peut continuer à empiler sans jamais centraliser, surveiller sans jamais voir, et se conformer à NIS2 par la seule force d’une facture.

Benoit Grünenwald est expert en cybersécurité et porte-parole des chercheurs d’ESET France. Il représente notamment les travaux des 11 laboratoires d’ESET sur les groupes APT et les nouvelles menaces. Son travail de vulgarisation s’adresse aux décideurs, aux forces de l’ordre et à l’écosystème cyber au sens large.