Longtemps cantonnée aux cercles d’experts, la cybersécurité s’est imposée comme un sujet de préoccupation quotidienne. Attaques contre les hôpitaux, paralysie de services publics, vols de données personnelles : la frontière entre risques numériques et vie réelle s’est effacée. C’est ce constat qui a guidé le petit-déjeuner débat organisé dans le cadre des petits-déjeuners du Lab’ de #VivaIssy le 12 décembre dernier au Nida, réunissant acteurs industriels, experts de la veille stratégique et spécialistes de l’identité numérique.
- Une menace diffuse, des cibles bien identifiées
- Le mot de passe, talon d’Achille universel
- La cybersécurité, un investissement stratégique
- L’IA, accélérateur et amplificateur
- L’identité numérique, socle des usages futurs
- Simplicité, souveraineté et confiance
- A lire : un résumé plus détaillé du petit-déjeuner débat
Une menace diffuse, des cibles bien identifiées
Pierre Lagarde, Directeur technique de Microsoft France, a ouvert la matinée par un état des lieux tiré du rapport annuel Microsoft Digital Defense. La France ne figure pas parmi les dix pays les plus ciblés au monde : elle se situe au 12ᵉ rang, mais grimpe à la 4ᵉ place à l’échelle européenne. Surtout, certaines organisations concentrent l’essentiel des attaques : hôpitaux, écoles publiques et collectivités locales. Ces structures reposent souvent sur des équipements anciens, mal mis à jour, offrant un terrain d’attaque privilégié. L’obsolescence devient ainsi un facteur de vulnérabilité systémique.
Les attaques étatiques complètent ce paysage. La Chine et l’Iran se concentrent principalement sur l’espionnage, une activité marginale en volume mais stratégique. La Russie cible quasi exclusivement l’Ukraine. La Corée du Nord, quant à elle, recourt à des méthodes plus indirectes : des travailleurs infiltrés dans des entreprises internationales collectent informations et ressources au profit du régime. Autant de signaux rappelant que la cybersécurité est aussi un enjeu géopolitique.
Le mot de passe, talon d’Achille universel
Au-delà des acteurs étatiques, la cybercriminalité s’est industrialisée. Une attaque sur deux relève aujourd’hui de l’extorsion ou du ransomware. Dans 80 % des cas, l’objectif est clair : voler des données pour les revendre. La cyberattaque est devenue un modèle économique.
Mais, contrairement à l’image véhiculée par le cinéma, les attaquants n’exploitent que rarement des failles complexes ou des portes dérobées. 97 % des intrusions passent par la « porte d’entrée » : un identifiant et un mot de passe. Réutilisation de mots de passe, identifiants par défaut jamais modifiés, négligence humaine : les failles sont connues. Un exemple cité a marqué les esprits : 130 communes françaises compromises à partir du mot de passe personnel d’une secrétaire de mairie, identique à celui utilisé dans un cadre professionnel.
Face à cette réalité, la double authentification apparaît comme un levier immédiat. Elle permettrait d’éviter 98 % des attaques par mot de passe. SMS, e-mails, applications dédiées : la technologie est mature, mais encore trop inégalement déployée. Plus radicale encore, l’approche « sans mot de passe » gagne du terrain, reposant sur des validations croisées entre appareils, supprimant la mémorisation et la saisie d’identifiants.
La cybersécurité, un investissement stratégique
Pour Thomas Hervouet-Kasmi, président de l’association INNOCHERCHE, la bascule est déjà engagée : la cybersécurité n’est plus un centre de coûts, mais un pilier stratégique. Les consommateurs, les partenaires et désormais la loi exigent un haut niveau de protection. La sécurité devient un facteur de différenciation et de compétitivité, directement lié à l’expérience utilisateur.
Cette évolution se traduit par la montée en puissance des labels et des cadres de confiance. Le label SecNumCloud de l’ANSSI permet d’objectiver le niveau de protection d’une infrastructure et de faire de la souveraineté des données un argument commercial. Outscale, Mistral AI ou encore Bleu (Capgemini/Orange) structurent leur positionnement autour de cette promesse : données localisées, protection juridique renforcée, limitation des ingérences étrangères.
L’IA, accélérateur et amplificateur
L’intelligence artificielle générative introduit une rupture majeure. Côté défense, elle permet d’anticiper les attaques en analysant des volumes massifs de signaux. Microsoft traite chaque jour près de 100 000 milliards de signaux, issus aussi bien des services grand public que professionnels. Résultat : cinq milliards d’e-mails malveillants filtrés quotidiennement, 4,5 millions de fichiers infectés neutralisés. L’IA permet aussi de détecter des attaques complexes en corrélant des signaux faibles, ou encore d’identifier des deepfakes et des documents falsifiés.
Mais la même technologie démultiplie aussi la capacité offensive. Une attaque qui nécessitait autrefois plusieurs semaines peut désormais être montée en quelques heures, grâce à l’automatisation par agents IA. Les failles « zero-day » sont exploitées quasi instantanément, avant même que les correctifs ne soient appliqués. Les communautés open source, submergées par des volumes massifs de contributions générées par IA, voient leurs mécanismes de gouvernance fragilisés.
Cette course à l’armement numérique pose un défi de compétences. Des techniques avancées, comme l’entraînement de modèles sur des données chiffrées, restent peu connues hors de certains secteurs comme la santé. Le déficit de formation en « IA sécurisée » devient un enjeu critique.
L’identité numérique, socle des usages futurs
Dernier axe structurant abordé lors de la conférence : l’identité numérique. Romain Santini, directeur de programme chez Docaposte, a présenté eIDAS 2, le règlement européen qui refonde la gestion de l’identité à l’échelle de l’Union. Le constat est sans détour : la première version d’eIDAS, lancée en 2014, n’a pas tenu ses promesses d’interopérabilité.
eIDAS 2 introduit un portefeuille d’identité numérique européen, interopérable et sécurisé « by design ». Il permettra un partage sélectif des données : prouver sa majorité sans révéler sa date de naissance, par exemple. Le calendrier est précis : mise à disposition par les États membres d’ici fin 2026, acceptation obligatoire par les services publics, les banques et les très grandes plateformes en ligne fin 2027. L’usage restera un choix pour le citoyen, mais l’infrastructure deviendra un standard.
Au-delà du portefeuille citoyen, des déclinaisons se dessinent : portefeuille d’entreprise pour les démarches du représentant légal, portefeuille d’employé pour remplacer badges et identifiants multiples. Des pays comme l’Estonie ou l’Inde montrent déjà qu’un système d’identité intégré peut devenir un levier de croissance et d’efficacité, et non une contrainte.
Simplicité, souveraineté et confiance
Reste un point de tension majeur : l’ergonomie. Beaucoup de solutions sont jugées complexes, alimentant la persistance de pratiques peu sûres. Les intervenants ont insisté sur la nécessité de standardiser et de simplifier les interfaces, quitte à contraindre les usages, pour sortir durablement du modèle identifiant/mot de passe.
Dans ce contexte, les engagements des grands acteurs technologiques sont scrutés. Chiffrement des données au repos et en transit, clés contrôlées par les clients, technologies de confidential computing développées avec des partenaires comme Thales : la sécurité devient aussi un sujet contractuel et industriel, anticipant même les ruptures à venir liées à l’informatique quantique.
Au fil des échanges, une ligne claire s’est dégagée : la cybersécurité structure désormais l’innovation numérique. Elle conditionne la confiance, la souveraineté et la viabilité des modèles économiques. L’IA générative accélère cette mutation, imposant une réponse coordonnée, politique autant que technologique. Pour les citoyens comme pour les organisations, le temps de la prise de conscience est passé : celui des choix structurants a commencé.
