OPINION. « Pourquoi la cyber-résilience est devenue essentielle »

De passagers bloqués dans les aéroports internationaux aux patients privés de soins médicaux essentiels, les cas de pannes majeures de systèmes informatiques qui nous touchent au quotidien sont devenues monnaies courantes. Ces incidents illustrent la vulnérabilité croissante de nos infrastructures numériques. Je suis convaincu que la multiplication des cyberattaques et des incidents liés aux ransomwares démontre plus que jamais l'urgence d'une action collective pour garantir que ces systèmes, désormais indispensables à l'économie et à la société, soient préparés à affronter non pas une éventualité, mais une certitude : ces perturbations se reproduiront.

Un monde de plus en plus dépendant de la technologie

Selon plusieurs estimations, plus de 5,4 milliards de personnes, soit environ 70 % de la population mondiale, utilisent Internet aujourd'hui. Une panne informatique d'envergure peut donc entraîner des perturbations massives. Cependant, jamais auparavant nous n'avions observé des interruptions de cette ampleur, affectant aussi largement et durablement notre quotidien tout en portant des coups sévères à l'économie mondiale.

Une analyse menée par un assureur a estimé le coût potentiel d'un seul incident sur les entreprises du Fortune 500 : il s'élève à plus de 4,5 milliards d'euros de pertes directes. Il n'est pas surprenant non plus qu'un rapport du Groupe Howden identifie l'interruption d'activité comme le principal poste de coût des sinistres cyber. Dans des secteurs tels que l'industrie manufacturière et les services financiers, où la disponibilité des systèmes est critique, ce type d'interruption représente jusqu'à 70 % des coûts liés au suivi des réclamations.

Alors que les infrastructures IT sont devenues la colonne vertébrale de nombreuses activités, elles resteront exposées à deux menaces majeures : l'erreur humaine et les cyberattaques menées par des acteurs malveillants.

L'erreur humaine, un risque omniprésent

L'erreur humaine est souvent à l'origine des plus grandes pannes. En juillet 2021, par exemple, une mise à jour logicielle défectueuse a empêché l'accès à de nombreux sites web de voyage, de commerce et de services financiers pendant près d'une heure.

Trois mois plus tard, un incident encore plus marquant s'est produit : une simple erreur de configuration a rendu inaccessibles plusieurs plateformes sociales pour des milliards d'utilisateurs, et ce, pendant plusieurs heures. C'est une commande erronée lors d'une opération de maintenance de routine qui a accidentellement coupé l'ensemble des connexions sur un réseau central, provoquant ainsi une panne généralisée.

Ces événements illustrent un fait incontournable : la complexité des infrastructures IT dépasse désormais la capacité humaine à les appréhender pleinement, ce qui les rend inévitablement sujettes aux erreurs humaines.

La menace persistante des acteurs malveillants

Si l'erreur humaine est une cause fréquente d'incidents, la menace représentée par les cybercriminels et les États-nations est tout aussi préoccupante. Les récentes pannes à grande échelle rappellent la sophistication des attaques pouvant être menées contre les gouvernements et les entreprises privées.

L'attaque SolarWinds de 2019 en est un exemple frappant. Des agents russes ont injecté un code malveillant dans une mise à jour du logiciel Orion de SolarWinds, laquelle a ensuite été distribuée à de nombreux clients à travers le monde. Cette campagne a révélé la vulnérabilité de la chaîne d'approvisionnement logicielle et l'impact qu'une cyberattaque ciblée peut avoir sur des infrastructures critiques.

Une approche collective pour renforcer la résilience numérique

Aujourd'hui, les discussions portent principalement sur la prévention des prochaines catastrophes : améliorer les tests avant les mises à jour logicielles, adopter des déploiements progressifs, ou encore renforcer les garanties de qualité des éditeurs de logiciels. Ces mesures sont essentielles, mais elles ne suffisent pas. L'erreur humaine et les cyberattaques sont inévitables. Il ne s'agit donc pas seulement de prévention, mais aussi d'anticipation et surtout de résilience : mettre en place des technologies et des processus capables de limiter l'impact des incidents et de maintenir les systèmes opérationnels face aux pires scénarios.

Concrètement, cela implique une planification rigoureuse des scénarios de crise et l'adoption de stratégies telles que le « digital twin », qui consiste à créer des répliques virtuelles des infrastructures critiques pour assurer la continuité des opérations en cas d'attaque. Les organisations doivent investir dans des technologies robustes non seulement pour protéger et sécuriser leurs données, mais aussi pour assurer une reprise rapide et efficace de leurs activités face à une cyberattaque.

La cyber-résilience n'est pas seulement un défi technologique, c'est aussi une responsabilité partagée. Législateurs, fournisseurs technologiques et entreprises - publiques comme privées - doivent travailler ensemble pour renforcer la résilience numérique à l'échelle mondiale. Car l'objectif ultime de la cyber-résilience est bien d'améliorer notre capacité à absorber et surmonter les pannes informatiques afin d'en minimiser l'impact sur la continuité des opérations. Dans un monde de plus en plus interconnecté, seule une approche collective et proactive de ces défis pourra nous garantir un avenir numérique sûr et résilient.

______

(*) Bipul Sinha est un entrepreneur, ingénieur et investisseur en capital-risque. Il est le président du conseil, cofondateur et PDG de Rubrik, Inc. et Venture Partner chez Lightspeed Venture Partners. Avant cela, Bipul était partenaire chez Lightspeed, entreprise dans laquelle il s'est plus particulièrement penché sur les secteurs du logiciel, de la mobilité et de l'Internet. Parmi ses investissements, on compte Nutanix, Pulse News, Bromium et PernixData. Avant Lightspeed, Bipul a travaillé chez Blumberg Capital, où il est devenu investisseur-fondateur/membre du comité de direction de Nutanix et Hootsuite. Bipul a également occupé des rôles d'ingénierie chez Oracle Corporation, American Megatrends et IBM.