Les cyberattaques touchent directement l’activité de l’entreprise

L’an dernier, 73 % des PME suisses touchées par une cyberattaque ont subi des pertes financières parfois considérables (étude de la Mobiliar). Derrière ce chiffre se cachent des chaînes d’approvisionnement interrompues, des systèmes paralysés, des données clients perdues – et des dirigeants qui découvrent, au moment critique, qu’ils n’étaient pas préparés. Non pas parce que la menace était méconnue, mais parce que la Cyber Security a trop longtemps été considérée comme une simple problématique informatique.

Près de deux tiers des dirigeants suisses considèrent les cyberrisques comme leur principale préoccupation, devant même l’inflation. Pourtant, moins de la moitié des CEO discutent concrètement de l’impact de la cybercriminalité sur leur stratégie d’entreprise (PWC Insights). Il ne s’agit pas d’un manque de sensibilisation, mais d’une faille structurelle. En effet, les trois principales menaces auxquelles les entreprises suisses sont confrontées - les attaques visant le cloud (49 %), les opérations de type « hack and leak » (41 %) et les rançongiciels (39 %) - ne font aucune distinction entre l’infrastructure informatique et les activités de l’entreprise. 

À cela s’ajoute un nouveau palier d’escalade : l’intelligence artificielle transforme en profondeur le paysage des cybermenaces. Elle rend les attaques plus rapides, plus ciblées et plus difficiles à détecter. Parallèlement, les charges de travail liées à l’IA au sein même des entreprises créent de nouvelles surfaces d’attaque que les modèles de sécurité traditionnels peinent à couvrir.

Dans la pratique, cependant, les équipes de sécurité signalent des risques, tandis que les directions d’entreprise priorisent d’autres enjeux. Les budgets sont souvent alloués de manière réactive, après un incident, et non en amont. Ainsi, plus d’une entreprise suisse sur dix a dû renoncer l’an dernier à des mesures de sécurité prévues faute de budget (swisscybersecurity.net). Les décisions budgétaires relèvent de la direction générale – et c’est précisément à ce niveau que manque l’intégration stratégique. Une évolution qui s’explique notamment par le fait que la cybersécurité est encore perçue comme un centre de coûts, et non comme ce qu’elle est réellement : un investissement entrepreneurial dans la capacité d’action.

Tant qu’il n’existe pas une vision commune du risque entre l’IT, la direction générale et le conseil d’administration, la Cyber Security restera réactive. Les mesures ne découlent pas d’une stratégie, mais constituent une réponse à des incidents. Dans ce mode de fonctionnement, l’entreprise perd l’initiative et laisse la prochaine étape aux attaquants.

 Comment les entreprises peuvent sécuriser de manière structurée leurs charges de travail liées à l’IA et reprendre le contrôle sur les nouveaux risques est présenté dans le AI Security Playbook for Swiss CIOs & CISOs d’Axians  

Ce qui est souvent négligé, c’est que le risque ne reste pas au niveau opérationnel. Il remonte directement au niveau de la direction. En Suisse, la loi fédérale sur la protection des données peut engager directement la responsabilité des conseils d’administration en cas de manquements en matière de cybersécurité, même lorsque les responsabilités internes ne sont pas formellement attribuées. La direction générale assume la responsabilité de l’ensemble du cadre de cybersécurité de l’entreprise, non seulement en situation de crise, mais au quotidien. Ne pas gérer activement les cyberrisques revient à les subir passivement – tout en restant responsable en cas d’incident.

Le changement de perspective dont les entreprises suisses ont aujourd’hui besoin est clair : la Cyber Security doit être intégrée à la stratégie d’entreprise, et non cantonnée à l’IT. Cela implique une vision commune du risque au niveau de la direction générale et du conseil d’administration, des responsabilités clairement définies, des décisions budgétaires fondées sur la priorisation des risques, ainsi qu’une culture de la sécurité qui ne se construit pas après un incident. Les entreprises qui franchissent ce cap ne protègent pas seulement leurs systèmes : elles protègent leur capacité d’action, la confiance de leurs clients et leur position concurrentielle. Bien comprise, la cybersécurité n’est pas un centre de coûts, mais un avantage stratégique.