L’utilisation des outils sans stratégie est un gaspillage de ressources

Près de 65 000 incidents cyber ont été signalés par des entreprises et des autorités suisses a l'Office fédéral de la cybersécurité en 2025 (B2B Cyber Security). Parallèlement, plus d’une entreprise suisse sur dix a dû abandonner des mesures de sécurité prévues – non pas faute de technologie, mais à cause d’un manque de budget (swisscybersecurity.net).

Le vrai problème est ailleurs : les organisations achètent des outils, comblent des failles et consomment leurs budgets, mais leur niveau de sécurité n’améliore que peu. Ce qui manque, c’est une stratégie claire et une structure cohérente.

260 attaques contre des infrastructures critiques – c’est ce que rapporte le OFCS, avec un état des lieux en février 2026 depuis avril 2025. Après un tel incident, les entreprises concernées commencent souvent par chercher un produit : un nouvel outil est évalué, acheté, déployé – et vient s’ajouter à un environnement déjà composé de dizaines de décisions similaires prises au cas par cas.

Le résultat n’est pas un véritable concept de sécurité, mais un patchwork : beaucoup d’outils, peu de liens entre eux, et presque aucun effet global.

Le véritable problème n’est donc pas le manque de technologie. C’est l’absence d’une stratégie claire qui définit ce qui doit réellement être protégé, quel niveau de protection est visé – et comment les mesures sont priorisées et alignées avec les ressources disponibles.

Une stratégie de sécurité définit concrètement quels systèmes et quelles données ont les besoins de protection les plus élevés, quelles failles existent et dans quel ordre les mesures doivent être mises en œuvre – en fonction du budget et des capacités disponibles. Cet alignement est décisif : ce n’est pas la mesure la plus complète qui apporte le plus de sécurité, mais la bonne mesure au bon moment.

Ceux qui sautent cette étape et passent directement à l’architecture et à la mise en œuvre perdent le fil directeur. Les audits de sécurité fournissent des constats, mais pas de contexte stratégique. Des mesures isolées sont mises en place, de nombreux risques restent non traités – et les ressources sont gaspillées faute de base solide.

Trois niveaux clairement distincts sont essentiels :

Ce n’est que lorsque ces niveaux sont correctement alignés qu’un système de sécurité efficace émerge – un système qui fonctionne au quotidien et qui permet aux entreprises de rester opérationnelles et réactives.

 Comment construire une stratégie de sécurité efficace et pourquoi elle constitue l’étape clé avant toute décision d’architecture et de design – notamment face à la montée des charges de travail liées à l’IA – est expliqué dans le Axians AI Security Playbook destiné aux CIO et CISO suisses. 

Ce besoin de clarté stratégique devient encore plus urgent avec l’utilisation de l’intelligence artificielle. L’IA est désormais présente dans les entreprises suisses – comme assistant, comme outil d’analyse, ou comme composant de processus automatisés. Cela crée de nouveaux flux de données, de nouvelles dépendances et de nouvelles surfaces d’attaque que les modèles de sécurité classiques ne couvrent que partiellement.

Les entreprises qui déploient des charges de travail IA sans savoir quelles données circulent, qui y a accès et qui est responsable en cas d’incident, créent des risques structurels – indépendamment de la qualité de leur architecture de sécurité existante. La sécurité de l’IA n’est donc pas une discipline séparée. C’est le prolongement logique d’une stratégie de sécurité bien pensée : la gouvernance, la transparence et des responsabilités claires s’appliquent aux systèmes d’IA comme à toute autre infrastructure critique de l’entreprise.