Chroniques on Plan R

Le CISO stratège, de la salle serveur au COMEX

Sat, 26 Sep 2026 00:00:00 +0200

Toute l’année l’a montré : les vrais sujets de résilience se tranchent en comité de direction. Le CISO qui n’y parle pas la langue des arbitrages n’y pèse pas, même quand il y siège.

Depuis janvier, Plan R a traité le « quoi » : dépendances, chaîne d’approvisionnement, données, souveraineté, identité. Puis le « comment » : automatisation, IA, équilibre entre l’humain et la machine. Le quatrième trimestre a déplacé le regard vers la gouvernance. Une question a été contournée : qui porte tout cela jusqu’à la table où l’on décide ?

Auditer la résilience de ses tiers sans rupture

Wed, 23 Sep 2026 00:00:00 +0200

On ne contrôle pas la solidité de ses partenaires. On contrôle ce qu’on exige d’eux, ce qu’on vérifie à leurs interfaces, et la façon dont on se prépare à leur chute.

La chronique 008 de cette saison s’arrêtait aux lignes de code : bibliothèques open source, mises à jour empoisonnées, nomenclatures logicielles. Il laissait volontairement de côté une question plus large. Le logiciel n’est qu’un maillon. Derrière lui, il y a des hébergeurs, des intégrateurs, des infogérants, des prestataires de paie, des transporteurs, des centres d’appels.

Le reporting ESG Cyber, valoriser la résilience auprès des investisseurs

Wed, 16 Sep 2026 00:00:00 +0200

La résilience a longtemps été défendue comme une dépense à justifier. Le moment est venu de la présenter pour ce qu’elle est : un actif qu’on démontre, devant un public qui ne parle pas la langue de la DSI.

L’épisode 036 se terminait sur une question restée ouverte : quand tout repose sur la preuve, qui vérifie que cette preuve dit vrai ? Une partie de la réponse ne se trouve pas dans l’organisation. Elle se trouve dehors — chez ceux qui financent, assurent, notent et achètent.

Responsabilité du dirigeant, ce que le nouveau cadre change vraiment

Wed, 09 Sep 2026 00:00:00 +0200

La question n’est plus de savoir si la cybersécurité relève du COMEX. Elle est de savoir qui, nommément, répondra d’une défaillance — et avec quelles preuves.

L’épisode 004 posait que la résilience est une décision politique : des arbitrages, des dépendances assumées, une gouvernance explicite. L’épisode 035 s’est arrêté sur la parole en crise, et s’est terminé sur une question laissée ouverte : quand tout est retombé, qui répond de ce qui a été dit, et de ce qui ne l’a pas été ?

Communication de crise, ce que 2026 nous a appris

Wed, 02 Sep 2026 00:00:00 +0200

En 2026, la question n’est plus de savoir quoi dire pendant une rupture de service. C’est de savoir si votre parole arrivera la première — et si elle sera reconnue comme la vôtre.

En 2025, cette chronique avait posé les fondamentaux de la communication de crise : parler vite, même pour dire qu’on enquête. Un canal officiel unique. Un porte-parole désigné. Une vérité partielle, assumée, plutôt qu’un silence prudent.

Rien de ce qui suit n’invalide ces principes. Ils tiennent. Ils ont même été confirmés par une année dense en ruptures.

Désinformation et cyber, quand l'attaque vise la confiance

Wed, 26 Aug 2026 00:00:00 +0200

Votre SOC surveille vos serveurs. Personne ne surveille votre crédibilité.

L’épisode 033 refermait une année de construction sur une question simple : que pouvez-vous prouver ? Preuves, documentation, posture — l’audit comme épreuve de vérité interne.

Cette semaine, la vérité change de camp. Elle n’est plus ce que vous démontrez à un contrôleur. Elle est ce que vos parties prenantes croient.

En 007, nous avons vu que l’image et la voix d’un dirigeant pouvaient être clonées en flux direct. En 022, que la géopolitique était devenue un paramètre d’architecture. Ces deux fils se rejoignent ici, sur un terrain que la plupart des dispositifs de sécurité ne couvrent pas : le récit.

Préparation à l'audit NIS2 - preuves, documentation, posture

Wed, 19 Aug 2026 00:00:00 +0200

Un contrôle réglementaire ne se prépare pas la veille. Il se documente en continu.

Le trimestre qui s’achève nous a emmenés loin dans la machine. SOC de nouvelle génération, détection industrialisée, IA offensive, algorithmes de décision, équilibre humain-machine : le T3 a exploré ce que l’intelligence apporte - et ce qu’elle coûte - à la résilience.

Le T4 change de registre. On quitte les outils pour la gouvernance, la redevabilité et la culture. Et il commence par le sujet le plus concret qui soit : l’épreuve du contrôle.

Synthèse T3 - L'équilibre humain-machine

Wed, 12 Aug 2026 00:00:00 +0200

L’automatisation a tenu ses promesses. Le jugement, lui, ne se délègue pas. Toute la difficulté du trimestre tient dans cet écart.

Neuf semaines. Huit épisodes. Un même fil : la machine au service de la défense.

Nous avons ouvert le trimestre sur le SOC augmenté par l’IA (024), puis regardé l’adversaire s’emparer des mêmes armes (025). Nous avons industrialisé la détection et la réponse (026), organisé le test offensif permanent (027). Nous avons posé le contrepoint indispensable : que reste-t-il quand l’automatisation tombe (028) ? Nous avons vu la conformité devenir continue (029), le marché de l’assurance imposer ses standards de fait (030), et l’algorithme s’installer en prescripteur silencieux (031).

Algorithmes de décision - quand l'IA se trompe en votre nom

Wed, 05 Aug 2026 00:00:00 +0200

Un algorithme qui recommande de ne pas investiguer une alerte est un risque de résilience au même titre qu’un rançongiciel. La différence, c’est que personne ne s’en aperçoit.

Le 2 août 2026 devait être une date de bascule : l’échéance à laquelle les obligations européennes sur les systèmes d’IA à haut risque devenaient applicables. Le 27 juillet, à six jours du terme, le règlement (UE) 2026/1744 est entré en vigueur et l’a repoussée au 2 décembre 2027.

Cyber-assurance, quand le marché dicte la résilience

Wed, 29 Jul 2026 00:00:00 +0200

Ce que votre assureur refuse de couvrir en dit plus long sur votre résilience réelle que n’importe quel rapport d’audit.

Introduction

Il existe en France un acteur qui impose aujourd’hui un socle de sécurité à des dizaines de milliers d’organisations. Sans mandat public. Sans pouvoir de sanction. Sans texte de loi.

Ce n’est ni l’ANSSI, ni un régulateur sectoriel. C’est un souscripteur. Il travaille chez un assureur ou un courtier, il n’a jamais mis les pieds dans votre salle serveurs, et il détient pourtant un pouvoir que peu de RSSI possèdent : celui de dire non.

Continuous Compliance - la conformité comme code vivant

Wed, 22 Jul 2026 00:00:00 +0200

La conformité cesse d’être une photographie datée pour devenir un flux permanent. Un progrès réel - à condition de ne jamais confondre le vert d’un tableau de bord avec la solidité du réel.

En 2014, obtenir l’homologation de sécurité d’un système, c’était décrocher un tampon valable trois ans. Une photographie. On vérifiait, on signait, on rangeait le dossier. Entre deux contrôles, le système vivait sa vie - et dérivait.

Ce modèle a longtemps tenu. Il ne tient plus. Les infrastructures changent chaque jour, parfois chaque heure. Un déploiement, une dépendance mise à jour, une règle de pare-feu modifiée : la conformité d’hier n’est déjà plus celle d’aujourd’hui.

Quand l'automatisation tombe en panne : reprendre la main

Wed, 15 Jul 2026 00:00:00 +0200

La dépendance à l’automatisation est devenue une dépendance critique. La résilience ne consiste pas à automatiser toujours plus - elle consiste à savoir encore agir sans.

Depuis quatre semaines, ce trimestre chante les louanges de la machine. Le SOC augmenté par l’IA (024), l’IA offensive comme industrialisateur des attaques (025), la détection et la réponse automatisées (026), le test offensif permanent (027). Un fil cohérent : l’intelligence au service de la résilience.

Bug Bounty et tests offensifs - éprouver avant l'attaquant

Wed, 08 Jul 2026 00:00:00 +0200

Inviter des inconnus à chercher vos failles n’est pas une prise de risque. C’est le signe que vous êtes prêt à les regarder en face.

La semaine dernière, nous cherchions à automatiser la détection et la réponse sans anesthésier les équipes : garder l’humain dans la boucle, préserver la capacité de reprise en main. L’automatisation nous a fait gagner en vitesse de réaction.

Mais réagir vite, c’est encore réagir. C’est attendre que quelque chose se déclenche.

Detection as Code & SOAR : automatiser sans anesthésier

Wed, 01 Jul 2026 00:00:00 +0200

Standardiser la détection, industrialiser la réponse, et préserver le seul réflexe qu’aucune machine ne sait reproduire : le jugement face à l’inconnu.

Il est 3h17. Une alerte se déclenche. Le temps que l’analyste de garde émerge, la machine a déjà fait le travail : poste isolé, accès réinitialisé, ticket ouvert et documenté. Au réveil, tout est sous contrôle. C’est exactement ce qu’on attend d’un SOC moderne.

Depuis deux épisodes, nous suivons le fil de l’intelligence au service de la résilience : l’IA défensive qui augmente la détection (024), l’IA offensive qui industrialise l’attaque (025). La suite logique, c’est le passage de la détection à la réponse. Comment standardiser ce que l’on cherche, puis automatiser ce que l’on fait une fois qu’on l’a trouvé ?

IA offensive, comprendre l'adversaire en 2026

Wed, 24 Jun 2026 00:00:00 +0200

L’attaque assistée par IA n’est plus un scénario de prospective. C’est la matière première des campagnes de 2026 — et l’asymétrie qu’elle creuse ne se comblera pas avec un outil de plus.

La semaine dernière (024), nous avons regardé l’IA du bon côté de la barricade : le SOC qui se réinvente, l’analyste augmenté, le copilote qui trie, corrèle et accélère. Une bonne nouvelle. Mais une moitié d’histoire seulement.

Car la même technologie qui muscle nos défenses arme aussi nos adversaires. Le copilote du défenseur a un jumeau sombre : l’opérateur de l’attaquant.

SOC nouvelle génération : l'IA en co-pilote

Wed, 17 Jun 2026 00:00:00 +0200

Intégrer l’IA dans la détection ne consiste pas à déléguer le diagnostic. Cela consiste à garder la maîtrise du jugement quand la machine filtre l’essentiel du bruit.

Un analyste de SOC reçoit aujourd’hui des centaines d’alertes par jour. Il en traite une fraction. Le reste s’accumule, se périme, ou se dilue dans la masse. Ce n’est pas un défaut de compétence. C’est une question d’échelle.

Pendant ce temps, l’attaquant ne ralentit pas. Un rançongiciel chiffre un parc en quelques heures. Une compromission d’identité se propage en quelques minutes. Dans son panorama 2025, l’ENISA est sans ambiguïté : l’IA est désormais présente à chaque étape de la chaîne d’attaque, de la reconnaissance à la diffusion de la charge.

La cartographie de ce qui compte

Wed, 10 Jun 2026 00:00:00 +0200

Clôturer un trimestre, ce n’est pas archiver. C’est dessiner la carte de ses dépendances, nommer ses verrous et assumer ses arbitrages - avant que la vitesse des attaques ne décide à notre place.

Introduction

Pendant trois mois, Plan R a posé la même question, déguisée à chaque fois.

Le cloud et sa dépendance durable (épisode 002). L’open source face au propriétaire (003). Puis les données, les infrastructures critiques, la souveraineté, l’identité devenue périmètre, et la géopolitique entrée par effraction dans nos architectures.

Geopolitique infrastructure

Wed, 03 Jun 2026 00:00:00 +0200

Sanctions, câbles sectionnés, régions cloud devenues inaccessibles : en 2026, le risque géopolitique n’est plus une affaire de diplomates. C’est un paramètre d’architecture.

Introduction - La géopolitique a quitté les chancelleries

En mai 2025, un homme s’est connecté à sa messagerie professionnelle. Elle ne répondait plus.

Pas de panne. Pas de piratage. Une signature, à Washington. Le procureur de la Cour pénale internationale venait de perdre l’accès à sa boîte mail Microsoft, après des sanctions américaines visant sa personne.

l'IAM, nouveau périmètre et point de rupture

Wed, 27 May 2026 00:00:00 +0200

Faire de l’identité la pierre angulaire de la sécurité, c’est aussi en faire la dépendance dont dépend tout le reste.

Dans l’épisode 007, nous avons acté une rupture : en 2026, voir et entendre ne suffisent plus à prouver une identité. Le deepfake en temps réel a fait voler en éclats la preuve sensorielle. Notre réponse fut le « Zéro Trust Relationnel » : ne plus croire, toujours vérifier.

Mais ce principe ne s’arrête pas aux interactions humaines. Il structure désormais toute l’architecture de sécurité. Et il converge vers un point unique : l’identité.

Disponibilité vs Confidentialité, les dilemmes de crise

Wed, 20 May 2026 00:00:00 +0200

Quand il faut choisir entre remettre en ligne et protéger, la résilience n’est plus un équilibre. C’est un arbitrage.

Introduction

3h du matin. La cellule de crise est réunie. Le ransomware a chiffré une partie du SI. Des données ont probablement été exfiltrées avant le chiffrement. Le service client est à l’arrêt. Les équipes techniques ont restauré une partie des systèmes depuis les sauvegardes - mais on ne sait pas encore si le vecteur initial a été neutralisé.