Chaîne d'approvisionnement on Plan R

Auditer la résilience de ses tiers sans rupture

Wed, 23 Sep 2026 00:00:00 +0200

On ne contrôle pas la solidité de ses partenaires. On contrôle ce qu’on exige d’eux, ce qu’on vérifie à leurs interfaces, et la façon dont on se prépare à leur chute.

La chronique 008 de cette saison s’arrêtait aux lignes de code : bibliothèques open source, mises à jour empoisonnées, nomenclatures logicielles. Il laissait volontairement de côté une question plus large. Le logiciel n’est qu’un maillon. Derrière lui, il y a des hébergeurs, des intégrateurs, des infogérants, des prestataires de paie, des transporteurs, des centres d’appels.

Algorithmes de décision - quand l'IA se trompe en votre nom

Wed, 05 Aug 2026 00:00:00 +0200

Un algorithme qui recommande de ne pas investiguer une alerte est un risque de résilience au même titre qu’un rançongiciel. La différence, c’est que personne ne s’en aperçoit.

Le 2 août 2026 devait être une date de bascule : l’échéance à laquelle les obligations européennes sur les systèmes d’IA à haut risque devenaient applicables. Le 27 juillet, à six jours du terme, le règlement (UE) 2026/1744 est entré en vigueur et l’a repoussée au 2 décembre 2027.

Cyber-assurance, quand le marché dicte la résilience

Wed, 29 Jul 2026 00:00:00 +0200

Ce que votre assureur refuse de couvrir en dit plus long sur votre résilience réelle que n’importe quel rapport d’audit.

Introduction

Il existe en France un acteur qui impose aujourd’hui un socle de sécurité à des dizaines de milliers d’organisations. Sans mandat public. Sans pouvoir de sanction. Sans texte de loi.

Ce n’est ni l’ANSSI, ni un régulateur sectoriel. C’est un souscripteur. Il travaille chez un assureur ou un courtier, il n’a jamais mis les pieds dans votre salle serveurs, et il détient pourtant un pouvoir que peu de RSSI possèdent : celui de dire non.

DORA & NIS2, deux cadres, un enjeu de résilience

Wed, 13 May 2026 00:00:00 +0200

Aligner les processus de résilience entre les exigences du règlement financier et celles de la directive sectorielle, sans confondre la conformité avec sa destination.

Introduction — Le temps du cadrage

L’épisode précédent racontait une journée de crise vue du terrain. Aujourd’hui, retour au cadrage. Parce que cette journée-là, dans une organisation européenne en 2026, ne se déroule jamais sans deux ombres tutélaires en arrière-plan : DORA et NIS2.

Deux acronymes désormais inévitables. Deux textes cités dans presque toutes les chroniques précédentes, sans qu’on ait pris le temps de les regarder ensemble. Le moment est venu.

Bilan T1 — L'état de nos fondations

Thu, 02 Apr 2026 00:00:00 +0200

Neuf semaines de construction. Le socle est-il assez solide pour supporter ce qui vient ?

En janvier, Plan R a ouvert son année 2026 par une question simple : peut-on passer d’une posture réactive à une résilience native ? Neuf épisodes plus tard, le moment est venu de regarder en arrière - non pas pour se féliciter, mais pour mesurer.

Ce trimestre a couvert un terrain considérable. Nous avons parlé de conception sécurisée et de Shift Left (005). De ces systèmes Legacy que personne ne veut toucher mais que tout le monde craint (006). De la fin de la confiance visuelle face aux deepfakes (007). De la supply chain numérique, où un maillon faible chez un tiers peut déclencher une crise majeure (008). De la convergence IT/OT/IoT et de ses angles morts (009). Des tests grandeur nature qui révèlent plus que n’importe quel audit (010). Du Cyber Resilience Act et de la responsabilité désormais gravée dans le marbre réglementaire (011). Et du facteur humain - fatigue, compétences, culture - sans lequel tout le reste est cosmétique (012).

Cyber Resilience Act, ce qui change vraiment

Wed, 18 Mar 2026 00:00:00 +0100

Décryptage opérationnel du CRA: obligations, calendrier, impact sur les achats et la relation fournisseurs. La réglementation n’est pas une contrainte de plus. C’est un levier.

Trois épisodes en arrière, nous mettions les mains dans le concret. La supply chain logicielle (008), les usages non maîtrisés de l’IA (009), l’OT et l’IoT (010): autant de zones où la fragilité numérique prend racine, souvent en silence. À chaque fois, un constat revenait: l’absence de transparence du fournisseur, le manque de visibilité sur les composants, l’illusion d’une sécurité fondée sur la confiance plutôt que sur la preuve.

IoT et OT, la surface d'attaque invisible

Wed, 11 Mar 2026 00:00:00 +0100

Objets connectés, automates, capteurs : la surface d’attaque qui explose en silence aux frontières de l’IT et de l’OT.

Dans la chronique 006, nous avons ouvert la boîte noire du legacy : ces systèmes trop vieux pour être patchés, trop critiques pour être éteints. Nous avons posé la matrice Kill, Refactor, Fortress pour reprendre le contrôle de l’héritage toxique. Mais il existe une catégorie d’actifs encore plus redoutable que le vieux serveur oublié dans la salle machines.

Du SBOM contractuel au SBOM vivant

Wed, 25 Feb 2026 00:00:00 +0100

Du SBOM contractuel au SBOM vivant : quand la liste devient un radar

La supply chain logicielle est la dépendance invisible par excellence. La plupart des organisations ont un SBOM. Presque aucune ne s’en sert.

Introduction

Fin 2021, une vulnérabilité critique est découverte dans Log4j, une bibliothèque Java utilisée par des millions d’applications. Dans les heures qui suivent, une question simple paralyse des milliers d’équipes : « est-ce qu’on utilise ce composant, et où ?» La plupart n’ont pas la réponse. Pas parce qu’elles sont incompétentes. Parce qu’elles n’ont pas d’inventaire vivant de ce qui tourne dans leurs systèmes.

De la Salle de Crise à la Planche à Dessin

Wed, 04 Feb 2026 00:00:00 +0100

Pourquoi la résilience 2026 se joue avant l’incident.

Si les chroniques précédentes nous ont permis d’explorer les mécanismes de la gestion de crise et de la réaction face à l’incident, il est essentiel d’élargir le spectre. Une organisation résiliente n’est pas seulement celle qui se relève vite, c’est celle qui a été conçue pour encaisser les chocs.

Introduction — La fin de l'illusion technique

Wed, 28 Jan 2026 00:00:00 +0100

Cloud, éditeurs, open-source, dépendances : pourquoi la résilience ne peut plus être pilotée uniquement par la DSI

Introduction — La fin de l’illusion technique

Pendant longtemps, la résilience a été pensée comme une affaire de solutions.
De technologies.
D’outils.

Un nouvel antivirus.
Un PRA mieux documenté.
Un cloud plus robuste.
Un éditeur plus “fiable”.

Cette approche n’était pas absurde. Elle était simplement insuffisante.

Logiciels libres, solutions fermées : ce que vos choix technologiques engagent vraiment

Wed, 21 Jan 2026 00:00:00 +0100

Compétences, dépendances, coûts, conformité, souveraineté : derrière chaque choix technologique se cache un pari de long terme sur la résilience de l’organisation.

Introduction — Un débat mal posé depuis trop longtemps

Le débat open-source versus solutions propriétaires est ancien.
Et pourtant, il est rarement posé correctement.

Il est souvent caricatural :

d’un côté, le logiciel libre présenté comme vertueux, économique et souverain ;

- Résilience externe et chaînes numériques : écosystèmes, fournisseurs & supply chain

Wed, 29 Oct 2025 00:00:00 +0100

Avant de se tourner vers soi, il faut étendre la résilience au-delà de ses murs — un maillon faible dans l’écosystème peut déclencher une crise interne.

Introduction — La résilience ne s’arrête pas aux murs de l’entreprise

La tentation est grande, lorsqu’on parle de résilience, de se concentrer uniquement sur ce qu’on contrôle. Les systèmes internes, les processus métier, les équipes, les équipements, les datacenters… Pourtant, les crises les plus marquantes de ces dernières années ne sont pas toujours venues de l’intérieur. Elles ont souvent pris naissance à l’extérieur : chez un prestataire, un fournisseur logiciel, un hébergeur cloud, un partenaire logistique ou un acteur tiers indispensable à la chaîne de valeur numérique.

Crises globales : quand une cyberattaque secoue le monde entier

Wed, 17 Sep 2025 00:00:00 +0200

L’illusion de la frontière numérique

Introduction

Une cyberattaque dans une entreprise ukrainienne. Une mise à jour d’un logiciel américain. Une faille dans une bibliothèque Java open source. À première vue, des incidents techniques « locaux ». Mais à l’heure de l’interconnexion planétaire, aucune crise numérique ne reste confinée.

Blockchain et résilience : usages réels au-delà du buzz

Wed, 03 Sep 2025 00:00:00 +0200

Utilisations concrètes

Introduction — De la hype à la résilience ?

Pendant des années, la blockchain a été associée au seul monde des cryptomonnaies, entre bulles spéculatives et promesses de révolution financière. Mais réduire cette technologie à Bitcoin serait passer à côté de son potentiel plus large. Car derrière l’effet d’annonce, la blockchain propose trois caractéristiques clés qui intéressent directement la résilience : l’intégrité, la traçabilité et la décentralisation.

Cloud et résilience : Promesses, limites et risques des services distants

Wed, 13 Aug 2025 00:00:00 +0200

Le cloud ne garantit pas la résilience, il offre seulement les moyens de la construire… à condition de savoir les maîtriser.

Introduction

Le cloud est devenu l’épine dorsale de nombreuses stratégies de résilience. Ses promesses sont séduisantes : élasticité à la demande, redondance géographique, externalisation de la maintenance et de la sécurité… Autant d’arguments qui font rêver les directions informatiques et métiers. Pourtant, derrière les brochures marketing, la réalité opérationnelle est plus nuancée. Les services distants sont puissants, mais ils créent aussi des dépendances critiques, exposent à des risques de souveraineté et posent des défis spécifiques en cas de reprise après sinistre. Et lorsque le fournisseur rencontre une panne, c’est tout un écosystème qui peut se retrouver à l’arrêt. Cette chronique propose un regard lucide : comprendre les atouts réels du cloud pour la résilience, identifier ses limites, et savoir comment bâtir une stratégie qui combine le meilleur des deux mondes.

Cyberassurance : ce qu'elle couvre vraiment (et ce qu'elle ne couvrira jamais)

Wed, 23 Jul 2025 00:00:00 +0200

Plan R — Episode 029 — Cyberassurance

Ce qu’elle protège vraiment (et ce qu’elle ne couvrira jamais)

Contrat ou faux sentiment de sécurité ? Cette chronique démonte les idées reçues, précise ce que couvre (ou non) une cyberassurance, et comment éviter les clauses pièges qui transforment l’outil en coquille vide.

DORA, NIS2, ISO 27001 : Transformer la conformité en résilience opérationnelle

Wed, 28 May 2025 00:00:00 +0200

Réglementation et résilience, mode d’emploi

Introduction : conformité ≠ résilience

Face à la pression croissante des cybermenaces et aux exigences des régulateurs, les organisations jonglent entre réglementation, gouvernance et opérationnel. DORA, NIS2, ISO 27001… ces textes sont censés les aider à structurer leur sécurité. Pourtant, combien d’organisations cochent toutes les cases sans être capables de résister à une crise ?

Fournisseurs et cybersécurité : maîtriser le risque tiers pour une résilience renforcée

Wed, 30 Apr 2025 00:00:00 +0200

Plan R — Episode 017 - Gestion des tiers

Pourquoi vos fournisseurs peuvent être une menace

Introduction

Dans un monde de plus en plus interconnecté, les organisations ne fonctionnent plus en vase clos. L’efficacité, l’innovation et la performance passent désormais par l’externalisation : infogérance, cloud computing, support technique, sous-traitance logicielle, services RH ou logistiques… Mais cette dépendance croissante s’accompagne d’un paradoxe inquiétant : le renforcement des vulnérabilités à travers la chaîne d’approvisionnement.