L'intelligence cognitive, rempart face aux nouvelles menaces

Ce que l'actualité récente a révélé

Ces derniers mois, plusieurs incidents très médiatisés ont un point commun : ils n'ont rien de spectaculaire techniquement. Ils ont touché des systèmes que personne ne regardait vraiment. Des chambres froides, des équipements industriels pilotés à distance, des services confiés à un prestataire. Qui aurait parié que la chaîne du froid deviendrait un enjeu de sécurité ? Pourtant, des chambres froides à l'arrêt bloquent une activité agroalimentaire bien plus sûrement qu'une attaque sur le système d'information administratif.

Autre enseignement : le prestataire du prestataire. Vous connaissez vos sous-traitants. Vous connaissez beaucoup moins les leurs, alors qu'ils ont souvent un accès technique aux mêmes environnements. Un incident chez un acteur que vous n'avez jamais rencontré peut immobiliser votre activité en quelques heures, sans que vous ayez rien fait de travers.

Et puis il y a le mode opératoire. Pas de faille inconnue, pas d'outil d'exception. Un e-mail lu trop vite, un accès laissé ouvert par confort, un mot de passe partagé, un logiciel jamais mis à jour. Des décisions humaines, prises dans la charge et l'urgence. Rarement une défaillance d'équipement.

Le facteur humain, première porte d'entrée

Les rapports annuels sur les menaces tombent tous à peu près sur le même chiffre : sept attaques réussies sur dix passent par l'humain, pas par le logiciel. Attention à la lecture de ce chiffre. Il ne dit pas que les collaborateurs sont négligents. Il dit que les attaquants contournent les défenses plutôt qu'ils ne les forcent, et que le contournement tient en un geste banal : valider une demande qui semble normale, ouvrir une pièce jointe venue d'un contact habituel, brancher une clé pour gagner du temps.

Concrètement, ça change le travail à faire. Protéger une organisation, ce n'est pas seulement durcir des périmètres techniques. C'est aussi donner aux équipes la capacité de repérer un signal faible, de douter au bon moment, de signaler sans craindre d'être jugé. Quelqu'un qui signale une erreur dans la minute transforme un incident en désagrément. Le même qui se tait par peur de la sanction le transforme en crise.

C'est là que se joue la différence entre une organisation bien outillée et une organisation résiliente. Les outils ne produisent de la sécurité que si quelqu'un regarde, interprète et décide. Et ce quelqu'un dispose souvent de quelques minutes, avec des informations incomplètes.

L'intelligence cognitive, un capital que l'on délègue sans s'en apercevoir

Appelons intelligence cognitive la capacité à comprendre une situation, à faire la part des choses, à tirer les leçons de ce qui s'est déjà passé et à décider avec des éléments incertains. Ça demande de la mémoire, de l'attention, de la rigueur, et de l'expérience accumulée.

On parle beaucoup d'hygiène cognitive depuis quelques mois, et l'idée est simple : une capacité qu'on n'exerce plus s'affaiblit. Si la rédaction, la synthèse, l'analyse et même la vérification partent systématiquement chez un assistant, on finit par ne plus savoir faire sans lui. Puis par ne plus chercher à comprendre ce qu'il a produit.

En cybersécurité, l'effet est direct. Une équipe qui laisse l'outil lire les journaux, qualifier les alertes, rédiger la réponse à incident, et qui ne relit plus ce que la machine propose, perd peu à peu la capacité de réagir le jour où la machine se trompe. Ou le jour où elle n'est plus là. Il ne reste alors que des procédures que personne ne sait vraiment appliquer.

Il ne s'agit évidemment pas de refuser l'IA, dont les gains sont réels. Il s'agit de décider ce qui doit rester une compétence vivante et ce qu'on peut confier. Une vérification peut être accélérée, pas supprimée. Une synthèse peut être assistée, pas déléguée au jugement.

La conformité ne remplace pas la culture cyber

NIS2 a eu le mérite de poser la question de la responsabilité de la direction et de l'obligation de former les décideurs. Mais la conformité n'est pas la sécurité. On peut avoir un dossier NIS2 complet, une analyse de risques à jour, une politique de sécurité signée, et rester exposé parce qu'au quotidien personne ne reconnaît une tentative d'ingénierie sociale bien faite.

Les référentiels l'ont d'ailleurs compris. Les clauses d'ISO/IEC 27001 sur les compétences, la sensibilisation et la prise de conscience ne sont pas décoratives : elles font partie du système de management. Un auditeur peut relever un écart si vous n'apportez pas de preuve réelle de compétence, au-delà de la feuille de présence à la session annuelle.

Le problème, c'est que la culture cyber ne se documente pas. Elle se voit un vendredi après-midi, quand un faux fournisseur appelle. Elle se voit dans la vitesse à laquelle une anomalie remonte, dans les questions posées avant d'accepter un changement de coordonnées bancaires. Ces réflexes-là s'obtiennent par l'entraînement, pas en signant une charte.

Décider sous pression

Une attaque réussie repose rarement sur la technique seule. Elle repose sur la manipulation, qui vise la confiance, sur l'urgence fabriquée, qui supprime le temps de vérifier, et sur la confusion, qui empêche de distinguer l'important de l'accessoire. Face à ça, la meilleure riposte n'est pas un produit. C'est de la clarté mentale : savoir ce qui est en jeu, ce qui est réel, ce qui peut attendre dix minutes.

Cette clarté se travaille. Un exercice de crise, messagerie compromise, extorsion de données, prestataire critique indisponible, révèle en deux heures ce qu'aucun document ne montre : qui décide vraiment, qui n'a pas les accès, quelles informations personne ne sait retrouver, combien de temps il faut pour joindre quelqu'un capable d'arbitrer une coupure de service.

L'exercice a aussi un effet moins attendu : il remet de l'intelligence là où la routine avait installé l'automatisme. Les participants découvrent qu'ils savent appliquer une procédure tant qu'elle est simple, et qu'ils sont seuls face à leur jugement dès que la situation dérape. C'est exactement cette compétence qu'il faut renforcer.

Entretenir le rempart, quatre étapes

D'abord un diagnostic. Pas seulement l'inventaire des actifs et des accès : les usages réels de l'IA dans l'organisation, et les tâches où la vérification s'est relâchée. Où lit-on moins qu'avant ? Qui valide sans contrôler ? Quelles décisions sensibles reposent aujourd'hui sur une sortie de machine ?

Ensuite, prioriser. Toutes les compétences ne se protègent pas au même niveau. La réaction à incident, la vérification des paiements, la gestion des accès, la validation des contenus qui sortent : c'est là qu'une erreur coûte cher et se rattrape rarement.

Puis mettre en œuvre. Des sessions courtes sur des cas réels du métier plutôt que des principes généraux, des exercices de crise à un rythme tenable, une règle claire de vérification humaine avant toute diffusion externe, et une classification simple des données : ce qu'on peut confier à un assistant, et ce qu'on ne lui confiera jamais.

Enfin, suivre. Le taux de signalement des tentatives d'hameçonnage est un meilleur indicateur que le taux de clic, parce qu'il mesure un comportement positif. Ajoutez la tenue réelle des exercices et la trace des personnes formées, et vous avez le tableau. L'objectif n'est pas une note. C'est de savoir que l'organisation sait encore penser par elle-même quand un outil lui fait défaut.

C'est le terrain sur lequel nous accompagnons les TPE, PME, collectivités et cabinets chez NovIA Secure : rendre visibles les dépendances réelles, protéger ce qui doit rester une compétence humaine, transformer la conformité en capacité de réaction. Du comprendre au faire, pour que l'intelligence cognitive redevienne ce qu'elle aurait toujours dû être : la première ligne de défense.