Tester la restauration protège la reprise. Surveiller les accès et les sorties de données protège un autre risque : celui d’un SI compromis qui continue pourtant à fonctionner.
Quand une cyberattaque fait tomber les applications, le problème devient visible immédiatement. Quand elle copie les données sans interrompre les services, le tableau de bord peut rester au vert. C’est ce second scénario qui mérite davantage de place dans les discussions de direction.
Ce que documente l’ANSSI
Dans son panorama 2025, publié le 11 mars 2026, l’ANSSI décrit une pression persistante sur les organisations françaises. Elle indique avoir traité 3 586 événements de sécurité en 2025, soit 18 % de moins qu’en 2024. L’Agence explique que la comparaison est notamment influencée par les signalements liés aux Jeux olympiques et paralympiques.
Cette baisse ne signifie donc pas que la menace a disparu. Dans sa présentation du rapport sur LinkedIn, l’ANSSI souligne une augmentation significative des incidents d’exfiltration dont elle a connaissance, parfois après la compromission d’un prestataire. Il s’agit de son périmètre d’observation, pas d’un décompte exhaustif de toutes les attaques en France.
Ma lecture : élargir la définition de la résilience
Je retiens une question de pilotage : savons-nous reconnaître une situation dans laquelle les applications fonctionnent, mais où la confidentialité est déjà perdue ? Une sauvegarde restaurable est indispensable. Elle ne retire pas une copie déjà sortie du SI.
Pour une collectivité, le scénario à travailler pourrait être très concret : un compte utilisé par un prestataire se connecte normalement, puis consulte un volume inhabituel de dossiers. Personne ne signale de panne. Qui peut faire le lien entre l’identité, le périmètre autorisé et l’usage réel ? Cet exemple est un scénario de travail, pas le récit d’un incident particulier.
Trois vérifications à mettre à l’agenda
- Les accès des tiers. Pour chaque intervention, identifier le compte, le responsable interne, le périmètre et la date de fin. Un contrat actif ne justifie pas à lui seul tous les accès.
- La capacité d’investigation. Vérifier qu’une équipe peut retrouver les connexions et les actions utiles, avec des journaux exploitables et une durée de conservation adaptée.
- L’exercice de crise. Introduire un scénario d’exfiltration sans chiffrement. Il oblige à travailler l’incertitude, la qualification des données concernées et la coordination des intervenants.
Le bon indicateur ne sera pas seulement le temps nécessaire pour remettre un service en route. Ce sera aussi notre capacité à expliquer ce qui s’est passé, ce que nous savons et ce qui reste à établir.
Lire la version en mots simples
Une attaque informatique ne bloque pas toujours les ordinateurs. Quelqu’un peut aussi copier des informations en silence. Les services continuent de fonctionner, mais les données sont déjà entre d’autres mains.
Un service qui fonctionne peut quand même avoir été attaqué
Imaginez une armoire dont un inconnu aurait photographié les dossiers avant de les remettre à leur place. Rien ne manque. La porte ferme toujours. Pourtant, le contenu n’est plus confidentiel. Cette image aide à comprendre le vol de données sans panne informatique.
Dans son bilan de 2025, publié en mars 2026, l’ANSSI, l’agence française chargée de la sécurité des systèmes d’information, souligne notamment ce risque de copie de données. Les chiffres du rapport portent sur les événements qu’elle a traités : ils ne recensent pas toutes les attaques du pays.
Pourquoi les sauvegardes ne règlent pas tout
Une sauvegarde est une copie de secours. Elle aide à récupérer un fichier effacé ou à redémarrer après une panne. Elle ne permet pas de reprendre une copie déjà volée. Il faut donc préparer à la fois la remise en route des services et la détection d’un accès anormal aux informations.
Trois questions que l’on peut poser sans être informaticien
- Qui peut consulter nos dossiers ? Les accès des entreprises extérieures doivent correspondre à leur mission et être retirés lorsqu’ils ne servent plus.
- Peut-on comprendre ce qui s’est passé ? Les équipes doivent pouvoir retrouver les traces utiles : connexions, consultations et actions réalisées.
- Avons-nous répété ce scénario ? Un exercice peut simuler un vol de données alors que toutes les applications restent disponibles.
Pour une collectivité, on pourrait par exemple imaginer qu’un compte de prestataire consulte soudain beaucoup plus de dossiers que d’habitude. C’est un exemple de travail, pas le récit d’une attaque précise. L’enjeu est de savoir qui remarquera cette activité et comment elle sera vérifiée.
Ce que je retiens : « tout fonctionne » est une bonne nouvelle, mais cela ne suffit pas à dire « nos informations sont protégées ».
