Cybersécurité : cinq leviers pour optimiser son modèle opérationnel 

Découvrez cinq leviers pour faire évoluer le modèle de cybersécurité, anticiper les risques et sécuriser vos transformations cloud, data et IA.

Le ressenti des entreprises françaises ? Principale source d’inquiétude des ETI (entreprises de taille intermédiaire) en juin 2025 : la cybersécurité, selon le baromètre annuel de Bpifrance. Environnements plus ouverts, plus distribués et plus interdépendants… Une décision prise sur le cloud peut affecter les identités, la donnée, les applications et l’expérience de milliers d’utilisateurs.

Pourtant, seules 37 % des organisations disent avoir mis en place des processus pour évaluer la sécurité des outils IA avant leur déploiement, selon le Global Cybersecurity Outlook 2025 du World Economic Forum. La prise de conscience des organisations progresse donc bien plus vite que la mise en place de mesures concrètes pour maîtriser les risques. Sécurité, confiance et résilience sont pourtant des maîtres-mots pour la gouvernance des écosystèmes d’entreprise profondément marqués par l’IA, dont le cloud est devenu l’un des piliers.

Dans ce contexte, quelles sont les options à la disposition des organisations ? Pour Laurent Lajugie, Associé EY France Cyber Transformation, cinq leviers peuvent être activés pour faire évoluer son modèle de cybersécurité et répondre aux nouveaux enjeux de transformation.

1. Anticiper les risques : intégrer la sécurité dès la conception

Corriger les risques au lendemain d’incidents ?

Les produits utilisés ne sont sans doute pas « secure by design ». En clair, ils n’ont pas été conçus en intégrant des critères de robustesse et de résilience. Produits, applications, plateformes cloud et services numériques… Il importe de repenser la façon dont ils sont conçus. Objectif : intégrer la sécurité dès leur conception.

Laurent Lajugie : « Nous portons une stratégie « security by design » : des exigences proportionnées au risque, des modèles d’architecture réutilisables, des contrôles automatisés dans les chaînes de développement et un accompagnement des équipes. »

2. Réduire les expositions : prioriser les vulnérabilités critiques

Gérer beaucoup d’alertes simultanément ?

Les outils détectent un important volume de vulnérabilités, des mauvaises configurations cloud ou des expositions de données… Résultat : les équipes ne savent pas toujours quelles alertes correspondent aux actifs les plus critiques.

Laurent Lajugie : « Nous concentrons nos efforts là où les risques sont les plus importants, en intervenant le plus en amont possible pour identifier, prioriser et corriger les vulnérabilités critiques, avant qu’elles ne deviennent des incidents. L’objectif est de réduire durablement la surface d’exposition et de limiter au maximum le volume d’alertes et d’événements que les équipes SOC (Security Operation Center) devront ensuite gérer. »

3. Piloter la transformation : unifier outils et contrôles de sécurité

Des outils de sécurité trop fragmentés ?

Conséquence : une équipe utilise un outil de sécurité de code, une autre contrôle le cloud, une troisième gouverne les identités, une quatrième protège les données…

Laurent Lajugie : « Nous fédérons les services, les contrôles et les données dans des parcours cohérents, unifiés et centralisés. Des configurations sécurisées par défaut, des composants approuvés, des modèles réutilisables sont des fondements pour favoriser une adoption globale et fluide des bonnes pratiques cyber. L’automatisation et l’IA peuvent alors nous aider à corréler les signaux, à contextualiser les risques et à assister les décisions, sans ajouter une nouvelle couche isolée. »

4. Acculturer les équipes : s’appuyer sur des « security champions »

Avoir testé avec succès un projet auprès de quelques équipes suffit-il ?

Attention, la partie n’est pas pour autant gagnée : des difficultés peuvent survenir lors de son déploiement dans toute l’organisation. Avec plusieurs milliers d’utilisateurs, une faiblesse d’adoption devient un problème opérationnel majeur.

Laurent Lajugie : « Dès la conception, nous intégrons la dimension humaine. Nous identifions les populations concernées, leurs usages, leurs contraintes et les compétences à développer. Nous construisons ensuite des parcours de formation adaptés aux différents rôles. Pour ce faire, nous nous appuyons sur les personnes les plus à l’aise avec les plateformes de sécurité, les « security champions », à même de relayer les bonnes pratiques auprès de leurs équipes et communautés métier. Pour éviter les doublons et les tensions, nous clarifions également les responsabilités propres à chaque métier. »

 5. Accélérer avec l’IA sans perdre le contrôle : gouverner données et accès

Une direction métier souhaite développer des assistants et des agents IA ?

Mais plusieurs questions bloquent le processus : quelles données peuvent être utilisées, qui accède à quoi, comment gérer les identités non humaines… Une gouvernance fondée sur l’interdiction favorise les usages non maîtrisés, tandis qu’une adoption sans cadre augmente l’exposition aux risques.

Laurent Lajugie: « Cas d’usage prioritaires, classification et protection des données, gestion des accès, accompagnement des utilisateurs… Nous traitons l’IA comme une transformation de bout en bout, reliée au cloud, à la donnée, aux identités et aux applications. »

Comment mesurer la réussite d’une transformation cyber ?

Au-delà de vouloir faire la course en tête en investissant massivement dans les nouvelles technologies, c’est la faculté d’une organisation à susciter de meilleures expériences, une responsabilité renforcée et un impact mesurable sur l'efficacité, le risque, le chiffre d'affaires ou l'ebitda. Une transformation réussie ne se mesure pas uniquement à la rapidité d'adoption des nouvelles technologies. Elle s’évalue également au regard de la capacité de l'organisation à créer de la valeur tout en maîtrisant ses risques, en renforçant sa résilience et en conservant la confiance de ses clients, partenaires et collaborateurs.

Présent dans 170 pays, le réseau d’EY dans le domaine de la sécurité repose sur les compétences de 18 000 professionnels, sur lequel l’équipe Cyber Transformation de Laurent Lajugie – une quinzaine d’experts –s’appuie. Cette task force opérationnelle est intégrée à l’équipe cybersécurité d’EY Consulting France – plus de 150 consultants et auditeurs spécialisés. Leurs domaines d’expertise : gouvernance et stratégie (définition d’une stratégie cyber, mise en conformité et gestion des risques), gestion des identités (maîtrise du cycle de vie des identités numériques et surveillance des accès privilégiés), cyber opérations & résilience (tests techniques, architectures sécurisées et réponses aux incidents via une équipe dédiée).