Michael Crouch – Ingénieur en collaboration antagoniste
Andrew Heller – Responsable marketing
La souveraineté numérique au sein de l'UE ne se limite plus à la seule question de la localisation du stockage des données. Il s'agit de savoir si une organisation est en mesure de garder un contrôle effectif sur ses systèmes critiques, ses communications, ses fournisseurs et ses flux de données lorsque les conditions deviennent difficiles.
Au sein de l'équipe de conseil en cybersécurité offensive de Damovo, Lares, cette évolution est perceptible au quotidien. Des réglementations telles que la directive NIS2 et la directive DORA poussent les organisations à aller au-delà d'une simple conformité formelle et à adopter une exigence plus élevée : démontrer que les mesures de sécurité sont réellement efficaces face à des menaces réalistes.
C'est grâce aux tests adversariaux que cette preuve est générée. Lares aide les organisations à mettre en évidence leurs points faibles, à valider leurs contrôles de sécurité et à faire de la souveraineté numérique non plus une simple aspiration, mais un objectif pouvant être testé, démontré et amélioré au fil du temps.
En collaboration avec les équipes de Damovo spécialisées dans la cybersécurité, les réseaux d'entreprise, les communications unifiées, les centres de contact et les services gérés, Lares s'attache à garantir la souveraineté là où cela compte le plus : au sein des systèmes qui assurent la continuité des activités et le maintien de l'engagement client.
Qu'est-ce que la souveraineté numérique dans l'UE ?
La souveraineté numérique désigne la capacité à contrôler les actifs, services et données numériques critiques conformément aux exigences commerciales, juridiques et opérationnelles. Concrètement, cela implique de savoir où sont stockées les données sensibles, qui y a accès, quelles juridictions sont applicables, dans quelle mesure les charges de travail clés dépendent de prestataires externes, et si les services essentiels restent résilients en cas d'incident.
C'est pourquoi il ne faut pas confondre la souveraineté numérique avec la simple localisation des données. Même si les données sont hébergées en Europe, les services connexes tels que la gestion des identités, la télémétrie, la sauvegarde, le traitement par IA ou l'accès privilégié à l'assistance peuvent tout de même entraîner des risques en dehors des limites juridiques et opérationnelles prévues.
Pour de nombreuses organisations, le véritable enjeu n'est pas de s'affranchir totalement des écosystèmes technologiques mondiaux. Il s'agit plutôt de savoir faire des choix réfléchis quant aux domaines où le contrôle doit être le plus strict, puis de démontrer que ces choix font leurs preuves dans la pratique.
Pourquoi la souveraineté numérique revêt aujourd'hui une importance accrue
Partout en Europe, la souveraineté numérique revêt un caractère de plus en plus urgent, car les risques ne se limitent plus aux cyberattaques classiques. Les organisations doivent également faire face à la concentration des risques liés aux fournisseurs, à l'incertitude géopolitique et aux répercussions opérationnelles des dépendances complexes vis-à-vis du cloud et des solutions SaaS.
Chez Lares, ce phénomène est de plus en plus considéré comme un problème à la fois de cybersécurité et d’architecture. Damovo a déjà souligné comment la directive NIS2 renforce les exigences en matière de gouvernance, de gestion des incidents, de traitement des risques, de sécurité des réseaux et de protection des informations sensibles. La directive DORA introduit une approche plus explicite en matière de tests pour les services financiers, à travers des exigences de résilience opérationnelle numérique et des tests d’intrusion axés sur les menaces. La loi européenne sur l’IA accentue également la pression pour valider la robustesse et la sécurité des services et des flux de travail basés sur l’IA.
Ensemble, ces tendances redéfinissent ce qu'on entend par « efficace ». Il ne suffit plus de se contenter d'affirmer que des contrôles sont en place. Les organisations doivent de plus en plus démontrer qu'elles sont capables de détecter, de contenir et de se remettre des attaques qui menacent leurs services essentiels ou leurs données sensibles.
Là où la souveraineté s'effrite dans la pratique
La plupart des défaillances en matière de souveraineté ne résultent pas d'une seule erreur dramatique. Selon Lares, elles découlent généralement de petites lacunes au niveau de l'architecture, des processus et des relations avec les fournisseurs.
Parmi les exemples courants, on peut citer :
- Une charge de travail dans le cloud est hébergée dans l'UE, mais les journaux ou les sauvegardes sont répliqués ailleurs.
- Une plateforme de collaboration ou de centre de contact est configurée au niveau régional, mais les droits d'accès privilégiés à l'assistance restent trop étendus.
- Une application critique pour l'entreprise stocke les données en local, mais les API externes, les outils d'analyse ou les connecteurs d'IA créent de nouvelles voies qui sortent du périmètre de contrôle prévu.
- Sur le papier, un réseau est sécurisé dès sa conception, mais la segmentation et les contrôles d'identité s'avèrent inefficaces face à des attaques réelles.
Cela est important car les environnements d'entreprise modernes sont étroitement interconnectés. Les communications unifiées, les réseaux d'entreprise, les plateformes cloud, les outils de centre de contact et les services gérés fonctionnent désormais comme un système d'entreprise unique, et non plus comme des silos distincts. Lorsqu'un point faible apparaît à un niveau, il peut rapidement compromettre la résilience, la confiance des clients et la conformité à un autre niveau.
Pourquoi les tests adversariaux sont-ils importants ?
Les tests adversariaux constituent l'un des moyens les plus efficaces de passer des hypothèses aux preuves. Plutôt que de se demander si un mécanisme de contrôle existe, ils visent à déterminer si ce mécanisme fonctionne lorsqu'un attaquant le met à l'épreuve.
C'est là que Lares joue un rôle essentiel au sein du portefeuille plus large de Damovo. Grâce à ses services de cybersécurité offensive, Lares adopte une approche à la fois proactive et maîtrisée pour identifier et corriger les vulnérabilités avant que des acteurs malveillants ne puissent en tirer parti. Par le biais Purple Teaming, Lares aide les organisations à améliorer leurs capacités de détection, de réaction et de visibilité en simulant des attaques de manière à obtenir des améliorations mesurables de leurs défenses.
Un programme de simulation de confrontation performant développé par Lares peut aider à répondre à des questions telles que :
- Un pirate informatique peut-il passer d'une intégration tierce à une plateforme de communication critique ?
- Les données sensibles de l'UE peuvent-elles être transférées d'un pays à l'autre sans déclencher d'alerte ?
- Les équipes peuvent-elles assurer la continuité en cas de perturbation de l'identité, de l'administration du cloud ou des contrôles réseau ?
- Les responsables de la sécurité sont-ils en mesure de détecter et de contrer les abus assez rapidement pour protéger les opérations et préserver la confiance ?
Il s'agit là autant de questions de souveraineté numérique que de cybersécurité. Elles permettent de vérifier si l'organisation garde véritablement le contrôle lorsque cela compte le plus.
Le rôle du Red Teaming du Purple Teaming
Les tests d'intrusion traditionnels restent utiles, mais ils se concentrent souvent sur des failles techniques isolées dans un délai donné. Les enjeux liés à la souveraineté se situent généralement à un niveau plus élevé de la chaîne. Ils impliquent les personnes, les processus, les tiers, les flux de travail opérationnels et les présupposés de confiance inhérents aux environnements complexes.
C'est pourquoi Red Teaming et Purple Teaming sont particulièrement pertinents.
Un cadre pratique pour garantir la souveraineté numérique
Un programme efficace ne commence pas par les outils. Selon Lares, il commence par une vision claire de ce qu'il faut avant tout protéger
-
Définir les domaines où la souveraineté revêt une importance capitale
En général, Lares commence par aider les organisations à identifier les services, les types de données et les processus opérationnels qui nécessitent le plus haut niveau de contrôle. Cela concerne souvent les données clients soumises à une réglementation, les communications critiques, les infrastructures de base et les systèmes liés à la fourniture de services essentiels.
-
Cartographier les dépendances sur l'ensemble de la pile
Lares s'efforce ensuite de déterminer quels réseaux, services cloud, plateformes de communication, API, outils d'IA et dispositifs d'assistance sous-tendent ces services. C'est souvent à ce stade que se révèlent des dépendances cachées et des surprises en matière de juridiction.
-
Élaborer des scénarios de test axés sur les menaces
Par ailleurs, Lares conçoit des exercices de simulation d'attaques basés sur des risques réels pour la souveraineté, tels que l'abus d'accès privilégié, l'exfiltration de données via des voies de communication dans le cloud, la compromission d'un fournisseur clé ou la perturbation des communications lors d'un incident.
-
Traduire les conclusions en décisions
Les tests n'apportent de la valeur que lorsque leurs conclusions débouchent sur des mesures concrètes. Les résultats doivent servir de base aux choix architecturaux, aux priorités en matière de correction, à la gestion des fournisseurs et à la définition du niveau de contrôle requis pour des charges de travail spécifiques.
-
Répéter et affiner
La souveraineté numérique n'est pas un état statique. Les services cloud évoluent, les fournisseurs changent, les capacités de l'IA se développent et les vecteurs d'attaque se transforment au fil du temps. La mise en place régulière Red Teaming et Purple Teaming, les audits des applications et du cloud, ainsi qu'un soutien géré en matière de cybersécurité permettent de maintenir un contrôle en phase avec la réalité.
La solution
La souveraineté numérique se résume en fin de compte à une question pratique : les systèmes critiques, les communications, les fournisseurs et les flux de données sont-ils capables de résister à des pressions réalistes tout en répondant aux attentes de l'UE ? Les politiques, les schémas et les choix d'hébergement ont leur importance, mais à eux seuls, ils ne garantissent pas que les contrôles de sécurité tiendront la route lorsqu'ils seront mis à l'épreuve par de véritables vecteurs d'attaque.
C'est là que Lares, l'équipe de conseil en cybersécurité offensive de Damovo, apporte toute sa valeur ajoutée. Grâce à des tests d'intrusion, des exercices de type Red Teaming et Purple Teaming, ainsi qu'à des services de conseil en cybersécurité offensive, nous aidons les organisations à identifier leurs points faibles, à valider leurs contrôles de sécurité et à démontrer que leur résilience s'améliore au fil du temps. En collaboration avec les équipes plus larges de Damovo chargées de la cybersécurité et des infrastructures, Lares contribue à faire de la souveraineté numérique non plus un simple objectif stratégique, mais une discipline opérationnelle pouvant être testée, mesurée et renforcée en permanence.
Foire aux questions
La souveraineté numérique est-elle synonyme de « cloud souverain » ?
Non. Le « sovereign cloud » peut contribuer à la souveraineté numérique, mais la notion de souveraineté est plus large. Elle englobe également le contrôle opérationnel, la dépendance vis-à-vis des fournisseurs, les accès privilégiés, la résilience et la capacité à maintenir le service en cas d'attaque.
Quel est le lien entre la directive NIS2 et la souveraineté numérique ?
La directive NIS2 renforce les exigences en matière de gouvernance, de gestion des risques, de sécurité des réseaux, de gestion des incidents et de garantie de la chaîne d'approvisionnement pour les entités essentielles et importantes. Elle ne prescrit pas de types de tests spécifiques, mais impose la réalisation d'évaluations de sécurité régulières et une réduction démontrable des risques, domaines dans lesquels les tests adversariaux proposés par Lares peuvent fournir des preuves concrètes.
Quel est le lien entre DORA et les tests contradictoires ?
DORA accorde une grande importance à la résilience opérationnelle numérique et impose à certaines entités financières de réaliser des tests d'intrusion axés sur les menaces. Dans la pratique, cela s'apparente à des exercices de type TIBER-EU où Purple Teaming obligatoire, ce qui favorise indirectement le recours à Purple Teaming vérifier la capacité des services TIC critiques à résister à des attaques réalistes.
Dans quels cas les organisations devraient-elles privilégier Red Teaming que Purple Teaming?
Red Teaming particulièrement adapté lorsqu'il s'agit de simuler des scénarios d'attaque réalistes et de tester la résilience de bout en bout. Purple Teaming particulièrement Purple Teaming lorsqu'il s'agit d'améliorer la visibilité et la réactivité des défenses grâce à une collaboration étroite entre les équipes offensives et défensives.
Que devrait inclure une première évaluation de la souveraineté numérique ?
Une base solide doit inclure les services essentiels, les flux de données, les dépendances vis-à-vis du cloud et des solutions SaaS, les accès privilégiés, les risques liés aux juridictions et les scénarios d'attaques liés à l'impact sur l'activité.