L’utilisation d’outils sans stratégie est un gaspillage de ressources

Les défis auxqueles les entreprises suisses sont confrontées an matière de cybersécurité 

Près de 65 000 incidents cyber ont été signalés par les entreprises et les autorités suisses à l’Office fédéral de la cybersécurité en 2025 (B2B Cyber Security). Dans le même temps, plus d’une entreprise suisse sur dix a dû renoncer à des mesures de sécurité pourtant planifiées, non pas faute de technologie, mais en raison de budgets insuffisants (swisscybersecurity.net). Le véritable problème est ailleurs : les organisations acquièrent des outils, comblent des lacunes et consomment leurs budgets, sans pour autant améliorer significativement leur niveau de sécurité. Ce qui manque, c’est une stratégie claire et une structure cohérente.

Au total, 260 attaques visant des infrastructures critiques ont été recensées par le BACS entre avril 2025 et février 2026. Après un incident, les entreprises concernées entament souvent une recherche de solutions : un nouvel outil est évalué, acheté puis déployé, avant de venir s’ajouter à un environnement déjà composé de dizaines de décisions similaires prises de manière isolée. Le résultat n’est pas une véritable stratégie de protection, mais un patchwork : de nombreux outils, peu d’intégration et un impact global limité.

Le problème de fond n’est donc pas le manque de technologies. Il réside dans l’absence d’une stratégie claire définissant ce qui doit réellement être protégé, le niveau de protection recherché et la manière dont les mesures doivent être priorisées et alignées sur les ressources disponibles.

La structure comme facteur d’efficacité 

Une stratégie de cybersécurité définit concrètement quels systèmes et quelles données nécessitent le plus haut niveau de protection, quelles lacunes doivent être comblées et dans quel ordre les mesures doivent être mises en œuvre, en tenant compte du budget et des capacités disponibles.

Cet alignement est essentiel : ce n’est pas la mesure la plus ambitieuse qui génère le plus grand gain en matière de sécurité, mais la bonne mesure au bon moment. Les organisations qui passent directement à l’architecture et à la mise en œuvre, sans définir de stratégie préalable, perdent leur référence principale. Les audits de sécurité fournissent des constats, mais pas de contexte stratégique. Des mesures isolées sont alors mises en œuvre, tandis que de nombreux risques demeurent sans traitement et que les ressources sont gaspillées faute de fondations solides.

Trois niveaux distincts sont déterminants :

• Stratégie: que faut-il protéger ? Quel niveau de protection vise-t-on ? Quels risques sont acceptables ? En savoir plus ici.
• Architecture: comment les lignes de défense sont-elles conçues et comment les systèmes sont-ils structurés ? En savoir plus ici.
• Design: quelles mesures concrètes sont déployées, où et comment ? En savoir plus ici.

Ce n’est que lorsque ces trois niveaux sont parfaitement alignés qu’un dispositif de sécurité réellement efficace peut être mis en place, capable de fonctionner au quotidien et de préserver la capacité d’action des entreprises.

L’IA accenture l’urgence d’agir

Cette exigence de clarté stratégique devient encore plus importante avec l’adoption de l’intelligence artificielle. L’IA est désormais bien présente dans les entreprises suisses, que ce soit comme assistant, outil d’analyse ou composante de processus automatisés. Elle génère de nouveaux flux de données, de nouvelles dépendances et de nouvelles surfaces d’attaque que les modèles de sécurité traditionnels ne couvrent que partiellement.

Les organisations qui déploient des charges de travail d’IA sans savoir quelles données circulent, où elles sont traitées, qui y a accès et qui est responsable en cas d’incident créent des risques structurels, indépendamment de la qualité de leur architecture de sécurité existante. L’AI Security n’est donc pas une discipline distincte. Elle constitue l’extension logique d’une stratégie de cybersécurité bien pensée : la gouvernance, la transparence et la définition claire des responsabilités s’appliquent aux systèmes d’IA de la même manière qu’à toute autre infrastructure critique de l’entreprise.