5 devoirs de vacances cybersécurité : le métier qui va devoir aller plus vite
L’IA accélère l’attaque comme la défense. Cartographie, vulnérabilités, PCRA, outils internes, pilotage : 5 chantiers à remettre d’aplomb avant la rentrée.
Un métier qui va devoir apprendre à aller plus vite
D’expérience, l’été est le moment où les RSSI et responsables cybersécurité lèvent un peu la tête du guidon. C’est aussi le bon moment pour regarder où va le métier, avant la rentrée. Et ce qu’on observe depuis quelques mois sur nos missions, chez des clients de tailles très différentes, c’est une accélération nette : l’IA générative change la vitesse à laquelle les attaquants opèrent, et donc la vitesse à laquelle la fonction cybersécurité doit répondre. Tout le monde, du RSSI industriel au DSI généraliste, se prépare consciemment ou non à devoir gérer plus vite, avec les mêmes équipes.
Ce n’est pas un scénario de science-fiction : c’est déjà visible dans la manière dont les consultations et les appels d’offres sont rédigés, et dans les outils que les praticiens se bricolent eux-mêmes faute d’attendre le bon budget. Voici 5 devoirs de vacances pour préparer la rentrée sur ces sujets.
1. Mieux gérer la cartographie
Partout où nous intervenons, le même mouvement se répète : les RSSI reprennent la cartographie en direct, au lieu de la sous-traiter entièrement ou de la laisser vieillir dans un tableur oublié. Sans inventaire à jour des systèmes, des applications et des flux, aucune priorisation de la remédiation n’est crédible, et l’IA ne peut rien automatiser sur une base de données fausse.
Ce retour en direct se retranscrit très concrètement dans les consultations que nous recevons : de plus en plus d’appels d’offres demandent explicitement un outil ou une méthode de cartographie vivante, pas un audit ponctuel figé à la date de restitution. Le devoir de vacances est simple : reprendre la main sur cette base avant que quelqu’un d’autre, ou un attaquant, ne la reconstitue à votre place.
2. Préparer l’industrialisation de la qualification des vulnérabilités
Pour ceux qui seraient passés à côté : la CISA, l’agence américaine de cybersécurité, a publié le 10 juin 2026 la Binding Operational Directive 26-04, consacrée à la priorisation des mises à jour de sécurité selon le risque. Elle impose aux agences fédérales américaines de remédier leurs vulnérabilités dans des délais allant de 3 à 60 jours, calculés non plus sur le seul score CVSS mais sur quatre facteurs croisés : l’exposition réelle de l’actif, sa présence dans le catalogue KEV (Known Exploited Vulnerabilities), la disponibilité d’un exploit automatisable, et l’impact technique potentiel.
L’enjeu de fond dépasse le périmètre fédéral américain : c’est la généralisation d’une logique où le KEV, la liste des vulnérabilités dont l’exploitation active est confirmée, devient la boussole de priorisation, devant le score de sévérité brut. La directive impose aussi un inventaire continu des actifs exposés en externe, remis à jour trimestriellement. Pour nos clients, la qualification manuelle des vulnérabilités, CVE par CVE, ne tiendra bientôt plus le rythme. Le devoir de vacances est de commencer à outiller cette qualification, flux KEV, scoring d’exposition, automatisation du triage, avant que le volume ne devienne ingérable.
3. Monter en compétence sur le PCRA
Autre mouvement observé partout : les RSSI reprennent progressivement la main sur le Plan de Continuité et de Reprise d’Activité. Longtemps porté par les équipes IT ou par des cabinets généralistes de gestion de crise, le PCRA redevient un sujet cybersécurité à part entière, parce que le scénario de sinistre le plus probable aujourd’hui reste l’attaque par rançongiciel. Le devoir de vacances : ne plus se contenter de relire le PCRA une fois par an, mais en comprendre chaque brique assez finement pour le challenger et le tester soi-même.
4. Développer, ou vibecoder, ses outils internes
De plus en plus d’experts cybersécurité développent leurs propres outils pour des usages internes, chez les petites structures comme chez les grands groupes. Avec les assistants de code IA, un script de triage, un tableau de bord ou un connecteur maison qui prenait deux semaines se code en une journée. On pense sincèrement que ça va devenir un indispensable du métier, au moins sur toute la partie non critique : rien ne remplace un outil pensé pour son propre contexte, sans attendre un éditeur ou un budget d’intégration.
5. Digitaliser le pilotage de la cybersécurité
Avec l’accélération que permet l’IA sur l’attaque comme sur la défense, il faudra encore davantage prouver aux directions ce qui est réellement fait, et pas seulement ce qui est prévu. Un plan d’action mis à jour une fois par trimestre ne suffira plus à rassurer un comité de direction qui lit les mêmes actualités que vous. Le pilotage doit devenir vivant, traçable, et consultable à tout moment.
Vous pouvez prendre exemple sur le dossier de sécurité que nous mettons à disposition pour nos clients finaux, qui centralise en continu l’état réel de la sécurité et des actions en cours.
Ce qu’il faut retenir
Ces 5 devoirs n’ont rien d’exotique pris séparément. Ce qui change, c’est le rythme : la cartographie, la qualification des vulnérabilités, le PCRA, l’outillage interne et le pilotage devront tous absorber une vitesse d’exécution que l’IA impose des deux côtés de la barrière. Le RSSI qui prend l’été pour remettre ces cinq briques d’aplomb partira avec une longueur d’avance à la rentrée.
Ressources CyberLead
Le Dossier de Sécurité CyberLead regroupe vos risques, exigences, cartographies, incidents et plans d'action dans une vision claire, à jour et partageable. Accédez-y gratuitement, commencez en autonomie, puis faites-le évoluer avec un expert.
Vous voyez un post LinkedIn sur le sujet, n’hésitez pas à partager cet article en commentaire !