En 2025, chaque composant du SI, du site vitrine au déploiement d’un ERP, est une cible potentielle. Les chiffres parlent d’eux même, l’ANSSI a dû gérer 4 386 événements de sécurité en 2024, + 15 % en un an et 62 % des entreprises françaises ont subi au moins une cyber-attaque selon le baromètre CESIN 2024. Plus inquiétant, dans 68 % des violations, l’« élément humain » reste impliqué et le coût moyen d’une fuite de données atteint désormais 4,88 millions de $. Dev, infra, SaaS, cloud : l’entreprise ne peut (doit) donc plus distinguer « projet IT » et « projet cyber ». Vous devez penser sécurité dès la conception, décloisonner RSSI, DSI et équipes Dev Ops, et assumer qu’un expert cyber est un investissement, et pas seulement une ligne de coût.

La cybersécurité : prérequis stratégique, plus enjeu annexe

Les études de l’ENISA montrent que les cyberattaques ont doublé dans l’UE entre 2023 et 2024. Derrière ces chiffres se cache un glissement : PME, collectivités, start-ups sont désormais visées autant que les grands comptes.

Une faille sur un mini-site marketing peut offrir un passe-partout vers l’ERP ou la messagerie.

La résilience business devient impossible sans une posture cyber globale.

Dev, infra, SaaS, cloud : tous les maillons exposés

Chaque brique d’un projet IT peut désormais servir de porte d’entrée aux attaquants :

• code applicatif et dépendances open source,
• API mal protégées,
• stockage objet ouvert,
• conteneurs sans durcissement,
• terminaux BYOD peu mis à jour,
• …

Le Threat Landscape 2024 d’ENISA classe les attaques contre la disponibilité et le rançongiciel en tête des menaces. De son côté, Verizon relève qu’elles touchent 92 % des secteurs…

Travailler « en couche » n’est donc plus tenable : sécurité, réseau, applicatif et identité sont intimement liés.

Cybersécurité by design : penser dès le cadrage

Adopter une démarche « shift-left » permet de corriger une vulnérabilité quand elle ne coûte encore qu’une unité de temps. A savoir qu’en post-prod, la même faille peut valoir jusqu’à vingt fois plus entre correctifs, patchs d’urgence et perte d’image…

Gloups.

Alors, dès le kick-off projet définissez les exigences sécurité, choisissez un framework (OWASP SAMM, ISO 27034), validez les architectures auprès du RSSI et exigez une couverture de test SAST/DAST minimale.

Travailler main dans la main : RSSI, développeurs, DSI, chefs de projet

Rien de pire sur un même projet IT que de travailler chacun dans son coin. N’hésitez pas à mettre dès le départ un grand coup de pied dans ces très chers silos !

Cela passe notamment par :

• Un backlog commun : chaque user-story inclut un critère de sécurité vérifiable.
• Des ituels partagés : le RSSI participe aux dailies, le Dev assiste aux revues de risques.
• Une plateforme unifiée : tickets qualité, risques et incidents alimentent le même tableau de bord.

Cette « coproduction » limitera les angles morts.

Les erreurs classiques quand la cybersécurité arrive trop tard

Ignorer la configuration cloud figure désormais tout en haut du palmarès des erreurs cyber classiques. Les erreurs de configuration et les API exposées sont d’ailleurs à l’origine d’une très grande partie des incident dans les environnements SaaS et IaaS.

Autre écueil : le stockage d’informations en clair. Les bases Elasticsearch ouvertes sans mot de passe ont par exemple entraîné plusieurs fuites massives de données santé au premier semestre 2024.

S’y ajoutent les failles non testées : selon Fortinet, 31 % des organisations OT françaises ont subi au moins six intrusions en un an faute de tests d’intrusion réguliers.

Enfin, la dette d’identifiants orphelins explose, avec de plus en plus de pannes critiques à plus d’un million de dollars dues à des comptes d’administration non révoqués.

Ces erreurs, découvertes en production, exigent :

• correctifs d’urgence,
• communication de crise
• et parfois notification RGPD.

Faire appel à un expert : un investissement rapidement rentable

Un référent ou un cabinet cyber comme Fidens change l’équation économique.

L’assistance débute souvent par un audit puis par la validation d’architecture. A ce sujet, les économies réalisées sont conséquentes lorsque les exigences Zero Trust sont intégrées avant toute mise en production, car elles évitent refonte réseau et rattrapage ce licence…

Les tests d’intrusion forment le troisième pilier. OrniSec rappelle notamment que les entreprises qui exécutent un pentest complet avant la mise en ligne divisent par deux la probabilité d’une compromission critique dans les douze mois.

À ces gains financiers s’ajoute le dividende réglementaire. La préparation NIS 2 ou DORA exige un dispositif continu de gestion des risques. Un expert cyber met en place la due-diligence fournisseurs, le plan de réponse et la cartographie de dépendances demandés par les superviseurs européens.

Enfin, les cabinets structurent un tableau de bord commun RSSI–DSI–métiers. Cette gouvernance partagée peut faire chuter de manière assez importante le temps moyen de récupération post-incident.

En d’autres termes, ce qui peut sembler un coût externe se révèle un accélérateur de ROI : moins d’interruptions, moins de litiges, plus de confiance client.

Sécurité intégrée = projet réussi

Les cyberattaques s’intensifient, les coûts explosent et les régulateurs veillent. Mettre la cybersécurité au cœur du projet IT est l’une des conditions principales de succès. De la phase de cadrage aux sprints, du DevSecOps aux tests de reprise, chaque acteur doit porter la sécurité.

Les chiffres le confirment : plus d’une entreprise sur deux touchée, un coût moyen proche de cinq millions $, des pannes millionnaires quand la prévention manque.

Intégrer un expert dès le démarrage, décloisonner les équipes et adopter le by design, c’est transformer la cybersécurité de « sujet à part » en avantage compétitif durable.