Cyber Résilience : les fondamentaux, la progression et l’évaluation de maturité
La cyber résilience regroupe l’ensemble des capacités d’une organisation à résister aux cyberattaques, à maintenir ses activités et à retrouver un fonctionnement normal après un incident. Tersedia, en tant qu’expert Infrastructure Cyber Resilience et fournisseur de services Cloud certifié ISO 27001 et HDS avons identifié les thèmes clés fondamentaux de la cyber résilience.
Les fondamentaux pour une première approche de la cyber résilience (1er partie)
Nos experts ont d’abord identifié les fondamentaux techniques et organisationnels qu’une entreprise doit maîtriser pour renforcer sa cyber résilience. Ces mesures de base constituent le « plus petit dénominateur commun » de la sécurité, sur lequel bâtir une stratégie de résilience efficace.
Analyser les risques et réduire la surface d’attaque
La première étape consiste à connaître vos risques spécifiques et votre surface d’attaque. Il s’agit de recenser ce qui doit être protégé et contre quelles menaces, afin de prioriser les mesures de sécurité. L’Agence ANSSI rappelle l’importance d’une approche globale par l’analyse de risques :
Identifiez les actifs critiques
Évaluez l’état du système d’information et les compétences
Cernez les menaces pertinentes
pour en déduire les mesures de sécurité à mettre en œuvre et à maintenir dans le temps.
Concrètement, menez régulièrement des analyses de risques (par ex. méthode EBIOS) afin de guider vos décisions de protection et vos plans de continuité d’activité.
En parallèle, il faut réduire au maximum votre surface d’attaque, c’est-à-dire l’ensemble des points d’entrée potentiels pour un attaquant. Plus la surface d’exposition d’une entreprise est large, plus il est difficile de la défendre :
L’objectif est donc d’avoir la surface d’attaque la plus faible possible, en limitant les vecteurs d’attaque pour « cacher » les vulnérabilités en bloquant l’accès aux systèmes non nécessaires.
Pour y parvenir, commencez par cartographier vos actifs et services exposés (inventaire des applications web, adresses IP publiques, VPN, ports ouverts, etc.). Cette visibilité permet de découvrir les failles et points d’entrée oubliés. Ensuite, traitez les vulnérabilités identifiées : par exemple, corrigez les failles logicielles connues, désactivez les services inutiles, fermez les ports non indispensables et mettez en place des pare-feu appropriés.
Nous préconisons également d’utiliser des outils de gestion de la surface d’attaque (Attack Surface Management – ASM) pour automatiser ces tâches. De telles solutions aident à scanner et surveiller en continu vos actifs exposés, à prioriser les risques et à détecter les changements non maîtrisés. En 2025, l’ASM est considérée comme essentiel pour réduire les risques sur des environnements hybrides, car il permet de :
Découvrir
Inventorier
Prioriser
Surveiller
tous les points d’entrée potentiels » de votre SI. Sans visibilité unifiée, l’exposition aux risques augmente et les attaquants peuvent exploiter plus aisément les failles. En pratique, cela revient à surveiller vos systèmes externes (sites web, API, sous-domaines, stockages cloud publics, etc.) mais aussi internes, afin d’anticiper les attaques plutôt que de les subir.
Maîtriser l’exposition Internet de votre SI
Beaucoup d’attaques exploitent les interfaces exposées sur Internet :
- client VPN mal configuré,
- accès bureau distant,
- messagerie web,
- etc.
Il est fondamental de limiter les services exposés et de les protéger strictement. L’ANSSI recommande de ne jamais publier en accès libre des passerelles de bureau à distance (Microsoft RD Gateway, Citrix Netscaler, etc.), car elles offrent une surface d’attaque bien plus large qu’un accès VPN ; il vaut mieux réserver leur accès aux utilisateurs déjà authentifiés via un VPN sécurisé. Concrètement, autorisez les accès d’administration ou à distance uniquement via un VPN renforcé (protocoles IPSec ou TLS à l’état de l’art) et avec authentification multi-facteur (MFA) pour réduire les risques d’usurpation.
De manière générale, segmentez et isolez les services ouverts vers l’extérieur au sein d’une zone démilitarisée (DMZ), afin de protéger le cœur du SI en cas de compromission d’un service en périphérie. Surveillez le trafic entrant/sortant de ces passerelles et activez des systèmes de détection d’intrusion pour être alerté en cas d’activité suspecte sur vos points d’exposition.
Par exemple :
- Évitez d’exposer directement des accès RDP ou des consoles d’administration sur Internet.
Les services de messagerie accessibles en webmail. Si possible, évitez d’exposer un webmail directement sur Internet ou restreignez-en l’accès (filtrage d’IP, MFA obligatoire).
En résumé, réduisez votre exposition internet au strict nécessaire et appliquez le principe « par défaut, fermé » : tout ce qui n’a pas explicitement besoin d’être accessible depuis Internet doit être coupé. Cette maîtrise des accès réseau, soulignée par nos experts, est un prérequis pour empêcher un attaquant de pénétrer votre SI trop aisément.
Contrôler les accès internes : identité, RBAC et Zero Trust
À l’intérieur de l’organisation, la cyber résilience passe par une gestion stricte des identités et des droits d’accès. Il faut s’assurer qu’aucun utilisateur ou compte ne dispose de privilèges excessifs pouvant être détournés en cas de compromission. Le modèle RBAC (Role-Based Access Control) est la pratique recommandée : attribuez à chaque utilisateur uniquement les droits nécessaires à sa fonction, ni plus ni moins (principe du moindre privilège).
Comme le rappelle le guide Zero Trust : « accorder à chaque utilisateur uniquement les accès et privilèges nécessaires » est essentiel pour limiter l’impact d’un incident, en garantissant que chacun n’ait que les autorisations dont il a besoin.
Concrètement :
- Définissez des profils de rôles pour les postes métiers, et évitez les comptes administrateurs génériques utilisés au quotidien.
- Segmentez les comptes à privilèges (comptes d’administration domaine, comptes de maintenance, etc.) sur des répertoires sécurisés séparés si possible, et
- Utilisez l’authentification multi-facteur sur tous les accès sensibles (VPN, messagerie administrative, consoles cloud, etc.). Une bonne gestion des identités (IAM – Identity & Access Management) implique aussi de tenir à jour le référentiel des utilisateurs, de supprimer ou désactiver rapidement les comptes des collaborateurs quittant l’entreprise, et de revoir périodiquement les droits accordés (certification des droits).
Adopter une approche Zero Trust renforce ce contrôle des accès. Le principe Zero Trust se résume par « ne jamais faire confiance, toujours vérifier ».
Concrètement, même un utilisateur en interne ou déjà authentifié n’est jamais considéré comme fiable par défaut : à chaque nouvelle action ou accès à une ressource, il faut vérifier continuellement son identité, la conformité de son appareil et le contexte de la demande. Il s’agit d’éliminer la confiance implicite qu’on accordait autrefois aux utilisateurs à l’intérieur du périmètre réseau. Toute tentative d’accès à un système ou à des données doit être précédée d’une authentification et de contrôles de sécurité appropriés. En pratique, cela signifie par exemple de ré-authentifier ou revalider les droits lors des actions sensibles, d’adapter les droits dynamiquement en fonction du contexte (localisation, type d’appareil, heure, etc.) et de surveiller en temps réel les comportements anormaux des comptes.
La mise en œuvre du Zero Trust se fait progressivement :
- Il faut segmenter finement le réseau interne (micro-segmentation) et appliquer des politiques de contrôle d’accès strictes entre ces segments.
L’objectif est d’isoler les risques : un poste utilisateur compromis ne doit pas permettre d’atteindre facilement les serveurs névralgiques.
Par ailleurs, surveillez en continu les comptes et accès grâce à des journaux et des outils d’analytique (SIEM, solutions UEBA détectant les comportements anormaux). Des solutions spécialisées permettent d’auditer les changements sur les comptes sensibles (administrateurs, comptes à hauts privilèges) et de repérer toute élévation de privilège inattendue ou tentative de brute force sur un compte. Ces mesures d’identité et d’accès maîtrisés réduisent considérablement les risques d’escalade en cas d’attaque réussie sur un point d’entrée.
