La cybersécurité a besoin d’un nouveau modèle opérationnel

Pendant des décennies, la cybersécurité s’est construite autour d’un postulat : les défenseurs avaient suffisamment de temps pour :

• Découvrez les vulnérabilités.
• Évaluez l’exposition.
• Déployez des correctifs.
• Vérifiez que les systèmes critiques restent protégés.

Cette hypothèse a façonné la façon dont les organisations élaboraient des programmes de sécurité, dont les fournisseurs développaient des produits de sécurité et dont les régulateurs mesuraient la cyber-résilience.

Cette hypothèse n’est plus valable

L’IA n’a pas créé une nouvelle catégorie de cyber-risques. Au contraire, cela a révélé les limites d’un modèle opérationnel de sécurité construit à une époque où les attaquants opéraient à vitesse humaine. Lorsque l’IA peut identifier les vulnérabilités, générer des exploits fonctionnels, analyser les surfaces d’attaque et enchaîner les faiblesses à grande échelle, le délai entre l’exposition et l’exploitation se réduit considérablement.

Ce changement commence à remodeler bien plus que les cyberopérations. Cela change la façon dont les gouvernements, les régulateurs et les responsables de la sécurité envisagent la résilience elle-même.

La récente lettre de surveillance de la Banque centrale européenne (BCE) en est l’un des exemples les plus clairs à ce jour.

Le 7 juillet 2026, la BCE a ordonné à toutes les institutions importantes sous sa surveillance de soumettre un plan d’action complet pour lutter contre les menaces de cybersécurité liées à l’IA d’ici le 31 octobre 2026.

Même si cette lettre s’applique spécifiquement aux plus grandes institutions bancaires européennes, son importance s’étend bien au-delà des services financiers. Plus importante que l’échéance est la conclusion de la BCE selon laquelle l’IA représente un changement à long terme dans le paysage des menaces plutôt qu’un phénomène temporaire ou un risque associé à une technologie unique.

Cette déclaration marque un moment important dans l’évolution de la cybersécurité.

La BCE n’en demande pas plus

À première vue, les recommandations de la BCE semblent familières :

• Protégez la surface d’attaque.
• Accélérez la gestion des vulnérabilités et des correctifs à grande échelle.
• Améliorez la surveillance, la détection et la défense.
• Renforcer la gouvernance, le financement, la formation et l’assurance de la chaîne d’approvisionnement.
• Renforcer la défense en profondeur tout en modernisant les infrastructures.
• Améliorer la résilience opérationnelle et le partage d’informations.

Aucune de ces disciplines n’est nouvelle. Les programmes de sécurité matures y investissent depuis des années, et nombre d’entre eux se reflètent déjà dans des cadres tels que DORA et dans les attentes de surveillance existantes.

Ce que la BCE reconnaît est quelque chose de plus fondamental. Le modèle opérationnel traditionnel de la cybersécurité a été conçu pour une époque où les attaquants opéraient à vitesse humaine, donnant aux organisations le temps de réduire les risques avant que les adversaires ne puissent les exploiter. L’IA a éliminé cet avantage. La lettre de la BCE reflète un changement plus large déjà en cours.

Le défi n’est plus de savoir si les organisations ont une visibilité sur leur environnement. Il s’agit de savoir s’ils peuvent générer suffisamment de preuves pour prendre des décisions de sécurité en toute confiance avant que des attaquants ne les exploitent.

• La sécurité est devenue un problème de preuves et non de visibilité.
• La visibilité vous indique ce qui existe. Les preuves vous disent ce qui compte.

Ces distinctions sont au cœur de la lettre de la BCE. L’objectif n’est plus d’effectuer davantage d’activités de sécurité. Il s’agit de garantir que ces activités produisent des réductions significatives du risque opérationnel malgré des délais d’attaque considérablement réduits.

Ce changement n’a pas commencé avec la BCE

La lettre prudentielle de la BCE n’est pas née de manière isolée. Il s’agit du dernier signal d’une progression plus large qui s’est déroulée au sein des gouvernements, des agences de renseignement et des organisations de cybersécurité au cours de l’année écoulée.

Le mois dernier, la directive opérationnelle contraignante 26-04 de la CISA a signalé un changement important consistant à ne plus traiter la gestion des vulnérabilités principalement comme un problème de gravité. Au lieu de cela, il met l’accent sur la priorisation des mesures correctives en fonction du risque opérationnel, de l’exposition et de la probabilité d’exploitation.

À peu près au même moment, l’alliance de renseignement Five Eyes, le CERT-EU, le Centre national de cybersécurité du Royaume-Uni, le FS-ISAC, et d’autres organisations ont averti que les modèles d’IA frontaliers modifiaient fondamentalement l’économie des cyber-opérations. Les activités qui nécessitaient autrefois des opérateurs expérimentés travaillant méthodiquement pendant des jours ou des semaines peuvent de plus en plus être exécutées en quelques minutes et répétées à une échelle pratiquement illimitée.

Bien que chaque organisation ait formulé le défi différemment, elles pointent toutes vers la même conclusion : les hypothèses qui ont façonné la cybersécurité pendant des décennies ne suffisent plus à l’ère des attaques accélérées par l’IA.

La lettre de la BCE représente la prochaine étape dans cette progression. Plutôt que d’encourager les institutions à se préparer à une éventualité future, il reconnaît que les cybermenaces basées sur l’IA sont déjà en train de remodeler la manière dont les régulateurs évaluent la cyber-résilience. Cette distinction est importante car elle marque le passage d’une discussion sur l’IA comme d’un risque émergent à une gestion de celle-ci comme une réalité opérationnelle.

Continuez à lire ici pour découvrir comment mieux gérer votre modèle de cybersécurité.

L’importance de la lettre de la BCE ne réside pas dans le fait qu’un autre régulateur a publié une autre directive sur la cybersécurité. C’est parce que l’un des principaux superviseurs bancaires au monde a reconnu publiquement ce que les équipes de sécurité ont déjà vécu dans la pratique.

Découvrez comment le NodeZero^® La plateforme de sécurité proactive aide les institutions importantes à répondre aux six priorités de la BCE en matière de cybersécurité et à élaborer un plan d’action crédible étayé par des preuves.

Planifiez une démo maintenant.