Une entreprise qui adopte un CRM, puis un outil de gestion de projet, puis une plateforme e-commerce, puis un logiciel RH, se retrouve en quelques années avec une dizaine d’applications qui communiquent mal entre elles. Chaque outil, pris isolément, fonctionne. Mais leur accumulation produit un système d’information où les failles se multiplient sans que personne ne les voie clairement.
Lire également : Afterwork d'équipe : les nouvelles tendances qui remplacent l'apéro dinatoire
Jonctions entre outils : là où naissent les failles du système d’information
Vous avez déjà remarqué qu’un problème informatique survient rarement au cœur d’un logiciel, mais plutôt entre deux logiciels ? C’est la jonction, le point de passage des données d’une application à une autre, qui concentre les risques.
Prenons un exemple simple. Un module e-commerce transmet une commande au logiciel de facturation via une API. Si cette API n’est pas maintenue à jour, les données client transitent sans chiffrement pendant quelques secondes. Ce court instant suffit pour qu’un attaquant intercepte des informations sensibles.
A découvrir également : Les outils numériques qui transforment le processus d'amélioration continue dans les PME
Le problème, c’est que chaque connecteur ajouté crée un nouveau point de fragilité. Un outil de ticketing relié au CRM, une passerelle de paiement branchée sur la plateforme e-commerce, un tableau de bord qui agrège des flux de trois sources différentes : à chaque raccordement, la surface exposée aux incidents grandit.
Les équipes informatiques cartographient rarement ces jonctions de façon exhaustive. Elles héritent de connexions mises en place par un prestataire précédent, documentées sommairement ou pas du tout. Quand un incident survient, remonter la chaîne pour identifier l’origine prend un temps considérable, parfois plusieurs jours.
Ce constat, le groupe TVH Consulting le documente régulièrement dans ses missions d’accompagnement : sans inventaire précis des interfaces entre outils, les entreprises pilotent leur sécurité à l’aveugle.
Données personnelles et cloud : pourquoi la dispersion complique la cybersécurité
Quand les outils se multiplient, les données se dispersent. Un même client peut avoir ses coordonnées dans le CRM, son historique d’achat dans la plateforme e-commerce, ses échanges dans l’outil de support, et ses données de paiement chez un prestataire tiers.
Cette dispersion pose deux problèmes concrets.
Le premier concerne la conformité réglementaire sur les données personnelles. Pour répondre à une demande de suppression ou de portabilité, il faut retrouver toutes les occurrences d’une même donnée dans l’ensemble du système. Avec cinq ou six outils mal intégrés, cette opération devient un casse-tête.
Le second touche directement la sécurité. Une donnée stockée à plusieurs endroits multiplie les portes d’entrée pour un attaquant. Si l’un des outils présente une vulnérabilité, les données qu’il contient sont exposées, même si les autres maillons de la chaîne sont correctement protégés.
Le cloud computing ajoute une couche de complexité. Les données circulent entre serveurs internes et plateformes hébergées chez différents fournisseurs. Chaque transfert entre environnements constitue un moment de vulnérabilité, surtout quand les politiques de chiffrement diffèrent d’un prestataire à l’autre.
- Les identifiants d’accès se multiplient avec chaque outil, rendant la gestion des droits laborieuse et les comptes orphelins fréquents
- Les mises à jour de sécurité ne se déploient pas au même rythme sur toutes les applications, créant des fenêtres d’exposition
- La détection d’une fuite de données est retardée quand les journaux d’événements sont dispersés dans plusieurs consoles d’administration
Bâtiment connecté et ville intelligente : un terrain où l’empilement d’outils devient critique
Les bâtiments intelligents illustrent parfaitement ce phénomène d’empilement. Capteurs de température, contrôle d’accès par badge, supervision énergétique, vidéosurveillance : chaque fonction repose sur un outil dédié, souvent fourni par un fabricant différent.
L’intelligence artificielle intervient de plus en plus pour optimiser la consommation énergétique ou anticiper les pannes. Mais un algorithme de maintenance prédictive connecté à un système de gestion technique mal sécurisé peut devenir un vecteur d’attaque vers l’ensemble du réseau du bâtiment.
Dans une ville connectée, les enjeux sont amplifiés. Les plateformes de gestion du trafic, de l’éclairage public ou de la collecte des déchets sont rarement conçues par le même éditeur. Leur interconnexion repose sur des protocoles variés, pas toujours compatibles, et dont la sécurité n’a pas été pensée pour un fonctionnement en réseau ouvert.
L’Agence nationale de la sécurité des systèmes d’information alerte régulièrement sur l’exposition des infrastructures critiques. Un paramétrage négligé sur une interface de supervision, un mot de passe par défaut conservé sur un capteur, et la vulnérabilité se propage à toute la chaîne.
- Les surfaces d’attaque s’élargissent avec chaque capteur ou module ajouté au réseau
- La confidentialité des données liées à la santé au travail ou aux déplacements des occupants devient difficile à garantir
- Les équipes de supervision manquent souvent de visibilité sur le périmètre réel des systèmes qu’elles administrent
Gouvernance du système d’information : consolider avant d’ajouter
La tentation est forte d’adopter un nouvel outil dès qu’un besoin apparaît. Un service marketing veut un outil d’emailing, le service commercial demande un configurateur de devis, la direction financière souhaite un tableau de bord temps réel. Chaque demande est légitime. Mais chaque ajout sans consolidation préalable fragilise le socle existant.
Avant tout déploiement, une question mérite d’être posée : l’outil existant peut-il couvrir ce besoin, même partiellement ? Dans la majorité des cas, un paramétrage ou une extension du logiciel en place coûte moins cher et génère moins de risques qu’une nouvelle brique logicielle.
Quand l’ajout est justifié, l’intégration doit être traitée comme un projet à part entière. Cela implique de documenter chaque flux de données, de tester les connecteurs sous charge, de vérifier les politiques d’authentification et de prévoir un plan de retrait si l’outil ne donne pas satisfaction.
La sécurité d’un système d’information se joue moins dans la qualité individuelle des outils que dans la rigueur de leur assemblage. Un logiciel performant, mal relié au reste, devient un maillon faible. À l’inverse, des outils modestes mais correctement intégrés forment un ensemble plus résistant.
Les entreprises qui maîtrisent leur architecture numérique partagent un réflexe : elles auditent leurs interfaces avant d’en créer de nouvelles. Ce réflexe, simple en apparence, distingue les organisations qui subissent les incidents de celles qui les anticipent.
