Bonne rentrée : les 3 points d'attention cybersécurité de septembre

Toute l'équipe CyberLead vous souhaite une excellente rentrée, en espérant que l'été vous a laissé le temps de souffler.

De notre côté, l'été a été original. Les modèles d'IA ont évolué à un rythme que je n'avais jamais vu, et nous avons fait un choix assumé : les déployer rapidement chez de nombreux clients, en conditions réelles, plutôt que d'attendre que la poussière retombe. C'est cette matière terrain qui nourrit les trois points d'attention de cette rentrée.

1. Le déploiement à l'échelle des agents IA

Pas de mystère : c'est le chantier numéro un. Les POC de l'an dernier deviennent des déploiements en production, et Gartner estime que d'ici 2028, 33 % des applications d'entreprise embarqueront de l'IA agentique. La question n'est plus « faut-il y aller », mais comment : quelles identités pour ces agents, quels droits, quelle supervision, et qui répond quand un agent agit mal. Un agent IA est un nouvel utilisateur à privilèges dans votre SI ; il mérite le même traitement qu'un compte de service critique.

2. Le CRA commence, et c'est une bonne nouvelle exigeante

Le Cyber Resilience Act (règlement européen 2024/2847) entre dans sa phase concrète : dès le 11 septembre 2026, les fabricants devront notifier à l'ENISA les vulnérabilités activement exploitées de leurs produits, avant l'application complète des exigences fin 2027. Côté acheteur, c'est un levier : vous pouvez désormais exiger de vos fournisseurs une trajectoire de conformité claire. Côté fabricant ou intégrateur, c'est challengeant : SBOM, gestion de vulnérabilités, support de sécurité dans la durée, autant de pratiques à industrialiser dès maintenant.

3. Les outils maison qui poussent dans tous les sens

Troisième phénomène, plus discret : assistées par l'IA, les équipes développent leurs propres outils de cybersécurité — scripts de collecte, connecteurs, tableaux de bord, moulinettes d'analyse. La vitesse gagnée est réelle, nous le vivons nous-mêmes. Mais un outil maison non recensé, sans revue ni cycle de vie, devient une dette et une surface d'attaque. La bonne réponse n'est pas d'interdire : c'est de recenser, de fixer des règles de revue simples, et de décider ce qui mérite d'être maintenu.

Ce qu'il faut retenir

Ces trois sujets ont un point commun : ils ne se traitent pas en comité de fin d'année. Les trajectoires se choisissent maintenant, pendant que les organisations sont encore en train d'arbitrer.