L'avenir de la cybersécurité est anti-fragile, pas seulement résiliente

Pendant des années, la résilience a été la norme en matière de cybersécurité. Les systèmes tombent en panne, les équipes réagissent, les services sont rétablis et l'entreprise continue de fonctionner.

Mais ce modèle repose sur des hypothèses qui ne sont plus valables. Il suppose que l'environnement dans lequel vous revenez après un incident est toujours adapté aux menaces d'aujourd'hui. Elle suppose également que les défenseurs peuvent suivre le rythme des attaquants et que l'architecture d'hier peut faire face à l'avenir.

La session RSAC 2026, intitulée " Au-delà de la résilience : Construire des systèmes cybernétiques antifragiles, a remis en question ces hypothèses.

John Kindervag, évangéliste en chef d'Illumio et créateur de Zero Trust, et Anthony Rodriguez, vice-président adjoint de CVS chargé de l'ingénierie de la sécurité des applications et de la gestion des menaces, ont fait valoir que la récupération seule ne suffit plus dans des environnements qui changent constamment et sont soumis à une pression constante.

L'évolution qu'ils ont décrite est celle de l'antifragilité. Au lieu de se contenter de récupérer les incidents, les organisations doivent les utiliser pour améliorer le fonctionnement de leurs systèmes. Cela signifie qu'il faut concevoir des programmes de sécurité qui limitent l'impact, s'adaptent en temps réel et se renforcent à chaque perturbation.

Ce changement modifie la manière dont nous construisons et mesurons la cybersécurité. L'accent n'est plus mis sur le rétablissement du service mais sur la réduction des risques, sur la réaction aux incidents mais sur l'apprentissage à partir de ces derniers, et sur les contrôles statiques mais sur les systèmes qui évoluent avec les menaces auxquelles ils sont confrontés.

La résilience n'est plus la destination

La cyber-résilience est toujours importante, mais elle n'est plus l'objectif final.

M. Kindervag a décrit la résilience comme une boucle que la plupart des organisations connaissent bien : quelque chose se casse, vous le réparez et vous revenez à la situation antérieure. Le système survit, mais il ne change pas.

L'anti-fragilité modifie cette boucle. Chaque incident devient une source d'apprentissage. On attend des systèmes qu'ils évoluent, et pas seulement qu'ils se rétablissent.

"L'antifragilité signifie que nous apprenons, que nous nous adaptons et que nous devenons plus forts", a déclaré M. Kindervag.

C'est là qu'intervient une stratégie de confiance zéro. Il ne s'agit pas seulement d'un ensemble de contrôles ou d'un cadre pour les décisions d'accès, mais d'un mécanisme d'adaptation continue.

Kindervag l'a qualifié de "moteur d'adaptation", ce qui est une façon utile de l'envisager. Lorsque les systèmes sont conçus pour observer, appliquer et ajuster en temps réel, ils ne se contentent pas de résister à la pression. Ils y réagissent d'une manière qui les rend plus forts au fil du temps.

Concevoir pour le monde réel, pas pour le chemin heureux

Trop souvent, les systèmes actuels sont conçus en fonction de conditions idéales.

Comme l'a expliqué Mme Rodriguez, "nous regardons souvent vers le chemin du bonheur, mais le chemin du bonheur est toxique".

Dans la pratique, les environnements sont tout sauf prévisibles. Les configurations dérivent, les dépendances changent et les utilisateurs se comportent d'une manière qui ne correspond pas aux hypothèses de conception.  

Les attaquants exploitent ces lacunes parce qu'elles existent en dehors du "chemin heureux" sur lequel la plupart des systèmes sont construits.

Concevoir pour l'antifragilité, c'est accepter que le stress est constant. Il ne s'agit pas d'un sujet à éviter ou à minimiser. Les équipes doivent prévoir et intégrer le stress dans le fonctionnement des systèmes.  

Lorsque le stress devient une donnée attendue plutôt qu'une exception, des systèmes peuvent être mis en place pour le gérer plus efficacement.

Cette évolution se manifeste dans tous les domaines, de la manière dont les applications sont testées à la gestion de l'infrastructure. Il modifie également la façon dont les équipes envisagent l'échec. Au lieu de la traiter comme une anomalie, elle devient un élément du processus.

Pourquoi les environnements statiques ne tiennent pas la route

Un thème récurrent tout au long de la session a été le risque de s'appuyer sur des modèles de sécurité statiques dans des environnements dynamiques.

"La statique est toxique", a déclaré M. Rodriguez.

Cette déclaration reflète un problème plus large. De nombreux contrôles traditionnels sont conçus pour des environnements qui ne changent pas fréquemment. Les équipes de sécurité définissent des politiques en amont, ces politiques accordent l'accès sur la base d'un point de décision unique, et l'application de la politique suppose une certaine stabilité.

Les environnements modernes ne se comportent pas de cette manière. Les applications sont réparties dans des nuages et des centres de données. Les charges de travail augmentent et diminuent. Les utilisateurs se connectent à partir d'un large éventail de lieux et d'appareils.

M. Rodriguez a cité l'un des exemples les plus clairs de cette lacune dans la manière dont l'authentification est gérée. "Nous avions l'habitude de prendre des décisions sur la base d'un signal unique comme l'AMF", a-t-il déclaré. "Vous appuyez sur le bouton, vous êtes entré, et personne n'a regardé ce que votre paquet faisait après l'authentification.

Cette approche considère la confiance comme un moment dans le temps. Mais le risque ne s'arrête pas une fois que l'utilisateur est authentifié. Elle se poursuit pendant toute la durée de la session.

Pour évoluer vers l'antifragilité, il faut passer de décisions statiques à une évaluation continue. Les systèmes doivent observer le comportement au fil du temps et s'adapter en conséquence.  

C'est là que les principes de la confiance zéro deviennent essentiels, surtout lorsqu'ils sont combinés à la capacité d'appliquer des contrôles de manière dynamique et de contenir les risques au fur et à mesure qu'ils apparaissent.

Mieux utiliser les signaux

Un autre changement important abordé lors de la session est la manière dont les organisations traitent les signaux.

Les équipes de sécurité ne manquent pas de données. Le défi a toujours été de transformer ces données en quelque chose d'exploitable.  

M. Rodriguez a souligné l'importance de se concentrer sur des signaux significatifs. "Si nous nous concentrons sur plus de signaux et moins de bruit, votre système sera plus résistant", a-t-il déclaré. "Il se rétablira, s'adaptera et évoluera.

Kindervag a fait le lien avec les limites des approches traditionnelles. "Nous n'avons pas été en mesure de bien consommer les signaux en raison de processus manuels.

Cela commence à changer. Grâce à de meilleures analyses et à des approches basées sur l'IA, les organisations peuvent traiter davantage de signaux et y répondre plus rapidement. Mais la vraie valeur vient de ce qui se passe ensuite.

Les signaux ne doivent pas seulement déclencher des alertes, ils doivent inciter à l'action. Et cette action devrait se répercuter sur le système, améliorant ainsi son comportement à l'avenir.

Cela crée une boucle de rétroaction dans laquelle la visibilité, l'application et l'apprentissage sont tous liés. Au fil du temps, cette boucle devient le fondement de l'antifragilité. Il permet aux systèmes d'affiner en permanence leur fonctionnement en fonction des conditions réelles.

Rompre le cycle des incidents répétés

L'une des parties les plus franches de la discussion a porté sur ce qui se passe après un incident.

Kindervag a mis en évidence un schéma que la plupart des équipes reconnaîtront. "Trop souvent, nous attendons le coup de massue. Les entreprises s'en moquent jusqu'à ce que le malheur arrive".

Même lorsque les organisations réagissent efficacement, le suivi est souvent limité. Les problèmes sont résolus sur le moment, les rapports sont rédigés, puis les mêmes problèmes refont surface des semaines ou des mois plus tard.

"Le processus traditionnel de reprise après sinistre est linéaire : panne, basculement et reprise", explique M. Rodriguez.

Ce qui manque, c'est une amélioration systémique. L'antifragilité exige des organisations qu'elles tirent les leçons de chaque incident et qu'elles les appliquent à grande échelle. Il ne suffit pas de régler un seul problème. L'objectif est d'éliminer des catégories entières de problèmes.

Cela signifie que les équipes de sécurité doivent se concentrer sur les points suivants  

• Mise à jour des politiques dans plusieurs environnements
• Amélioration de la visibilité dans des zones qui étaient auparavant négligées
• Automatiser les réponses qui étaient traitées manuellement auparavant

Sans cette étape, les organisations restent bloquées dans un cycle d'incidents répétés.

Repenser l'évaluation de la réussite

Alors que les organisations évoluent vers l'antifragilité, Kindervag et Rodriguez ont également expliqué pourquoi la façon dont les équipes mesurent le succès doit changer.

Les mesures traditionnelles ont tendance à se concentrer sur les temps de réponse et les volumes d'incidents. Ces mesures ont toujours de la valeur, mais elles ne permettent pas de savoir si les systèmes s'améliorent réellement.

Rodriguez a offert une perspective différente :

"Un indicateur clé n'est pas le nombre d'incidents auxquels vous participez, mais le nombre d'incidents auxquels vous ne participez pas ", a-t-il déclaré.

Ce changement permet de mettre l'accent sur les résultats plutôt que sur les activités. Elle met l'accent sur l'endiguement des attaques, la réduction des risques et la prévention des perturbations dans la mesure du possible.  

D'autres mesures qu'il a mentionnées, comme la réduction du risque par incident et la prévention des interruptions de service, correspondent davantage aux préoccupations de l'entreprise. Ils indiquent si les efforts en matière de sécurité font une différence significative, et pas seulement si les équipes sont occupées.

Où commencer avec l'antifragilité ?

Pour de nombreuses organisations, le défi consiste à savoir comment les appliquer.

"Le plus gros problème est que les gens ne savent pas comment commencer", a déclaré M. Rodriguez. "Et quand ils commencent, ils essaient de construire une utopie.

Essayer de tout résoudre en même temps conduit généralement à un blocage des progrès. Une approche plus pratique consiste à se concentrer sur des améliorations progressives.

Cela pourrait commencer par une meilleure visibilité de la façon dont les systèmes communiquent, en particulier dans les environnements où le risque est plus difficile à percevoir. À partir de là, les organisations peuvent commencer à appliquer des contrôles plus granulaires, à réduire la dépendance à l'égard des politiques statiques et à mettre en place des boucles de rétroaction qui relient les signaux à l'action.

Les tests jouent également un rôle à un stade précoce. L'introduction d'un stress contrôlé dans les systèmes, même de manière limitée, peut révéler où se situent les plus grandes lacunes et où il faut se concentrer ensuite.

Au fil du temps, ces étapes s'additionnent. Ils créent une base qui soutient des capacités plus avancées et une approche plus adaptative de la sécurité.

Pourquoi le passage de la résilience à l'antifragilité est-il important aujourd'hui ?

La conversation entre Kindervag et Rodriguez à la RSAC reflète un changement plus large qui s'opère dans l'ensemble du secteur.

Les environnements deviennent plus complexes et les attaquants se déplacent plus rapidement. L'IA accélère les deux côtés de l'équation.

Dans ce contexte, une stratégie cybernétique fondée uniquement sur la résilience aura du mal à suivre. Il est important de se remettre d'un incident. Mais cela ne résout pas le problème sous-jacent. Si les systèmes reviennent au même état après chaque perturbation, les mêmes vulnérabilités subsistent.

L'antifragilité offre une autre voie. Elle considère le stress comme un facteur d'amélioration et met en place des systèmes capables de s'adapter au fil du temps.

Cette évolution est particulièrement importante lorsqu'il s'agit de contenir les violations. Plus un attaquant peut se déplacer longtemps dans un environnement, plus l'impact est important. La réduction de ces mouvements, la limitation du rayon d'explosion et l'apprentissage à partir de chaque événement font tous partie de la construction d'une défense plus durable.

À une époque où le fossé entre les menaces et les défenses ne cesse de se creuser, c'est cette différence qui déterminera les entreprises qui resteront dans la course et celles qui resteront à la traîne.

Voyez comment le Plate-forme Illumio contient des brèches, limite les mouvements latéraux et transforme une stratégie de confiance zéro en un système anti-fragile.