Les entreprises investissent dans des technologies capables de détecter plus rapidement les attaques et d’automatiser les investigations. Mais comment savoir si ces dépenses les protègent réellement ? Pour Rémi Enjolras, Field CTO chez Splunk, filiale de Cisco, la question dépasse les performances des outils. Entre budgets contraints, dette technique et nouveaux coûts liés à l’intelligence artificielle, les organisations doivent aussi s’interroger sur les risques qu’elles pourraient éviter plutôt que sur leur seule capacité à y répondre.
Des investissements dont l’efficacité reste difficile à mesurer
La cybersécurité a ceci de particulier que ses investissements doivent souvent être justifiés par des événements qui ne se sont pas produits. Une intrusion évitée, une vulnérabilité corrigée avant son exploitation ou un service resté disponible malgré une tentative d’attaque ne se traduisent pas facilement en retour sur investissement. Dans son rapport 2026 consacré aux RSSI, Splunk relève ainsi que 41 % des responsables interrogés peinent à établir un lien entre les dépenses de sécurité et la réduction effective des risques.
Pour Rémi Enjolras, la cybersécurité est avant tout « une assurance à la continuité de service », dont la valeur ne se mesure pas nécessairement à court terme. Une comparaison qui prend tout son sens dans un contexte de restrictions budgétaires, les entreprises cherchant désormais à « faire plus avec moins, ou au mieux plus avec autant ».
Encore faut-il déterminer ce que signifie être mieux protégé. Une diminution du nombre d’incidents, par exemple, peut aussi bien témoigner d’une amélioration de la sécurité que d’une détection devenue moins efficace. Interrogé sur cette ambiguïté, Rémi Enjolras insiste sur la nécessité d’identifier les risques propres à chaque entreprise et de mesurer dans quelle proportion ils sont effectivement couverts. « Pour moi, la mesure, c’est véritablement avoir une cartographie des risques et savoir où est-ce que ces risques sont couverts », explique-t-il, avant d’évoquer les lacunes qui doivent ensuite donner lieu à des plans d’action.
Cette approche suppose toutefois que les équipes techniques et les responsables métiers partagent une même lecture des priorités, ce qui est encore loin d’être systématique. Dans certaines organisations, les indicateurs remontés par les équipes cyber rendent compte des performances des outils sans véritablement renseigner les dirigeants sur la capacité de l’entreprise à poursuivre ses activités en cas d’incident. La difficulté ne tient donc pas seulement à la mesure des performances, mais à ce que l’on choisit de mesurer.
L’automatisation, une nouvelle équation économique
L’intelligence artificielle offre des perspectives aux équipes cyber, notamment pour traiter les alertes, accélérer les investigations ou automatiser certaines opérations de remédiation. Dans des organisations où les effectifs restent contraints, elle peut permettre de consacrer davantage de temps aux investigations complexes et à la recherche proactive de menaces.
Mais ces gains ont eux-mêmes un prix, et Rémi Enjolras invite à ne pas négliger la question du « coût des tokens », qui s’ajoute aux dépenses d’intégration et d’exploitation. Les entreprises doivent désormais déterminer quels usages justifient réellement ces investissements, certaines expérimentant leurs propres modèles avant de retenir les applications les plus pertinentes, quand d’autres préfèrent les capacités directement intégrées aux solutions commerciales.
Le choix engage également la maîtrise des données. Les informations manipulées par les équipes de cybersécurité peuvent contenir des données personnelles, des éléments techniques sensibles ou des renseignements sur les activités de l’entreprise, dont le traitement par des modèles externes soulève des questions d’hébergement et de confidentialité.
À ces contraintes s’ajoute le caractère non déterministe de certains systèmes d’IA, dont les actions ne sont pas toujours entièrement prévisibles. Leur autonomie croissante oblige donc à définir les limites dans lesquelles ils peuvent intervenir, particulièrement lorsqu’il s’agit d’agir directement sur un système d’information.
« L’intelligence artificielle, c’est un outil », rappelle Rémi Enjolras, qui met en garde contre la tentation d’en faire une réponse systématique aux difficultés rencontrées par les équipes de sécurité. La rationalisation des dépenses ne consiste pas simplement à remplacer du travail humain par des opérations automatisées, mais à déterminer où cette automatisation apporte une amélioration suffisamment importante pour justifier son coût.
Avant d’écoper plus vite, boucher les trous
C’est sur la hiérarchie des investissements que Rémi Enjolras se montre le plus insistant. Aux Assises de la cybersécurité, début octobre, le discours de Vincent Strubel, directeur général de l’ANSSI, l’a particulièrement marqué par son appel à résorber la dette technique et à revenir aux fondamentaux de la sécurité. Car les entreprises peuvent perfectionner leurs moyens de détection et de réponse tout en conservant des vulnérabilités connues, des services inutilement exposés sur Internet ou des réseaux dont le cloisonnement insuffisant facilite la progression des attaquants. « Ce qui n’a pas besoin d’être exposé n’a pas à être exposé sur Internet », résume Rémi Enjolras, qui insiste également sur la segmentation des réseaux pour compliquer les déplacements d’un attaquant parvenu à franchir les premières défenses.
La prévention ne dispense évidemment pas de détecter et de traiter les attaques qui réussissent malgré tout à pénétrer dans les systèmes. Mais le Field CTO de Splunk défend un ordre de priorité dans lequel la sécurisation des infrastructures et la protection des activités essentielles précèdent les investissements destinés à accélérer la réponse aux incidents.
Pour expliquer ce raisonnement, il prend l’image d’une barque percée au milieu de l’océan, dont il faudrait sans cesse évacuer l’eau. On peut remplacer la petite cuillère par un seau, voire industrialiser l’opération pour écoper toujours plus rapidement, mais « ce qui sera vraisemblablement plus efficace, c’est de boucher les trous plutôt que d’essayer d’écoper plus vite ».
Une image qui ramène les entreprises à une question moins séduisante que les promesses de l’IA, mais autrement décisive pour leurs investissements : quelles faiblesses peuvent-elles encore corriger avant de consacrer davantage de moyens à leurs conséquences ?
