Le paysage français de la cybersécurité : priorités stratégiques pour 2025

La France a récemment commencé à appliquer la loi européenne sur l'IA, la Directive NIS2 et d'autres nouvelles lois sur la cybersécurité et l'IA. Les organisations ressentent la pression de se conformer à ces nouvelles réglementations tout en se défendant contre les cybercriminels en utilisant des techniques de plus en plus avancées.

Les tendances observées dans l'aperçu des menaces 2025 de l'ANSSI illustrent la diversité des motivations et des méthodes créatives des cybercriminels et soulignent comment la gouvernance, la préparation et la gestion efficace des risques en matière de cybersécurité peuvent atténuer efficacement ces attaques sophistiquées.

Cyberattaques majeures en France (2024)

Violation de données dans le secteur de la santé — février

Début février, deux prestataires de services de paiement de soins de santé français, Viamedis et Almerys, ont signalé des violations de données à l'autorité française de protection des données (CNIL) à 5 jours d'intervalle. Les violations ont touché plus de 33 millions de personnes, révélant des informations sur les assurés telles que l'état civil, la date de naissance, le numéro de sécurité sociale, le nom de l'assureur maladie et les détails du contrat, y compris des données similaires concernant les membres de la famille des assurés.

Violation de données de France Travail — mars

Alors que les efforts de remédiation étaient toujours en cours pour les incidents de Viamedis et d'Almerys, France Travail, l'agence française pour l'emploi, a établi le record de la plus grande cyberattaque de l'histoire du pays. Elle a signalé une violation touchant 43 millions de personnes, avec des données exposées concernant des demandeurs d'emploi enregistrés auprès d'une agence au cours des 20 dernières années. L'attaque a été attribuée au groupe de rançongiciels Clop, qui a exploité une vulnérabilité zero-day dans l'outil logiciel MOVEit Transfer.

Cyberattaques dans le secteur des télécommunications — septembre et octobre

En septembre, le fournisseur de télécommunications SFR a signalé une violation de données affectant 3,5 millions de clients. Dans les notifications envoyées aux utilisateurs concernés, la société a révélé que les données exposées comprenaient des informations personnelles fournies lors d'achats en ligne, telles que les numéros d'identification des cartes SIM et les informations bancaires.

Le mois suivant, Free, le deuxième fournisseur d'accès à Internet de France, a subi une cyberattaque majeure visant un outil de gestion interne. La violation a compromis les informations personnelles identifiables (PII) de 19 millions de clients, notamment les noms complets, les adresses e-mail et postales, les numéros de téléphone, les détails des contrats et, pour certains, les informations bancaires.

La cybersécurité aux Jeux Olympiques de Paris 2024

La stratégie de cybersécurité de la France pour les Jeux olympiques d'été de 2024 à Paris constitue un excellent exemple de cyberrésilience en action. Étant l'un des événements les plus médiatisés au monde, les Jeux Olympiques ont représenté une cible importante pour les cybercriminels, les pirates informatiques parrainés par l'État et les campagnes de désinformation.

Pour contrer ces menaces, la France a mis en œuvre une stratégie de cybersécurité à plusieurs niveaux impliquant des agences gouvernementales, des partenaires du secteur privé et une coopération internationale.

Selon le rapport sur les cybermenaces de 2024 de l'ANSSI, deux attaques majeures par rançongiciel ont été détectées pendant les Jeux olympiques. Une attaque par rançongiciel a ciblé le système de données central du réseau de la Réunion des musées nationaux. Le Grand Palais et le château de Versailles font partie du réseau et accueillaient des épreuves olympiques au moment de l'attaque. La deuxième attaque majeure de rançongiciel a été signalée par l'université Paris-Saclay, qui abrite le laboratoire français antidopage.

Cependant, aucune des attaques n'a pu perturber les systèmes d'information critiques ou interférer avec les événements. L'ANSSI a attribué l'atténuation de ces attaques à la segmentation des systèmes d'information et aux efforts de remédiation rapides déployés une fois les menaces identifiées.

L'IA et le Parlement européen et les élections législatives françaises de 2024

Les consommateurs et les électeurs français sont de plus en plus exposés au contenu généré par l'IA sur les réseaux sociaux, les sites d'information et les moteurs de recherche. Lors des élections parlementaires européennes de 2024, certains partis politiques français ont publié du contenu généré par l'IA sur leurs pages de réseaux sociaux. D'après le Code de conduite de l'UE 2024 pour les élections législatives, bien que l'utilisation de contenu généré par l'IA ne soit pas interdite, il doit être clairement étiqueté.

Selon un rapport de l'organisation à but non lucratif IA Forensics, 51 images générées par l'IA ont été publiées et republiées par divers partis politiques en France pour les élections législatives et législatives européennes qui ont suivi sur Facebook, Instagram et X. Aucun contenu généré par l'IA n'a été étiqueté comme tel, malgré le Code de conduite électoral de l'UE.

Le Loi sur les services numériques, entrée en vigueur en France en août 2023, recommande également aux plateformes et aux moteurs de recherche comptant plus de 45 millions d'utilisateurs actifs par mois d'étiqueter le contenu généré par l'IA. Cela n'est pas encore devenu une pratique courante sur des plateformes comme Facebook, Google, TikTok, YouTube ou X (anciennement Twitter).

L'utilisation de contenu généré par l'IA constitue une préoccupation croissante parmi les spécialistes des sciences sociales, les gouvernements, les chefs d'entreprise et les professionnels de la sécurité, car elle a un impact sur l'intégrité de l'information et la confiance du public.

Le paysage des menaces en chiffres : aperçu statistique de l'ANSSI

Selon les dernières données de l'ANSSI, 2024 a connu une augmentation significative des incidents de sécurité dans les secteurs public et privé.

En 2024, les équipes opérationnelles de l'ANSSI ont traité 4 386 événements de sécurité, soit une augmentation de 15 % par rapport à l'année précédente. Parmi ces incidents, l'agence a confirmé 1 361 attaques malveillantes réussies contre des systèmes d'information. Cette tendance à la hausse souligne la nature persistante et évolutive des menaces cyber auxquelles sont confrontées les organisations françaises.

Les rançongiciels : une menace persistante et évolutive

Les attaques par rançongiciel restent particulièrement problématiques dans le paysage français de la cybersécurité. L'ANSSI a documenté 144 cas de compromission par des rançongiciels en 2024, impliquant 39 souches de rançongiciels différentes. Les souches les plus répandues étaient Lockbit 3.0 (15 %), Ransomhub (7 %) et Akira (7 %), avec de nouvelles souches émergentes telles que Ransomhub, Monti et Lynx faisant leur première apparition.

La répartition des incidents liés aux rançongiciels dans différents secteurs révèle d'importantes vulnérabilités dans le paysage commercial français. Les petites et moyennes entreprises (PME), les très petites entreprises (TPE) et les entreprises de taille intermédiaire continuent de faire les frais de ces attaques, représentant 37 % de tous les incidents de rançongiciels signalés à l'ANSSI. Ce ciblage disproportionné reflète une faille de sécurité critique, car ces organisations ne disposent souvent pas de personnel dédié à la cybersécurité, de budgets de sécurité adéquats et de l'expertise technique nécessaire pour mettre en œuvre des défenses robustes.

‍

L'évolution de la réponse réglementaire de la France

Mise en œuvre de NIS2 et DORA

Le 12 mars 2025, la France a achevé la transposition de la directive européenne NIS2 et du règlement DORA en droit national. La directive NIS2 étend considérablement les obligations en matière de cybersécurité dans des secteurs clés, l'Agence Nationale de Cybersécurité de la France (ANSSI) faisant office d'autorité de surveillance chargée d'effectuer les contrôles de conformité et d'émettre des ordonnances en cas de non-conformité.

Simultanément, la loi sur la résilience opérationnelle numérique (DORA) établit un cadre complet spécifiquement pour le secteur financier, obligeant les entités financières à mettre en œuvre des pratiques robustes de gestion des risques liés aux TIC, des procédures de signalement des incidents et des tests de résilience numérique. Cette double mise en œuvre constitue une avancée majeure dans l'établissement d'une base de sécurité cohérente dans les secteurs critiques, en accordant une attention particulière à l'infrastructure numérique du système financier.

‍

La réglementation de l'IA prend forme

La loi européenne sur l'IA, entrée en vigueur le 1er août 2024, a établi un cadre réglementaire commun pour l'intelligence artificielle au sein de l'Union européenne. Alors que la plupart des dispositions deviendront pleinement applicables d'ici le 2 août 2026, certains aspects, tels que l'interdiction des systèmes d'IA présentant des risques inacceptables, sont devenus applicables le 2 février 2025.

Ces nouvelles réglementations ont suscité d'importantes discussions sur l'équilibre entre innovation et sécurité. Lors du sommet de Paris sur l'IA en février 2025, des points de vue différents sont apparus sur le niveau de réglementation approprié. Le vice-président américain JD Vance a critiqué l'approche réglementaire de l'Europe, laissant entendre que cela pourrait freiner l'innovation. La position des États-Unis contraste avec les efforts déployés par l'Europe pour mettre en œuvre des garanties complètes en matière d'IA par le biais de la loi de l'UE sur l'IA.

Mesures de conformité

Pour les organisations opérant en France, ces évolutions réglementaires exigent une réponse stratégique. Les conseils d'administration et les responsables des risques et de la sécurité devraient collaborer pour effectuer des évaluations complètes de la conformité et des risques, mettre à jour leurs stratégies de gestion des risques et se préparer à des obligations de reporting accrues.

Les organisations qui utilisent ou développent des systèmes d'IA devraient accorder une attention particulière au système de classification des risques établi par la loi de l'UE sur l'IA et s'assurer que des garanties appropriées sont en place. Plutôt que de considérer la conformité comme un exercice de liste de contrôle, les organisations avant-gardistes profiteront de ces exigences réglementaires pour renforcer leur posture de sécurité globale et renforcer leur résilience face à l'évolution du paysage des menaces.

‍

Meilleures pratiques et recommandations de sécurité pour 2025

Tirant les leçons des cyberincidents majeurs de 2024 et des recommandations de l'ANSSI, les organisations en France devraient mettre en œuvre les mesures de sécurité suivantes pour renforcer leur cyber-résilience.

‍

Authentification et contrôles d'accès

• Mettez en œuvre des méthodes d'authentification multifactorielles robustes à l'aide de certificats ou de clés de sécurité plutôt que de vous fier uniquement au TOTP ou à des applications tierces qui peuvent être contournées
• Changez régulièrement les mots de passe des comptes privilégiés (l'ANSSI a découvert que de nombreuses organisations utilisaient les mêmes mots de passe à privilèges élevés pendant 15 à 25 ans)
• Mettre en œuvre le principe du moindre privilège dans tous les systèmes

‍

Segmentation du réseau

• Mettez en œuvre la segmentation interne du réseau en tant que mesure de défense en profondeur essentielle pour contenir les menaces et limiter la mobilité des attaquants au sein de votre environnement

‍

Protection des appareils Edge

• Mettez en œuvre des contrôles d'accès stricts pour les interfaces d'administration des pare-feux, des passerelles VPN et d'autres dispositifs de sécurité

‍

Mises à jour du système et des logiciels

• Donnez la priorité à l'application rapide de correctifs aux systèmes exposés à Internet (VPN, pare-feux) qui constituent des cibles privilégiées pour les attaquants
• Mettre en place un processus de gestion des mises à jour systématique

‍

Détection et réponse aux incidents

• Développement de capacités de détection robustes, en particulier pour les appareils de sécurité de pointe
• Création d'un plan de réponse aux incidents avec des rôles et des procédures clairement définis
• Maintien de sauvegardes hors ligne pour garantir la continuité des activités en cas d'attaques de rançongiciels
• Enquêter sur les appareils potentiellement vulnérables immédiatement après la divulgation d'une vulnérabilité, plutôt que d'attendre des signes de compromission

Relever les défis de cybersécurité de la France grâce à une gestion des risques axée sur les données

Alors que la complexité du paysage français de la cybersécurité ne cesse d'évoluer, les organisations doivent s'adapter en permanence. Les incidents survenus en 2024-2025 démontrent la nécessité de renforcer les capacités de gestion des risques pour faire face à des menaces de plus en plus sophistiquées. Qu'il s'agisse de la violation record de France Travail qui a touché 43 millions de personnes ou des attaques ciblées pendant les Jeux olympiques de Paris, les enjeux n'ont jamais été aussi importants, obligeant les organisations à faire évoluer leur approche des risques.

Pour relever efficacement ces défis, les organisations avant-gardistes repensent leur gestion des risques afin de mettre en œuvre des méthodologies plus stratégiques et axées sur les données.

• ‍Comprenez leur contexte de risque unique en mettant en correspondance les actifs numériques critiques avec les processus métier et en identifiant ce qui compte vraiment pour les opérations‍
• Quantifier les impacts potentiels en termes financiers, créer un langage commun qui trouve un écho auprès des dirigeants et des membres du conseil d'administration‍
• Prioriser les investissements dans la sécurité sur la base de l'exposition au risque réelle plutôt que des menaces perçues
• ‍Élaborez des stratégies de contrôle ciblées qui remédient aux vulnérabilités les plus importantes spécifiques à leur chaîne de valeur

‍

Repenser la gestion des risques

Si vous souhaitez discuter de vos défis en matière de cybersécurité et de conformité, planifier un appel avec un expert de C-Risk.

‍