Maudrux A.

Sep 23, 2026

📢 Shared from [group:7d37b68f-dc92-47aa-9908-f5430da3b1c1:Cyberr France]

Chers membres,

49 %. C'est la part des responsables informatique et sécurité qui n'obtiennent pas l'aval de leur direction pour recruter en cybersécurité. Près d'un sur deux. Le frein n'est plus le vivier de candidats, il est interne.

Le constat

Le rapport 2026 de Fortinet sur le déficit de compétences, publié fin avril, interroge plus de 2 750 décideurs informatique et sécurité dans 32 pays.

Le chiffre le plus lourd est ailleurs : 56 % des répondants citent le manque de compétences cyber parmi les premières causes de leurs brèches, pour la troisième année consécutive. Dans le même temps, 86 % déclarent au moins une brèche sur les douze derniers mois, et 52 % l'évaluent à plus d'un million de dollars, contre 38 % en 2021.

Deux résultats méritent l'attention d'un comité de direction. D'abord, 50 % des répondants indiquent que des dirigeants ou des administrateurs ont fait l'objet de sanctions après une cyberattaque. Ensuite, 51 % déclarent avoir besoin en priorité de compétences de niveau senior, quand 60 % citent la difficulté à trouver des profils ayant une expérience de l'IA comme premier obstacle de recrutement.

Pourquoi c'est important

Le premier point est un problème d'arbitrage, pas de marché. Nous parlons depuis des années de pénurie de candidats. L'étude déplace le sujet : dans la moitié des cas, le poste n'est pas vacant faute de candidat, il est refusé faute d'arbitrage favorable. Ce n'est pas un sujet RH, c'est un sujet de gouvernance.

Le deuxième est un effet de ciseau. La demande se concentre sur le senior et sur l'IA, deux segments où le délai de recrutement est le plus long et la rémunération la plus tendue. Une enveloppe refusée cette année ne se rattrape pas en trois mois l'an prochain.

Le troisième est que la sanction remonte. Quand la moitié des organisations interrogées rapportent des conséquences personnelles pour des dirigeants après un incident, le refus d'un poste cesse d'être une décision neutre. Il devient une décision qui se documente.

Trois décisions à prendre

1. Tracer par écrit chaque poste cyber demandé et non accordé, avec le risque associé et la date. Un arbitrage documenté protège mieux qu'un poste obtenu sans mandat.

2. Traiter la formation comme une voie de recrutement. 92 % des répondants déclarent financer les certifications de leurs équipes, contre 73 % un an plus tôt. Monter un profil interne coûte moins cher qu'un senior introuvable.

3. Poser la question de l'IA maintenant, pas au prochain plan de charge. 63 % anticipent un besoin de rôles de supervision et de gouvernance de l'IA d'ici trois ans. Ces compétences se construisent, elles ne s'achètent pas au moment voulu.

👉 Source : https://www.fortinet.com/corporate/about-us/newsroom/press-releases/2026/fortinet-report-reveals-cybersecurity-hiring-stalls-as-nearly-half-of-it-leaders-face-corporate-pushback

Et chez vous, combien de postes cyber ont été demandés puis refusés cette année, et ce refus a-t-il été tracé quelque part ?

#Cybersécurité #France #EmploiCyber #RSSI #Recrutement #IA #Cyberr

View post

Sep 3, 2026

📢 Shared from [group:7d37b68f-dc92-47aa-9908-f5430da3b1c1:Cyberr France]

Chers membres,

En 2025, l'ANSSI a caractérisé 460 événements de sécurité comme des fuites de données potentielles. Seuls 42 pour cent ont finalement été associés à une fuite avérée. Autrement dit, près de six alertes sur dix relevaient du bluff, de l'exagération ou de données déjà publiques remises en circulation.

Le constat

Le Panorama de la cybermenace 2025 de l'ANSSI dresse un tableau stable en volume mais plus trouble en nature. L'agence a traité 3 586 événements de sécurité, en baisse de 18 pour cent par rapport à 2024, un recul qui s'explique largement par le pic de signalements lié aux Jeux olympiques de Paris. Le nombre d'incidents avérés reste, lui, quasiment identique : 1 366 contre 1 361 un an plus tôt. Côté rançongiciel, 128 compromissions ont été portées à la connaissance de l'agence.

Ce qui change, c'est la mise en scène. Les groupes cybercriminels republient des bases anciennes, présentent des échantillons partiels comme des vols massifs et gonflent artificiellement l'ampleur de leurs attaques. La revendication devient une arme en soi, indépendamment de la réalité technique de l'intrusion.

Pourquoi c'est important

Pour un comité de direction, une revendication non qualifiée coûte cher, même quand elle est fausse. Elle déclenche des heures de cellule de crise, des questions clients, parfois une communication publique prématurée qui crée le préjudice que l'attaque n'avait pas produit. À l'inverse, traiter toute revendication comme du bruit expose à passer à côté des 42 pour cent qui sont réels.

Le sujet est donc un sujet de gouvernance, pas seulement de SOC. Avec NIS2, les délais de notification imposent de décider vite, sur la base d'éléments incomplets. La capacité à qualifier une revendication en quelques heures devient une compétence de direction.

Trois recommandations

1. Formalisez une procédure de qualification de revendication, distincte de votre plan de réponse à incident : qui vérifie l'échantillon, en combien de temps, avec quels journaux, et qui tranche. Objectif réaliste, un premier avis en 24 heures.

2. Préparez à l'avance deux trames de communication, l'une pour une revendication non confirmée, l'autre pour une fuite avérée. Le pire scénario reste le silence prolongé suivi d'un démenti mal calibré.

3. Vérifiez la fraîcheur des données exposées avant de conclure. Un recoupement sur les formats d'identifiants, les empreintes de mots de passe ou les champs obsolètes permet souvent d'identifier un recyclage en moins d'une journée.

👉 Source : https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/

Et chez vous, qui a le mandat de dire en 24 heures si une revendication est crédible ou non ?

#Cybersécurité #France #ANSSI #RSSI #NIS2 #GestionDeCrise #Cyberr

View post

Aug 28, 2026

📢 Shared from [group:7d37b68f-dc92-47aa-9908-f5430da3b1c1:Cyberr France]

Chers membres,

Dans quatorze jours, le 11 septembre 2026, une obligation entre en application dans toute l'Union : signaler une vulnérabilité activement exploitée sous 24 heures. Elle ne concerne pas que les grands éditeurs de logiciels.

Le constat

Le Cyber Resilience Act active sa première brique opérationnelle. À partir du 11 septembre, tout fabricant d'un produit comportant des éléments numériques mis sur le marché européen devra transmettre une alerte précoce sous 24 heures, puis une notification complète sous 72 heures, en cas de vulnérabilité activement exploitée ou d'incident grave. Le canal est unique : la plateforme de signalement opérée par l'ENISA, avec le CERT-FR comme point d'entrée national. Le reste des obligations, sécurité dès la conception, gestion des vulnérabilités sur tout le cycle de vie, documentation technique, s'appliquera le 11 décembre 2027. Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.

Pourquoi c'est important

Deux angles morts reviennent dans nos échanges avec les comités de direction.

Le premier : beaucoup d'organisations se croient hors périmètre. Or le règlement vise les produits comportant des éléments numériques, pas seulement les éditeurs. Une entreprise industrielle qui commercialise un équipement connecté, une société qui distribue une application, un importateur qui met sur le marché européen un produit conçu ailleurs : tous entrent dans le champ, à des titres différents.

Le second : 24 heures, ce n'est pas un délai technique, c'est un délai de décision. Il suppose qu'une vulnérabilité exploitée soit qualifiée, remontée, arbitrée et déclarée pendant que l'équipe est encore en train de comprendre ce qui se passe. Sans chaîne de décision préétablie et sans astreinte, ce délai ne tient pas.

Trois chantiers à ouvrir avant le 11 septembre :

1. Trancher la question du périmètre, par écrit. Lister les produits et services mis sur le marché européen et statuer avec le juridique sur votre qualification : fabricant, importateur ou distributeur.

2. Écrire la procédure de signalement 24 heures, puis la tester. Qui qualifie, qui décide, qui déclare, qui prend le relais un vendredi soir. Un seul exercice suffit à révéler les trous.

3. Répercuter l'exigence sur vos fournisseurs. Vos contrats doivent vous garantir une information assez rapide pour tenir votre propre délai, sans quoi vous serez en retard par construction.

Un point d'attention souligné par l'ANSSI : l'absence de normes harmonisées définitives ne suspend pas les exigences essentielles. Attendre les normes pour lancer l'inventaire de ses composants est une stratégie perdante.

👉 https://cyber.gouv.fr/reglementation/cybersecurite-des-produits/cyber-resilience-act/questions-frequentes-sur-le-cra/

Et chez vous, la question du périmètre CRA a-t-elle déjà été tranchée en comité de direction, ou reste-t-elle un sujet d'équipe technique ?

#Cybersécurité #CRA #CyberResilienceAct #RSSI #France #Conformité #Cyberr

View post

Aug 28, 2026

OpenAI, Anthropic et plus de 100 entreprises lancent une alerte sur les cybermenaces liées à l'IA

Cette lettre ouverte exhorte les gouvernements et les entreprises à traiter la cyberdéfense comme une priorité immédiate, avant que les attaques pilotées par l’IA ne submergent les infrastructures critiques.

• OpenAI, Anthropic, Microsoft [Microsoft Corporation +1,75 %], Google [Alphabet Inc. -0,41 %] et AWS [Amazon.com, Inc. -1,54 %] ont rejoint plus de 100 entreprises dans une lettre ouverte publiée jeudi, mettant en garde contre l’imminence de cyberattaques facilitées par l’IA.[axios +1]

• La coalition affirme que les hôpitaux, les réseaux d’eau et les réseaux électriques font face à des menaces croissantes, l’IA réduisant l’expertise et le temps dont les pirates ont besoin pour exploiter les systèmes industriels.[axios]

• Malgré le ton urgent, les signataires n’ont pris aucun engagement précis, n’ont fixé aucune échéance et n’ont annoncé aucun investissement financier dans le cadre de cette lettre, selon Axios.[axios]

View post

Aug 27, 2026

Expert M365 protection des données et DSPM - Toulouse, remote occasionnel

View post