Jeremy Marsalik, Senior Sales Engineer chez CoreView
Ce changement mérite d’être regardé sous un autre angle : celui du risque.
Car lorsque la donnée circule davantage, le risque ne disparaît pas. Il se déplace. Il ne se situe plus uniquement dans les systèmes qui hébergent l’information, mais également dans les flux, les identités et les relations de confiance qui permettent sa circulation.
C’est une évolution que l’on observe déjà très concrètement dans les entreprises. La transformation numérique n’a pas supprimé le périmètre de sécurité : elle l’a rendu beaucoup plus difficile à définir.
La donnée économique change de nature
Une facture est d’abord un document comptable. Mais, l’accumulation et la circulation de ces informations en font également une source de connaissance sur l’entreprise. Une facture peut renseigner sur un client, un fournisseur, un montant, un volume, un rythme d’activité, un produit ou un service, voire sur certaines dépendances commerciales. Quelques informations prises isolément ont une valeur limitée. Leur agrégation peut en revanche révéler une partie de la structure économique d’une organisation. C’est un point essentiel dans une économie où la donnée devient progressivement un actif stratégique.
Pendant longtemps, la sécurité consistait principalement à protéger des bases de données et des systèmes. Désormais, il faut également protéger la trajectoire de la donnée : d’où vient-elle, où va-t-elle, qui la traite, qui peut y accéder et quelles autres informations peuvent être déduites de son agrégation ?
La facturation électronique s’inscrit pleinement dans cette évolution. Elle ne crée pas à elle seule un nouveau risque cyber. Elle accélère un mouvement déjà à l’œuvre : celui d’une économie dans laquelle les données sont moins souvent conservées dans des silos et beaucoup plus souvent échangées entre systèmes. Cette évolution est porteuse d’efficacité. Elle est également porteuse d’interdépendance.
Le risque se déplace du système vers l’écosystème
C’est probablement l’un des changements les plus importants observés ces dernières années. Une entreprise peut sécuriser correctement son propre environnement tout en restant exposée par les systèmes avec lesquels elle interagit. Un prestataire, une application métier, une plateforme, une API ou un compte disposant de privilèges trop importants peuvent constituer un point d’entrée vers des informations sensibles. Cette réalité transforme la notion même de supply chain. La chaîne de valeur n’est plus seulement un ensemble de fournisseurs physiques ou de sous-traitants. C’est aussi un réseau de connexions numériques. Chaque connexion transporte potentiellement de la donnée et repose sur une relation de confiance.
Les incidents observés ces dernières années ont montré qu’un attaquant n’a pas nécessairement besoin de compromettre directement une grande organisation pour atteindre une information intéressante. Il peut chercher un maillon moins bien protégé de son écosystème, puis exploiter les relations de confiance existantes.
La généralisation des échanges électroniques renforce mécaniquement cette logique.
Plus les entreprises interconnectent leurs systèmes, plus leur niveau de sécurité dépend de leur capacité à maîtriser cet écosystème.
Cela impose de sortir d’une conception strictement interne de la cybersécurité.
L’identité devient le véritable point de contrôle
Cette évolution explique également pourquoi l’identité prend une place croissante dans les stratégies de sécurité. Dans les environnements modernes, l’accès à une donnée ne passe plus nécessairement par un poste de travail situé dans les locaux de l’entreprise. Il peut être accordé à un collaborateur à distance, à un prestataire, à une application, à un compte technique ou à une intégration entre deux systèmes. Le sujet n’est donc plus uniquement de savoir si un système est suffisamment protégé. Il faut savoir quelles identités peuvent accéder à quelles données et avec quels privilèges. C’est un changement de perspective important. Sur le terrain, une part significative du risque vient moins de l’absence totale de protection que de l’accumulation progressive de droits : un accès qui n’a pas été retiré, un privilège qui n’est plus justifié, une application connectée dont les permissions sont devenues trop larges, un compte technique oublié. Ces situations sont rarement spectaculaires. Elles sont pourtant particulièrement importantes dans un environnement où les données circulent entre de nombreux systèmes. Le principe du moindre privilège prend ici tout son sens : une identité ne devrait disposer que des accès nécessaires à son activité, pendant le temps où ces accès sont nécessaires. Cette règle vaut pour les collaborateurs comme pour les applications et les comptes techniques.
La confiance numérique doit désormais être gouvernée
Cette centralité de l’identité révèle une transformation plus large : la cybersécurité devient progressivement une question de gouvernance de la confiance. Chaque fois qu’une entreprise autorise un tiers à accéder à son environnement, elle établit une relation de confiance. Chaque fois qu’une application reçoit des permissions, elle crée une nouvelle relation de confiance. Chaque fois qu’un collaborateur dispose de droits importants, elle accepte un certain niveau de dépendance. Ces relations sont devenues tellement nombreuses qu’elles ne peuvent plus être gérées uniquement de manière ponctuelle ou manuelle. Elles doivent être considérées comme une composante à part entière du fonctionnement de l’entreprise. Cela suppose d’abord de disposer d’une visibilité suffisante. Il est difficile de sécuriser ce que l’on ne connaît pas : les identités actives, les privilèges accordés, les applications connectées, les comptes techniques ou encore les accès accordés à des partenaires. Cela suppose ensuite de remettre régulièrement ces relations en question. Un droit d’accès pertinent aujourd’hui peut ne plus l’être demain. Une application peut évoluer. Un collaborateur peut changer de fonction. Un prestataire peut ne plus intervenir. Enfin, cela suppose de surveiller ces relations dans la durée. La sécurité ne repose plus seulement sur la capacité à empêcher un accès non autorisé, mais également sur la capacité à détecter lorsqu’une identité légitime adopte un comportement qui ne correspond plus à son usage habituel.
La conformité doit devenir un accélérateur de maturité
C’est dans cette perspective que la facturation électronique doit être abordée. Il serait contre-productif de considérer la multiplication des échanges de données uniquement comme une contrainte supplémentaire imposée aux entreprises. Elle peut aussi être l’occasion de faire progresser leur maturité numérique. Chaque nouveau flux devrait conduire à une réflexion sur les données concernées, les acteurs qui y ont accès, les systèmes impliqués et les conséquences d’une compromission. Cette approche permet de dépasser une vision de la conformité fondée uniquement sur l’obligation de faire. La conformité doit également devenir une occasion de mieux comprendre son propre patrimoine informationnel et les relations de confiance qui permettent à l’entreprise de fonctionner. C’est d’autant plus important que les entreprises ont tendance à accumuler les connexions plus rapidement qu’elles ne les rationalisent. Une organisation peut ainsi se retrouver avec plusieurs générations d’applications, de comptes, de permissions et d’intégrations dont la logique initiale n’est plus toujours connue. La transformation numérique produit alors un paradoxe : plus l’entreprise devient efficace grâce à ses interconnexions, plus elle doit être capable de les gouverner. Il faut passer d’une logique de périmètre à une logique de maîtrise Ce changement de perspective conduit à une évolution nécessaire de la cybersécurité. Il ne s’agit plus seulement de renforcer les murs autour du système d’information. Dans une économie interconnectée, ces murs sont devenus poreux par construction. Il faut plutôt maîtriser les points de passage. Cela signifie savoir quelles données sont critiques, où elles circulent, quelles identités peuvent y accéder et quelles relations de confiance permettent ces accès. Cela signifie également être capable de réduire rapidement un privilège devenu inutile, d’identifier une connexion anormale ou de comprendre les dépendances qui existent entre les différents acteurs d’un écosystème. Cette approche est particulièrement importante pour les entreprises qui occupent une position centrale dans une chaîne de valeur. Leur compromission ne représente pas uniquement un risque pour leurs propres activités : elle peut créer un effet de propagation auprès de leurs partenaires. La résilience devient donc collective. Une entreprise ne peut plus considérer sa cybersécurité comme un sujet strictement interne, pas plus qu’elle ne peut considérer ses données comme des actifs qui restent nécessairement à l’intérieur de ses frontières.
Une nouvelle responsabilité pour les entreprises
La facturation électronique constitue finalement un révélateur d’une transformation beaucoup plus large. Nous entrons dans une économie dans laquelle la donnée circule davantage, les systèmes sont davantage interconnectés et les frontières entre organisations deviennent plus difficiles à matérialiser. Cette évolution est irréversible et elle est, sur de nombreux aspects, souhaitable. Elle permet davantage d’automatisation, de fluidité et d’efficacité. Mais elle oblige les entreprises à faire évoluer leur conception du risque. La sécurité ne consiste plus seulement à protéger un système. Elle consiste à maîtriser un ensemble de relations. La priorité doit donc progressivement se déplacer vers trois capacités fondamentales : connaître ses données et leurs flux, maîtriser les identités qui permettent d’y accéder et gouverner les relations de confiance avec son écosystème. La facturation électronique nous rappelle ainsi une réalité plus générale de la transformation numérique : chaque fois qu’une donnée devient plus facile à partager, la capacité à en contrôler l’accès devient plus stratégique. La prochaine maturité des entreprises ne résidera pas seulement dans leur capacité à numériser leurs processus. Elle résidera dans leur capacité à numériser la confiance qui les accompagne. C’est à cette condition que la circulation croissante de la donnée pourra être synonyme non seulement d’efficacité, mais aussi de résilience.
Car lorsque la donnée circule davantage, le risque ne disparaît pas. Il se déplace. Il ne se situe plus uniquement dans les systèmes qui hébergent l’information, mais également dans les flux, les identités et les relations de confiance qui permettent sa circulation.
C’est une évolution que l’on observe déjà très concrètement dans les entreprises. La transformation numérique n’a pas supprimé le périmètre de sécurité : elle l’a rendu beaucoup plus difficile à définir.
La donnée économique change de nature
Une facture est d’abord un document comptable. Mais, l’accumulation et la circulation de ces informations en font également une source de connaissance sur l’entreprise. Une facture peut renseigner sur un client, un fournisseur, un montant, un volume, un rythme d’activité, un produit ou un service, voire sur certaines dépendances commerciales. Quelques informations prises isolément ont une valeur limitée. Leur agrégation peut en revanche révéler une partie de la structure économique d’une organisation. C’est un point essentiel dans une économie où la donnée devient progressivement un actif stratégique.
Pendant longtemps, la sécurité consistait principalement à protéger des bases de données et des systèmes. Désormais, il faut également protéger la trajectoire de la donnée : d’où vient-elle, où va-t-elle, qui la traite, qui peut y accéder et quelles autres informations peuvent être déduites de son agrégation ?
La facturation électronique s’inscrit pleinement dans cette évolution. Elle ne crée pas à elle seule un nouveau risque cyber. Elle accélère un mouvement déjà à l’œuvre : celui d’une économie dans laquelle les données sont moins souvent conservées dans des silos et beaucoup plus souvent échangées entre systèmes. Cette évolution est porteuse d’efficacité. Elle est également porteuse d’interdépendance.
Le risque se déplace du système vers l’écosystème
C’est probablement l’un des changements les plus importants observés ces dernières années. Une entreprise peut sécuriser correctement son propre environnement tout en restant exposée par les systèmes avec lesquels elle interagit. Un prestataire, une application métier, une plateforme, une API ou un compte disposant de privilèges trop importants peuvent constituer un point d’entrée vers des informations sensibles. Cette réalité transforme la notion même de supply chain. La chaîne de valeur n’est plus seulement un ensemble de fournisseurs physiques ou de sous-traitants. C’est aussi un réseau de connexions numériques. Chaque connexion transporte potentiellement de la donnée et repose sur une relation de confiance.
Les incidents observés ces dernières années ont montré qu’un attaquant n’a pas nécessairement besoin de compromettre directement une grande organisation pour atteindre une information intéressante. Il peut chercher un maillon moins bien protégé de son écosystème, puis exploiter les relations de confiance existantes.
La généralisation des échanges électroniques renforce mécaniquement cette logique.
Plus les entreprises interconnectent leurs systèmes, plus leur niveau de sécurité dépend de leur capacité à maîtriser cet écosystème.
Cela impose de sortir d’une conception strictement interne de la cybersécurité.
L’identité devient le véritable point de contrôle
Cette évolution explique également pourquoi l’identité prend une place croissante dans les stratégies de sécurité. Dans les environnements modernes, l’accès à une donnée ne passe plus nécessairement par un poste de travail situé dans les locaux de l’entreprise. Il peut être accordé à un collaborateur à distance, à un prestataire, à une application, à un compte technique ou à une intégration entre deux systèmes. Le sujet n’est donc plus uniquement de savoir si un système est suffisamment protégé. Il faut savoir quelles identités peuvent accéder à quelles données et avec quels privilèges. C’est un changement de perspective important. Sur le terrain, une part significative du risque vient moins de l’absence totale de protection que de l’accumulation progressive de droits : un accès qui n’a pas été retiré, un privilège qui n’est plus justifié, une application connectée dont les permissions sont devenues trop larges, un compte technique oublié. Ces situations sont rarement spectaculaires. Elles sont pourtant particulièrement importantes dans un environnement où les données circulent entre de nombreux systèmes. Le principe du moindre privilège prend ici tout son sens : une identité ne devrait disposer que des accès nécessaires à son activité, pendant le temps où ces accès sont nécessaires. Cette règle vaut pour les collaborateurs comme pour les applications et les comptes techniques.
La confiance numérique doit désormais être gouvernée
Cette centralité de l’identité révèle une transformation plus large : la cybersécurité devient progressivement une question de gouvernance de la confiance. Chaque fois qu’une entreprise autorise un tiers à accéder à son environnement, elle établit une relation de confiance. Chaque fois qu’une application reçoit des permissions, elle crée une nouvelle relation de confiance. Chaque fois qu’un collaborateur dispose de droits importants, elle accepte un certain niveau de dépendance. Ces relations sont devenues tellement nombreuses qu’elles ne peuvent plus être gérées uniquement de manière ponctuelle ou manuelle. Elles doivent être considérées comme une composante à part entière du fonctionnement de l’entreprise. Cela suppose d’abord de disposer d’une visibilité suffisante. Il est difficile de sécuriser ce que l’on ne connaît pas : les identités actives, les privilèges accordés, les applications connectées, les comptes techniques ou encore les accès accordés à des partenaires. Cela suppose ensuite de remettre régulièrement ces relations en question. Un droit d’accès pertinent aujourd’hui peut ne plus l’être demain. Une application peut évoluer. Un collaborateur peut changer de fonction. Un prestataire peut ne plus intervenir. Enfin, cela suppose de surveiller ces relations dans la durée. La sécurité ne repose plus seulement sur la capacité à empêcher un accès non autorisé, mais également sur la capacité à détecter lorsqu’une identité légitime adopte un comportement qui ne correspond plus à son usage habituel.
La conformité doit devenir un accélérateur de maturité
C’est dans cette perspective que la facturation électronique doit être abordée. Il serait contre-productif de considérer la multiplication des échanges de données uniquement comme une contrainte supplémentaire imposée aux entreprises. Elle peut aussi être l’occasion de faire progresser leur maturité numérique. Chaque nouveau flux devrait conduire à une réflexion sur les données concernées, les acteurs qui y ont accès, les systèmes impliqués et les conséquences d’une compromission. Cette approche permet de dépasser une vision de la conformité fondée uniquement sur l’obligation de faire. La conformité doit également devenir une occasion de mieux comprendre son propre patrimoine informationnel et les relations de confiance qui permettent à l’entreprise de fonctionner. C’est d’autant plus important que les entreprises ont tendance à accumuler les connexions plus rapidement qu’elles ne les rationalisent. Une organisation peut ainsi se retrouver avec plusieurs générations d’applications, de comptes, de permissions et d’intégrations dont la logique initiale n’est plus toujours connue. La transformation numérique produit alors un paradoxe : plus l’entreprise devient efficace grâce à ses interconnexions, plus elle doit être capable de les gouverner. Il faut passer d’une logique de périmètre à une logique de maîtrise Ce changement de perspective conduit à une évolution nécessaire de la cybersécurité. Il ne s’agit plus seulement de renforcer les murs autour du système d’information. Dans une économie interconnectée, ces murs sont devenus poreux par construction. Il faut plutôt maîtriser les points de passage. Cela signifie savoir quelles données sont critiques, où elles circulent, quelles identités peuvent y accéder et quelles relations de confiance permettent ces accès. Cela signifie également être capable de réduire rapidement un privilège devenu inutile, d’identifier une connexion anormale ou de comprendre les dépendances qui existent entre les différents acteurs d’un écosystème. Cette approche est particulièrement importante pour les entreprises qui occupent une position centrale dans une chaîne de valeur. Leur compromission ne représente pas uniquement un risque pour leurs propres activités : elle peut créer un effet de propagation auprès de leurs partenaires. La résilience devient donc collective. Une entreprise ne peut plus considérer sa cybersécurité comme un sujet strictement interne, pas plus qu’elle ne peut considérer ses données comme des actifs qui restent nécessairement à l’intérieur de ses frontières.
Une nouvelle responsabilité pour les entreprises
La facturation électronique constitue finalement un révélateur d’une transformation beaucoup plus large. Nous entrons dans une économie dans laquelle la donnée circule davantage, les systèmes sont davantage interconnectés et les frontières entre organisations deviennent plus difficiles à matérialiser. Cette évolution est irréversible et elle est, sur de nombreux aspects, souhaitable. Elle permet davantage d’automatisation, de fluidité et d’efficacité. Mais elle oblige les entreprises à faire évoluer leur conception du risque. La sécurité ne consiste plus seulement à protéger un système. Elle consiste à maîtriser un ensemble de relations. La priorité doit donc progressivement se déplacer vers trois capacités fondamentales : connaître ses données et leurs flux, maîtriser les identités qui permettent d’y accéder et gouverner les relations de confiance avec son écosystème. La facturation électronique nous rappelle ainsi une réalité plus générale de la transformation numérique : chaque fois qu’une donnée devient plus facile à partager, la capacité à en contrôler l’accès devient plus stratégique. La prochaine maturité des entreprises ne résidera pas seulement dans leur capacité à numériser leurs processus. Elle résidera dans leur capacité à numériser la confiance qui les accompagne. C’est à cette condition que la circulation croissante de la donnée pourra être synonyme non seulement d’efficacité, mais aussi de résilience.
