Résilience numérique : souveraineté, post-quantique et agents IA

La souveraineté numérique n’est ni un objectif en soi ni une préférence politique : c’est de la gestion des risques. Dans cet Angle d’Attaque animé par Yasmine Douadi, Pierre Brun-Murol, CTO Cybersecurity Products chez Eviden, détaille comment aborder les dépendances aux hyperscalers, l’explosion des identités non humaines liée à l’IA agentique et la transition vers la cryptographie post-quantique. Son message : la résilience numérique consiste à savoir ce que l’on contrôle, ce que l’on délègue et ce que l’on doit migrer avant la prochaine rupture.

Souveraineté : une question de contrôle de risque
‍

Tout le monde parle de la souveraineté. Mais pour les entreprises, ce terme a rarement le même sens que pour les États ou les institutions publiques. Leur souveraineté ne relève généralement pas ni d’une préférence nationale ni d’un choix idéologique. « La souveraineté numérique, ce n’est rien d’autre que de la sécurité », explique Pierre Brun-Murol. Autrement dit, il s’agit d’une question de sécurité qui se traduit en gestion des risques : disponibilité, confidentialité, intégrité, dépendance technique, exposition juridique et géopolitique.
‍

Le débat sur la souveraineté numérique est souvent abordé de manière binaire : une solution serait souveraine ou ne le serait pas. Pour Pierre Brun-Murol, cette approche est trompeuse. « La souveraineté absolue, elle n’existe pas », déclare-t-il. Il faut plutôt mesurer des degrés de contrôle et distinguer les dépendances acceptables de celles qui ne le sont pas. Le risque le plus emblématique est celui du « kill switch » : la possibilité, pour une juridiction extra-européenne, de couper l’accès d’utilisateurs ou d’institutions européennes à leur environnement. C’est le risque, résume Pierre Brun-Murol, de voir « du jour au lendemain » un environnement coupé et la disponibilité des données avec lui.

À lire aussi : Mythos AI : comment l’IA de frontière est devenue un enjeu de guerre technologique entre la Chine et les États-Unis

Ce risque ne conduit pas pour autant à exclure les clouds publics non européens. Il y a quelques années, une société du CAC 40 a choisi de traiter ses fichiers sur une solution entièrement hébergée dans le cloud, un choix de groupe qu’elle ne voulait pas remettre en cause. Elle exigeait en revanche que ses enquêtes juridiques internes restent inaccessibles, y compris à la justice d’un État extra-européen, qui aurait pu faire pression sur elle pour obtenir ces données. Son objectif n’était pas de se placer hors la loi, précise Pierre Brun-Murol : « Ce qu’ils veulent, c’est être propriétaire de la discussion avec les instances judiciaires extraterritoriales. » Elle refusait donc qu’un intermédiaire puisse fournir ses données, d’autant que ces demandes s’accompagnent le plus souvent d’une obligation de ne pas les tracer, de sorte que personne n’en est informé.
‍

Les besoins varient donc fortement selon les secteurs et les organisations. Dans le secteur de la santé, par exemple, certaines solutions reposent nativement sur des environnements hyperscalers extra-européens. Les entreprises concernées doivent alors trouver des moyens de conserver le contrôle de leurs données, faute de quoi elles pourraient se voir interdire la commercialisation de leurs produits en Europe. Par conséquent, la résilience consiste à décider, risque par risque, où garder le contrôle.
‍

Identités non humaines : l’angle mort de l’IA agentique

La résilience se joue également dans la capacité à savoir qui, ou plutôt quoi, accède aux données. La gestion des identités et des accès n’est pas nouvelle, mais l’IA en change radicalement l’échelle et la nature. « Pour une identité humaine, on a 100 identités non humaines dans les entreprises, voire plus », estime Pierre Brun-Murol. Jusqu’ici, ces identités correspondaient surtout à des comptes de service ou à des objets connectés. Avec l’IA agentique, leur volume devrait encore augmenter, tandis que leur mode de fonctionnement compliquera la gouvernance traditionnelle.

Le problème tient notamment au caractère éphémère de ces agents. Lorsqu’un agent reçoit une demande, il peut décomposer la tâche, lancer d’autres agents, lesquels peuvent eux-mêmes en créer de nouveaux, avant que l’ensemble ne disparaisse une fois la mission accomplie. Ce cycle de vie très court casse les modèles classiques d’Identity Governance and Administration (IGA), soit la gouvernance et administration des identités, conçus pour des identités et des habilitations qui évoluent sur le long terme. Sans identification claire pour chaque agent, l’entreprise perd la capacité de savoir qui a fait quoi, où, quand et avec quels droits.

À lire aussi : Certificats numériques : l’angle mort de la cybersécurité en entreprise

L’exemple d’Uber illustre le fait que la question ne se limite pas à la sécurité traditionnelle. L’entreprise a expliqué avoir rencontré des difficultés pour diagnostiquer ses systèmes, car ses journaux d’événements ne permettaient plus d’identifier précisément quel agent avait réalisé une action et dans quel contexte. Lorsque ces journaux ne fournissent plus d’informations sur les identités, le dépannage fonctionnel devient impossible. D’un point de vue de sécurité, le risque est encore plus évident : plus le nombre d’identités augmente, plus la surface d’attaque s’élargit, notamment lorsque des comptes compromis donnent à un pirate la possibilité de se connecter sans qu’il ait à exploiter une vulnérabilité technique.
‍

L’aube de l’ère post-quantique
‍

Derrière le terme « post-quantique » se cache une menace à la fois lointaine dans les représentations et déjà bien réelle dans les stratégies. Un ordinateur quantique ne fonctionne pas comme un ordinateur classique. Il repose sur des qubits qui exploitent l’état quantique d’une particule et qui se caractérisent par des probabilités plutôt que par des valeurs 0 ou 1, à la différence des bits classiques. Cette propriété permet de paralléliser massivement certains calculs. Des algorithmes comme ceux de Shor et de Grover, développés dans les années 1990, ont ainsi montré qu’un ordinateur quantique suffisamment puissant pourrait casser la cryptographie asymétrique et affaiblir fortement la cryptographie symétrique.
‍

Des ordinateurs quantiques existent déjà, mais aucun ne dispose actuellement de la puissance nécessaire pour casser des clés telles que RSA 2048. La menace n’est donc pas immédiate au sens strict, mais elle n’est pas théorique pour autant. Le risque le plus concret est désormais celui du harvest now, decrypt later : des attaquants captent aujourd’hui des données chiffrées pour les déchiffrer plus tard, lorsqu’un ordinateur quantique suffisamment puissant sera disponible. « Ils captent, ils stockent et ils attendent », résume Pierre Brun-Murol. Toute donnée susceptible de conserver sa valeur dans cinq, dix ou quinze ans devient donc une cible potentielle.

À lire aussi : IA juridiques : la promesse, la faille et la facture

Le théorème de Mosca permet de quantifier ce risque. Il suffit de comparer la durée pendant laquelle une donnée doit rester confidentielle avec le temps nécessaire pour achever la migration cryptographique. Si la somme de ces deux durées dépasse la date estimée d’arrivée d’un ordinateur quantique capable de casser les algorithmes actuels, l’entreprise a déjà un problème. Concernant un calendrier précis, Pierre Brun-Murol note : « Si on part sur dix ans, aujourd’hui, on estime que c’est 2030-2035 l’ordinateur quantique. » Autrement dit, la question n’est plus de savoir si la transition post-quantique devra un jour être menée, mais si les organisations auront eu le temps de la terminer avant que la fenêtre de risque ne se referme.
‍

Anticiper la transition, pas seulement la rupture
‍

L’Union européenne a déjà publié une feuille de route pour la transition vers le post-quantique, avec une migration des cas d’usage critiques prévue pour 2030 et des autres usages pour 2035. Pour les entreprises soumises à NIS2 ou DORA, l’obligation d’utiliser une cryptographie à jour crée déjà une obligation concrète d’anticiper la transition post-quantique. Ces cadres ne mentionnent pas explicitement la technologie post-quantique, mais ils imposent d’utiliser des mécanismes cryptographiques adaptés à l’état de l’art. « Après 2030, pour un cas d’usage critique, c’est du post-quantique », souligne Pierre Brun-Murol. Il n’est donc pas nécessaire d’attendre une nouvelle loi spécifiquement dédiée à la cryptographie post-quantique pour considérer que le sujet devient contraignant.

À lire aussi : Cybersécurité et souveraineté numérique : pourquoi la défense « made in France » se joue sur les compétences

Les Big Tech et les institutions financières ont d’ailleurs déjà entamé leur transition. Google Cloud et Cloudflare ont notamment annoncé leur intention d’achever leur transition dès 2029, tandis que le secteur financier, souvent en avance sur ce type de projet, commence à structurer ses propres migrations. Pour Pierre Brun-Murol, le risque n’est pas seulement qu’un ordinateur quantique apparaisse un jour. Il est aussi que la communauté estime, à un moment donné, que la menace est suffisamment élevée pour mettre fin au soutien de la cryptographie traditionnelle. Une entreprise qui n’aurait pas migré pourrait alors se retrouver isolée de ses fournisseurs et partenaires essentiels.

La première étape consiste donc à cartographier les actifs cryptographiques. Or, beaucoup d’organisations sous-estiment l’ampleur de la tâche : le chiffrement est présent dans les interfaces d’administration, les routeurs, les caméras connectées, les bibliothèques embarquées dans les applications et l’ensemble des dépendances logicielles. Comme le rappelle Pierre Brun-Murol, « on parle de migrer la totalité des actifs cryptographiques d’une entreprise ». Certains clients pensent n’avoir que quelques fournisseurs à traiter, mais « ils ont oublié 80% des types d’actifs cryptographiques », observe-t-il. Il faut d’abord inventorier, puis établir des priorités en fonction du niveau de criticité, non pas pour boucler définitivement le sujet, mais pour engager une migration progressive capable de tenir la cadence des prochaines ruptures technologiques.

S’adapter plus vite que la rupture

Dépendances numériques, identités agentiques, cryptographie post-quantique : ces sujets semblent distincts, mais ils renvoient à une exigence commune. Les organisations ne peuvent plus concevoir des systèmes comme si l’environnement technologique, réglementaire et géopolitique allait rester stable. Elles doivent apprendre à évoluer en continu. Pour Pierre Brun-Murol, c’est exactement le besoin principal des entreprises pour les trois à cinq prochaines années, quel que soit le problème rencontré : « Apprendre à s’adapter de plus en plus vite. » 

À lire aussi : Data security et IA agentique : pourquoi les entreprises n’ont plus le droit d’attendre

Il ne s’agit pas de viser l’exhaustivité dès le départ, ni de croire qu’un inventaire ou une solution pourra régler définitivement le problème. Que ce soit sur le post-quantique ou sur la souveraineté, la bonne démarche consiste à partir des risques business, à les traduire en scénarios de menace, puis à déployer les contrôles techniques adaptés : chiffrement, maîtrise des clés, contrôle des accès, supervision et clauses contractuelles. Cette approche permet également de faire de la sécurité une décision collective, portée par la direction générale, la direction juridique et les services opérationnels, plutôt qu’un sujet réservé au RSSI.
‍

La résilience numérique repose donc moins sur une position figée que sur des cercles vertueux d’amélioration : évaluer les risques business, identifier les scénarios de menace, déployer les contrôles adaptés, mesurer, corriger et recommencer. Qu’il s’agisse de réduire une dépendance, de gouverner une identité non humaine ou de migrer vers la cryptographie post-quantique, l’objectif reste le même : pouvoir accueillir la prochaine rupture sans en perdre le contrôle.