{"id":32316,"date":"2026-06-19T09:15:44","date_gmt":"2026-06-19T08:15:44","guid":{"rendered":"https:\/\/smart.stream\/resilience-operationnelle-continue-a-lere-de-lia-de-pointe\/"},"modified":"2026-06-19T09:15:44","modified_gmt":"2026-06-19T08:15:44","slug":"resilience-operationnelle-continue-a-lere-de-lia-de-pointe","status":"publish","type":"post","link":"https:\/\/smart.stream\/fr\/resilience-operationnelle-continue-a-lere-de-lia-de-pointe\/","title":{"rendered":"R\u00e9silience op\u00e9rationnelle continue \u00e0 l’\u00e8re de l’IA de pointe"},"content":{"rendered":"
\n

Du Bureau du Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information, Smartstream Technologies<\/p>\n

Smartstream fait \u00e9voluer sa posture de s\u00e9curit\u00e9 dans le cadre de DORA alors que l’IA red\u00e9finit le paysage des menaces<\/em><\/p>\n<\/div>\n

Le paysage des menaces a chang\u00e9<\/h4>\n
\n

Plus t\u00f4t cette ann\u00e9e, Anthropic a annonc\u00e9 le Projet Glasswing, le programme d’organisations de confiance \u00e0 l’origine de Claude Mythos, un mod\u00e8le d’IA de pointe capable de d\u00e9couvrir de mani\u00e8re autonome des vuln\u00e9rabilit\u00e9s logicielles jusqu’alors inconnues, \u00e0 une \u00e9chelle et \u00e0 un rythme jamais atteints auparavant. Pour le secteur des services financiers, cette capacit\u00e9 pr\u00e9sente un double tranchant : elle acc\u00e9l\u00e8re la recherche l\u00e9gitime en mati\u00e8re de s\u00e9curit\u00e9, tout en exer\u00e7ant une pression sans pr\u00e9c\u00e9dent sur le temps de r\u00e9action des d\u00e9fenseurs. Des vuln\u00e9rabilit\u00e9s qui ne pouvaient \u00eatre d\u00e9couvertes qu’au terme de recherches humaines soutenues peuvent d\u00e9sormais \u00eatre r\u00e9v\u00e9l\u00e9es, et potentiellement exploit\u00e9es, en quelques heures plut\u00f4t qu’en plusieurs mois. <\/p>\n

Cette \u00e9volution co\u00efncide avec l’entr\u00e9e en vigueur compl\u00e8te du R\u00e8glement sur la R\u00e9silience Op\u00e9rationnelle Num\u00e9rique (DORA) dans l’ensemble du secteur financier europ\u00e9en. DORA ne traite pas la r\u00e9silience comme un projet. Il la consid\u00e8re comme une obligation continue articul\u00e9e autour de cinq piliers interd\u00e9pendants : la gestion des risques TIC, la notification des incidents, les tests de r\u00e9silience, le risque li\u00e9 aux tiers et le partage d’informations. Le niveau d’exigence \u00e9volue avec le paysage des menaces, et ce paysage vient de changer. <\/p>\n<\/div>\n

Pourquoi \u00ab continu \u00bb est le mot cl\u00e9<\/h4>\n
\n

Les r\u00e9dacteurs de DORA ont anticip\u00e9 un monde o\u00f9 les menaces \u00e9voluent plus rapidement que les cycles d’audit annuels. Le cadre r\u00e9glementaire est d\u00e9lib\u00e9r\u00e9ment construit autour d’une surveillance continue, de tests continus et d’une supervision continue des tiers, et non d’une certification p\u00e9riodique. La d\u00e9couverte de vuln\u00e9rabilit\u00e9s assist\u00e9e par l’IA valide ce choix de conception. Une \u00e9valuation ponctuelle est obsol\u00e8te au moment m\u00eame o\u00f9 elle est d\u00e9pos\u00e9e. <\/p>\n

Pour Smartstream et nos clients du secteur des services financiers, la question op\u00e9rationnelle n’est plus \u00ab sommes-nous conformes ? \u00bb mais \u00ab sommes-nous conformes aujourd’hui, et pouvons-nous le prouver demain ? \u00bb Nos programmes de s\u00e9curit\u00e9 et d’ing\u00e9nierie sont organis\u00e9s pour r\u00e9pondre par l’affirmative aux deux questions. <\/p>\n

Le secteur dispose d\u00e9sormais d’un terme pour d\u00e9signer ce que permet la d\u00e9couverte assist\u00e9e par l’IA \u00e0 grande \u00e9chelle : Vulnpocalypse, un afflux de vuln\u00e9rabilit\u00e9s arrivant plus rapidement que les cycles de rem\u00e9diation traditionnels ne peuvent les absorber. Smartstream adopte une strat\u00e9gie de confinement comme r\u00e9ponse d\u00e9lib\u00e9r\u00e9e \u00e0 ce sc\u00e9nario : lorsque la correction ne peut surpasser la d\u00e9couverte, le confinement doit prendre le relais. La r\u00e9silience \u00e0 cette \u00e9poque est int\u00e9gr\u00e9e dans l’architecture, et non pr\u00e9sum\u00e9e par la seule d\u00e9fense p\u00e9rim\u00e9trique. <\/p>\n

\u00ab La conformit\u00e9 est le plancher. Le confinement est le pari. La r\u00e9silience est la discipline. \u00bb<\/em><\/p>\n<\/div>\n

Notre r\u00e9ponse : une strat\u00e9gie en place, ex\u00e9cut\u00e9e en continu<\/h4>\n
\n

Smartstream dispose d’une strat\u00e9gie claire face au paysage des menaces de l’\u00e8re Mythos. Tous les \u00e9l\u00e9ments ne sont pas encore pleinement d\u00e9ploy\u00e9s aujourd’hui, et nous sommes transparents \u00e0 ce sujet : l’ex\u00e9cution est une discipline continue, non une ligne d’arriv\u00e9e. La direction est fix\u00e9e et la cadence op\u00e9rationnelle est en place. Six principes ancrent cette strat\u00e9gie, chacun correspondant \u00e0 un pilier de DORA : <\/p>\n

    \n
  1. Veille sur les menaces assist\u00e9e par l’IA. <\/strong>Notre strat\u00e9gie int\u00e8gre les capacit\u00e9s de l’IA de pointe, notamment l’analyse de code bas\u00e9e sur de grands mod\u00e8les de langage, dans la d\u00e9couverte de vuln\u00e9rabilit\u00e9s et dans la mod\u00e9lisation des menaces assist\u00e9e par l’IA. Le d\u00e9ploiement est en cours et l’intention est sans \u00e9quivoque : r\u00e9v\u00e9ler les failles logiques contextuelles et les sch\u00e9mas d’exploitation in\u00e9dits que les scanners bas\u00e9s sur des signatures et des r\u00e8gles ne d\u00e9tectent pas, avant que les adversaires ne les d\u00e9couvrent par les m\u00eames techniques. Il s’agit d’\u00ab IA contre IA \u00bb, la r\u00e9ponse d\u00e9fensive \u00e0 une classe d’adversaires d\u00e9sormais elle-m\u00eame aliment\u00e9e par l’IA. <\/li>\n
  2. Gestion continue de l’exposition aux menaces. <\/strong>Notre strat\u00e9gie va au-del\u00e0 de la notation CVSS seule pour adopter un mod\u00e8le de risque composite combinant la gravit\u00e9 intrins\u00e8que, la pr\u00e9diction d’exploitation r\u00e9elle, le contexte de la cha\u00eene d’exposition, l’exposition des identit\u00e9s et la criticit\u00e9 des actifs. L’objectif est d’orienter les efforts de rem\u00e9diation en priorit\u00e9 vers le petit sous-ensemble de r\u00e9sultats r\u00e9ellement exploitables dans notre environnement, et non vers la longue tra\u00eene de probl\u00e8mes th\u00e9oriquement graves mais pratiquement inaccessibles. <\/li>\n
  3. Un SDLC s\u00e9curis\u00e9 pour l’IA. <\/strong>La revue de conception s\u00e9curis\u00e9e, l’analyse de code et l’analyse des d\u00e9pendances sont int\u00e9gr\u00e9es dans chaque cycle de publication de produit. Les pratiques sp\u00e9cifiques \u00e0 l’IA, notamment l’analyse de code bas\u00e9e sur les LLM pour le code critique, l’\u00e9valuation structur\u00e9e du code g\u00e9n\u00e9r\u00e9 par l’IA, la mod\u00e9lisation des menaces assist\u00e9e par l’IA et la rem\u00e9diation bas\u00e9e sur des agents avec intervention humaine, sont \u00e9tablies comme composantes permanentes du cycle de d\u00e9veloppement, et non comme activit\u00e9s p\u00e9riodiques. <\/li>\n
  4. D\u00e9fense en profondeur avec contr\u00f4les adaptatifs. <\/strong>Chaque couche de contr\u00f4le, du point de terminaison au cloud, int\u00e8gre des renseignements sur les menaces en temps r\u00e9el et s’adapte \u00e0 la vitesse des menaces, et non \u00e0 la vitesse du cycle de correction. La visibilit\u00e9 sur l’IA fant\u00f4me et les contr\u00f4les de pr\u00e9vention de la perte de donn\u00e9es \u00e9tendent la m\u00eame posture \u00e0 l’utilisation de l’IA g\u00e9n\u00e9rative et aux chemins de sortie des donn\u00e9es. Une capacit\u00e9 d’op\u00e9rations de s\u00e9curit\u00e9 g\u00e9r\u00e9es 24 h\/24 et 7 j\/7 superpose une supervision humaine au confinement automatis\u00e9. L’hypoth\u00e8se de travail est la violation. La discipline consiste \u00e0 la contenir. <\/li>\n
  5. Divulgation transparente et responsabilit\u00e9 partag\u00e9e. <\/strong>Les piliers de notification des incidents et de partage d’informations de DORA exigent une communication structur\u00e9e et rapide avec les clients et les r\u00e9gulateurs. Notre engagement est sans \u00e9quivoque : lorsqu’une vuln\u00e9rabilit\u00e9 ou un incident affecte mat\u00e9riellement les produits et services que nous fournissons, nous le divulguons rapidement, avec le d\u00e9tail des actifs concern\u00e9s, une \u00e9valuation de l’exploitabilit\u00e9 et un calendrier de rem\u00e9diation engag\u00e9. Cet engagement tient quelle que soit la mani\u00e8re dont le probl\u00e8me a \u00e9t\u00e9 d\u00e9couvert, y compris les r\u00e9sultats r\u00e9v\u00e9l\u00e9s par la recherche assist\u00e9e par l’IA. <\/li>\n
  6. R\u00e9silience test\u00e9e, non pr\u00e9sum\u00e9e. <\/strong>Nous exer\u00e7ons la continuit\u00e9, la reprise apr\u00e8s sinistre et la r\u00e9ponse aux incidents selon une cadence r\u00e9guli\u00e8re, et non certifi\u00e9s une fois puis archiv\u00e9s. Les tests d’intrusion ind\u00e9pendants, les exercices de r\u00e9ponse bas\u00e9s sur des sc\u00e9narios et la validation de restauration des sauvegardes nous fournissent, ainsi qu’\u00e0 nos clients et \u00e0 nos r\u00e9gulateurs, la preuve que les contr\u00f4les d\u00e9crits ci-dessus se comportent comme pr\u00e9vu sous pression. Les objectifs de reprise sont d\u00e9finis, mesur\u00e9s et r\u00e9vis\u00e9s. <\/li>\n<\/ol>\n<\/div>\n

    La voie \u00e0 suivre<\/h4>\n
    \n

    Deux jalons d’ex\u00e9cution \u00e0 court terme prolongent la strat\u00e9gie : VulnOps, un pipeline de rem\u00e9diation consolid\u00e9 qui unifie les r\u00e9sultats de l’ensemble de notre parc de scanners dans un seul backlog prioris\u00e9 par risque avec notation composite refl\u00e9tant la probabilit\u00e9 d’exploitation et l’accessibilit\u00e9 r\u00e9elle aux c\u00f4t\u00e9s de la gravit\u00e9 intrins\u00e8que, et la g\u00e9n\u00e9ration de correctifs bas\u00e9e sur des agents avec intervention humaine qui compresse le d\u00e9lai entre la d\u00e9couverte et la correction. L’\u00e9toile polaire reste inchang\u00e9e : la conformit\u00e9 est le plancher, le confinement est le pari, la r\u00e9silience est la discipline. C’est pr\u00e9cis\u00e9ment ce qu’exigent le cadre de DORA et le paysage des menaces de l’\u00e8re Vulnpocalypse. <\/p>\n<\/div>\n

    Notre engagement envers nos clients<\/h4>\n
    \n

    La posture de s\u00e9curit\u00e9 collective du secteur financier n’est aussi solide que son interconnexion la plus faible. L’investissement proactif de Smartstream dans les capacit\u00e9s de s\u00e9curit\u00e9 adapt\u00e9es \u00e0 l’IA n’est pas un argument marketing concurrentiel. C’est notre part d’une obligation partag\u00e9e. Nous continuerons \u00e0 faire \u00e9voluer notre programme, \u00e0 communiquer ouvertement sur les r\u00e9sultats significatifs et \u00e0 nous engager avec les communaut\u00e9s de partage d’informations du secteur, lorsque cela renforce l’\u00e9cosyst\u00e8me dont nous d\u00e9pendons tous. <\/p>\n

    Pour nos clients, le message pratique est le suivant : les contr\u00f4les prot\u00e9geant vos services fournis par Smartstream sont con\u00e7us pour suivre le rythme des menaces que l’IA met d\u00e9sormais sur la table. DORA est le plancher de cet engagement. Le paysage des menaces en est le plafond. Nous avons l’intention d’op\u00e9rer bien au-dessus du plancher. <\/strong><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Du Bureau du Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information, Smartstream Technologies Smartstream fait \u00e9voluer sa posture de s\u00e9curit\u00e9 dans le cadre de DORA alors que l’IA red\u00e9finit le paysage des menaces Le paysage des menaces a chang\u00e9 Plus t\u00f4t cette ann\u00e9e, Anthropic a annonc\u00e9 le Projet Glasswing, le programme d’organisations de confiance \u00e0 l’origine […]<\/p>\n","protected":false},"author":3,"featured_media":27348,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"global_tag":[846,818,374,89,594,301],"class_list":["post-32316","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorised","global_tag-06-june-2026","global_tag-818","global_tag-blogs","global_tag-company-related","global_tag-dora","global_tag-regulations"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t