5 questions que tout partenaire informatique devrait poser avant de recommander un pare-feu
L'instabilité géopolitique, l'activité cybernétique soutenue par des États et l'évolution de la réglementation obligent les organisations britanniques et irlandaises à regarder au-delà des spécifications techniques. De plus en plus, elles doivent également se demander qui a construit leur cybersécurité, où elle a été développée et qui la contrôle en fin de compte.
Pendant des années, la souveraineté numérique a souvent été traitée comme une préoccupation spécialisée pour les gouvernements et les organisations de défense.
Cette position est en train de changer.
Les prestataires de soins de santé, les autorités locales, les fournisseurs de services gérés, les opérateurs d'infrastructures critiques et d'autres organisations réglementées dépendent de plus en plus d'un réseau complexe de fournisseurs de technologies, de plateformes cloud et de chaînes d'approvisionnement internationales.
Dans le même temps, l'environnement géopolitique entourant ces technologies est devenu considérablement moins prévisible.
En juillet 2026, le National Cyber Security Centre du Royaume-Uni a révélé avoir géré plus de 200 incidents cybernétiques affectant les infrastructures nationales critiques et leur écosystème de soutien au cours de l'année jusqu'en mai. Environ les trois quarts étaient considérés comme liés à des acteurs étatiques hostiles.
Cela change la nature de la décision d'achat en matière de cybersécurité.
Les organisations n'évaluent plus uniquement si un produit de sécurité peut bloquer les logiciels malveillants ou inspecter le trafic réseau. On leur demande de prendre en compte la propriété, la juridiction, le développement du produit, les mécanismes de mise à jour, l'accès au code source, les arrangements de support et la possibilité que des dépendances stratégiques changent pendant la durée de vie de la technologie.
La réglementation s'étend au-delà de l'organisation
Le projet de loi britannique sur la cybersécurité et la résilience est conçu pour renforcer la sécurité des services essentiels et numériques, y compris les soins de santé, l'énergie, les transports, l'eau et les infrastructures numériques.
Le cadre proposé élargit également le champ de la réglementation en matière de cybersécurité à des domaines tels que les centres de données et les fournisseurs de services gérés. Il donne aux régulateurs des pouvoirs accrus pour faire face aux risques créés par les fournisseurs critiques et la chaîne d'approvisionnement technologique au sens large.
En matière de défense, le ministère de la Défense pousse séparément l'assurance cyber plus profondément dans son écosystème de fournisseurs grâce à la certification cyber de la défense. Chaque partenaire industriel a été invité à atteindre le niveau 0 de la DCC d'ici le 31 décembre 2026, renforçant le principe selon lequel la sécurité d'une grande organisation peut être compromise par un fournisseur plus petit et moins protégé.
L'Irlande évolue dans la même direction grâce à NIS2. Ce cadre impose des obligations plus strictes en matière de gestion des risques, de signalement des incidents et de gouvernance aux entités essentielles et importantes, le Centre national de cybersécurité irlandais publiant désormais des orientations dédiées à la cyber-gouvernance pour les conseils d'administration des organisations concernées.
La souveraineté, la réglementation et la résilience de la chaîne d'approvisionnement commencent donc à converger.
Que signifie réellement la cybersécurité souveraine ?
La souveraineté ne signifie pas nécessairement que chaque composant doit être fabriqué dans le pays du client.
Cela signifie comprendre et contrôler les dépendances entourant les données critiques et l'infrastructure.
- Où le produit est-il conçu ?
- Sous quelle juridiction légale le fournisseur opère-t-il ?
- Les administrateurs privilégiés ou des parties externes peuvent-ils accéder aux informations sensibles ?
- La technologie a-t-elle été inspectée et certifiée de manière indépendante ?
- Des changements politiques, commerciaux ou réglementaires pourraient-ils affecter la capacité de l'organisation à utiliser, mettre à jour ou prendre en charge le produit ?
Pour les organisations de la défense, du gouvernement, de la santé et des infrastructures critiques, ces questions ne sont plus théoriques.
Une approche européenne de la sécurité de confiance
Stormshield offre une réponse résolument européenne à ce défi.
Ses activités de recherche et développement sont basées en France, où l'entreprise collabore avec l'agence nationale de la sécurité des systèmes d'information française, l'ANSSI, notamment pour la revue du code source afin de garantir l'absence de portes dérobées.
Les solutions Stormshield disposent d'une gamme de certifications et de qualifications européennes et internationales, notamment les critères communs, les qualifications ANSSI, les classifications NATO Restricted et EU Restricted. La technologie de l'entreprise est déjà déployée dans les institutions gouvernementales, les environnements industriels et les organisations de défense.
Stormshield est également une filiale à part entière d'Airbus Defence and Space Cyber Programmes, reliant son portefeuille de cybersécurité à l'une des organisations de défense et d'aérospatiale les plus établies d'Europe.
Cela ne signifie pas que la souveraineté devrait remplacer la performance, la convivialité ou la valeur commerciale comme critère de sélection. Cela signifie que la souveraineté devrait être évaluée en parallèle de ces critères.
Faire passer la conversation de la théorie à la preuve
Pour de nombreuses organisations, le défi consiste à déterminer comment une plateforme de sécurité souveraine fonctionnera dans leur environnement réel.
Le service Stormshield Proof of Value de Hammer offre aux partenaires et aux clients un moyen pratique d'évaluer la technologie par rapport à des exigences opérationnelles réelles.
Plutôt que de s'appuyer uniquement sur des comparaisons de fonctionnalités et des démonstrations de produits, un engagement Proof of Value peut être utilisé pour valider des domaines tels que la visibilité des applications, la prévention des menaces, la gestion des politiques, les performances réseau, la complexité du déploiement et la compatibilité avec l'infrastructure plus large de l'organisation.
Cela crée également une opportunité d'examiner les questions souvent négligées lors d'une évaluation traditionnelle de pare-feu : où se situe la confiance, comment le produit est gouverné et si la plateforme choisie soutient les objectifs de souveraineté et de conformité à long terme de l'organisation.
La cyber-souveraineté ne consiste pas à isoler les organisations du monde.
Il s'agit de s'assurer qu'elles conservent le contrôle lorsque le monde qui les entoure change.
