État des lieux de la sécurité Microsoft 365

Je viens de terminer le nouveau rapport de l’OCDE consacré à l’IA agentique dans les organisations et intitulé "Agentic AI in organisations - Early insights from practitioner interviews" https://www.oecd.

Une première notification de l'AEPD en Espagne montre comment un agent IA peut automatiser plusieurs étapes d’une cyberattaque dans un SI.

À force d’échanger avec des RSSI sur NIS2 et le CRA, je vois revenir la même confusion.
Et l’arrivée massive de l’IA ne fait que l’amplifier.

On connaît les textes. On connaît les acronymes. Mais dès qu’il faut les articuler concrètement, on ne sait plus faire 🤦

Pour rappel :

➡️ NIS2 renforce la gouvernance, la gestion des risques et la résilience.
➡️ Le CRA étend cette logique aux produits numériques et à leur cycle de vie.
➡️ L’IA ajoute de nouvelles dépendances, de nouveaux actifs et de nouvelles surfaces d’attaque.

C’est exactement pour ça que j’ai préparé ce document.

J’y ai rassemblé l’essentiel pour comprendre comment ces trois sujets s’articulent et, surtout, ce que cela change concrètement pour un RSSI.

📄 Le PDF est juste en dessous. Dites-moi si cette lecture vous aide à y voir plus clair.

Et pour ceux qui souhaitent aller plus loin, envoyez-moi un MP et je vous partagerai notre livre blanc consacré à NIS2. 📩 | 24 comments on LinkedIn

Protéger les données est devenu une course contre la montre. Face à la hausse des attaques, les professionnels de la cybersécurité sont plus convoités que jamais

Linux a le vent en poupe, et si la tendance continue à s'accentuer, nous pourrions bien assister cette année à l'avènement de Linux sur les ordinateurs de bureau.

L’opérateur a été retenu pour fournir l’infrastructure numérique souveraine qui reliera les institutions et les agences de l’UE ainsi que les administrations publiques des États membres.

Un ressortissant ukrainien vivant en Suisse, accusé d’être le principal développeur des rançongiciels Lockergoga, Megacortex et Nefilim, vient d’être condamné à près de treize ans de prison.

Pour protéger ses secrets industriels d'éventuelles ingérences, le géant de l'aéronautique opère un virage. En misant sur un acteur tricolore, l'avionneur prouve que la souveraineté technologique européenne est désormais une urgence absolue.

Sur le même principe que les étiquettes énergie des smartphones, l’efficacité énergétique et hydrique des centres de données sera évaluée selon un barème de notes allant de A à G. Un système de notation qui divise.

Three Linux kernel vulnerabilities leading to memory disclosure, DoS, and memory modification were added to CISA KEV.

Jacob Coxon's post nearly two weeks ago that Anthropic and OpenAI were "gambling with our lives" set off a global debate about AI safety.

« Le plus grand vol de travail de l’histoire de l’humanité » : cette déclaration reprise par le New York Times dans sa procédure en justice contre OpenAI…

Dans le sillage de Dario Amodei, patron d’Anthropic, toute l’industrie de l’IA générative semble réclamer à l’unisson un ralentissement du développement…

Parmi les cibles cyber, les usines, les réseaux d’énergie ou les infrastructures critiques ont une place de choix. La question n’est pas de savoir si elles seront attaquées, mais avec quels outils s’en prémunir. Hexatrust a réuni 18 de ses membres, éditeurs, intégrateurs et cabinets de conseil, pour cartographier une offre française et européenne encore […]

Dix serveurs AWS, 1,8 million d’applications Android et une chasse automatisée aux clés API, tokens et identifiants oubliés dans leur code. Anthropic décrit une opération attribuée à un acteur francophone lié à ShinyHunters, qui s’est servi de Claude pour industrialiser plusieurs étapes de ses intrusions. 1,8 million d’APK aspirées puis ouvertes une à une Le […]

Elle promettait de regarder Twitch en meilleure qualité, de bloquer les publicités et de récupérer automatiquement les points de chaîne. Derrière ces fonctions bien réelles, l’extension Twitch Enhanced Viewer | JeetBot faisait aussi voyager les jetons OAuth de ses utilisateurs jusqu’aux serveurs proxy de son opérateur. Près de 31 000 utilisateurs de Chrome et Firefox […]

Pas de malware, pas de compte client piraté, pas de brèche revendiquée dans les systèmes de Revolut. Des fraudeurs ont utilisé une adresse créée au sein du domaine réel d’une administration pour envoyer de fausses demandes d’informations. La fintech les a crues authentiques et a transmis des données sensibles concernant un nombre limité de clients. […]

La confiance accordée à Microsoft 365 n’est pas une preuve de contrôle 62 % des responsables affirment que leur posture de sécurité pour Microsoft 365 est mature. Pourtant, ils sont encore 54 % à ne pas avoir mis en place toutes les mesures fondamentales. Les risques viennent de ce décalage. Les comptes privilégiés peuvent rester exposés. Les modifications apportées […]

La direction de la transformation numérique du ministère de l’Intérieur pilote chaque année 700 millions d’euros de crédits numériques. Jusqu’en 2025, une partie du suivi reposait sur un développement Web maison non maintenu, complété par des fichiers Excel et des processus manuels. Un nouveau système de gestion des commandes, de l’initialisation à la facturation, a […]