La complexité tue la sécurité : pourquoi les systèmes plus simples résistent mieux

En cybersécurité, on a vite fait d’assimiler « plus » à « plus sûr ». On nous vend sans cesse davantage de contrôles, d’outils et de couches de sécurité. Pourtant, les analyses d’incidents racontent une autre histoire. Le point commun de la plupart des défaillances n’est pas un manque d’outils. Ce sont des systèmes qui se sont développés au fil du temps, devenus si complexes qu’on n’y voit plus clair. C’est particulièrement vrai pour la sécurisation des environnements Active Directory hybrides.

Des études comme le Data Breach Investigations Report de Verizon le confirment régulièrement : la plupart des violations de données commencent par des vulnérabilités que vous savez avoir. C’est toujours vrai aujourd’hui, mais l’IA entraîne un changement notable. À mesure que les environnements Active Directory hybrides se complexifient, le plus grand risque est un environnement que personne ne peut entièrement expliquer ni voir de bout en bout.

Les équipes tentent de compenser en entourant les dépendances de contrôles, en ajoutant de la supervision et des tableaux de bord pour des systèmes distincts, et en déployant des outils pour gérer d’autres outils.

Jen Easterly, ancienne directrice de la CISA et directrice générale de RSAC, soutient que les défaillances de cybersécurité reflètent souvent des problèmes plus profonds de qualité logicielle. La complexité est la manière dont cette faiblesse se manifeste à grande échelle. Quand un système devient difficile à comprendre, il devient difficile à sécuriser.

L’IA peut être une alliée pour les équipes de sécurité, mais de nombreux experts notent que nous entrons dans un cercle vicieux : les attaques assistées par l’IA découvrent davantage de vulnérabilités CVE, les attaques pilotées par l’IA exploitent ces vulnérabilités, et les équipes de sécurité appuyées par l’IA codent des solutions à ces vulnérabilités, que l’IA exploite à son tour.

Les environnements d’entreprise modernes, en particulier les configurations d’identité hybride, comportent une multitude de composants interdépendants qui interagissent entre eux :

• Relations d’approbation

• Hiérarchies de stratégies

• Méthodes d’authentification

• Bibliothèques tierces

• Connexions API

• Identités machines

• Chemins d’administration cachés

• Anciennes autorisations jamais supprimées

Chaque ajout introduit de nouvelles dépendances et multiplie les façons dont quelque chose peut tomber en panne. Une seule stratégie héritée ou une bibliothèque obsolète enfouie au fond d’une chaîne de dépendances peut créer une faille sérieuse.

Ce n’est pas une question de négligence, mais, comme le soutient Easterly, de conception. Aucun administrateur ne peut à lui seul avoir un modèle mental complet d’un système qui n’a jamais été conçu pour rester compréhensible (et encore moins visible).

Résultat : les équipes de sécurité gèrent plus de consoles, de contrôles, d’utilisateurs et de systèmes que jamais. Chaque outil génère des alertes et doit être administré. Beaucoup augmentent aussi la surface d’attaque, ce qui exige à son tour des mesures d’atténuation.

Avec le temps, ces frictions s’accumulent. Les équipes de sécurité IT, déjà débordées, doivent concilier des signaux contradictoires entre plateformes, dans ce qui doit ressembler à une version déformée d’une partie de poker à gros enjeux. La fatigue des alertes s’installe. L’application des correctifs sur des systèmes interconnectés devient plus difficile. Les erreurs de configuration se multiplient.

L’IA peut alléger une partie de cette charge de travail pour accélérer le tri et la corrélation, mais elle ne peut pas encore remplacer la gouvernance, des pistes d’audit centralisées et une logique d’accès claire.

Pour les équipes IT confrontées à des systèmes toujours plus complexes, le défi est de rester capables de répondre clairement à des questions de base.

Notamment :

• Qui a accès ?

• Dans quelles conditions ?

• Qu’est-ce qui a changé ?

• Pourquoi cela a-t-il changé ?

• Pouvons-nous nous rétablir rapidement ?

Dans des environnements complexes et hybrides, répondre à ces questions exige d’assembler des données provenant de multiples systèmes et outils. Si l’IA peut aider, elle peut aussi faire des dégâts.

La friction imposée aux utilisateurs est l’un des facteurs de risque les plus sous-estimés en sécurité d’entreprise. Face aux obstacles, les utilisateurs réagissent de façon prévisible : ils réutilisent leurs mots de passe, approuvent les demandes MFA par réflexe, partagent des sessions et cherchent des raccourcis.

Les équipes IT qualifient souvent ce comportement de problème lié aux utilisateurs, mais c’est un problème de conception du système. Les contrôles de sécurité qui perturbent les méthodes de travail habituelles incitent les utilisateurs à trouver des moyens de les contourner.

Les systèmes simples reposent sur un principe directeur clair : la protection doit s’adapter aux personnes, et non l’inverse.

La simplicité ne signifie pas une protection plus faible. Elle signifie moins de surprises et une logique de contrôle plus claire. Le zero trust n’a jamais été censé être un empilement d’outils. Il a été pensé comme un cadre pour ancrer les décisions dans une série de « premiers principes » : construire la sécurité autour de l’identité, du comportement et du risque.

L’accès s’adapte au contexte, au lieu de reposer sur des règles statiques qui ne tiennent pas compte de la manière dont les gens travaillent réellement.

Précisons-le : un système plus simple n’est pas forcément plus petit, mais il est cohérent et explicable.

Par exemple, il comportera :

• Des flux d’authentification clairs

• Des règles de stratégie prévisibles

• Un minimum de contrôles qui se chevauchent

• Une visibilité centralisée

• Moins de dépendances cachées

• Une application des règles en temps réel, liée au contexte

Lorsque les administrateurs peuvent retracer comment l’accès est accordé et appliqué, la sécurité s’améliore. Les erreurs de configuration diminuent. Les temps de réponse raccourcissent, et les chemins d’attaque deviennent visibles et vérifiables. Les équipes font confiance au système parce qu’elles le comprennent.

Dans les environnements hybrides et distribués, l’identité reste la couche de contrôle la plus constante. Les réseaux changent, les appareils se multiplient et les applications s’étendent entre le cloud et l’infrastructure sur site. Les agents IA agissent désormais au nom des utilisateurs. Chaque action renvoie toujours à une identité, humaine ou non humaine.

Lorsque la gouvernance des identités est cohérente et visible, la sécurité passe à l’échelle sans se fragiliser. Lorsque l’identité se fragmente entre outils et silos, les organisations compensent en ajoutant des couches. Ces couches augmentent la complexité et créent des angles morts.

L’essentiel est là : l’identité n’est pas un contrôle de plus ajouté par-dessus. C’est le socle qui permet d’appliquer un accès granulaire et contextuel sans friction permanente.

L’IA accélère le changement dans les opérations de sécurité. L’objectif ne devrait pas être d’ajouter des outils qui génèrent encore plus de bruit. L’objectif devrait être de réduire le nombre de rouages.

L’IA peut aider les équipes à :

• Expliquer la logique des stratégies et révéler les chemins d’accès cachés

• Cartographier les chaînes de dépendances et identifier les maillons faibles

• Détecter les privilèges inutilisés et les supprimer

• Prioriser les corrections qui réduisent la prolifération des configurations

• Renforcer les systèmes hérités sans empiler de nouveaux contrôles

Le succès devrait se mesurer à la réduction. Moins de dépendances. Moins de règles qui se chevauchent. Moins d’angles morts.

Une protection plus solide dans les environnements distribués commence par des choix de conception rigoureux.

• Réduire la charge cognitive des administrateurs. Si un contrôle demande 20 étapes de configuration, des erreurs se produiront.

• Raccourcir les chaînes de dépendances. Chaque composant externe introduit des risques et des correctifs à appliquer.

• Réduire la complexité au niveau des terminaux. Une logique d’application dispersée accroît la fragilité opérationnelle.

• Mettre en place une authentification contextuelle qui prend des décisions cohérentes et explicables en temps réel.

• Offrir une visibilité qui répond aux questions qui, quoi, quand et pourquoi, sans obliger les équipes à rapprocher les données de plusieurs tableaux de bord.

La clarté est essentielle à la résilience opérationnelle.