Sécurité continue : le levier que les ETI européennes n'ont pas encore saisi

# Sécurité continue : le levier que les ETI européennes n'ont pas encore saisi

*En 2026, la sécurité des systèmes d'information reste structurellement pilotée par des acteurs américains dans la majorité des ETI européennes. Non par choix délibéré, mais par inertie contractuelle et absence de trajectoire de sortie. Ce guide s'adresse aux DSI et RSSI qui veulent sortir de cette logique — pas dans cinq ans, mais maintenant.*

Pourquoi l'audit ponctuel est devenu un avantage pour les plateformes dominantes

L'audit annuel de sécurité a longtemps été la norme. Un cabinet mandaté, un rapport livré, des recommandations classées par criticité. Le cycle se referme. Puis recommence.

Ce modèle présente un angle mort stratégique que les grandes plateformes américaines ont parfaitement intégré : entre deux audits, l'environnement change. Des workloads migrent vers le cloud, des connecteurs SaaS s'ajoutent, des droits s'accumulent. Et pendant ce temps, la visibilité de l'ETI sur son propre SI se réduit — pendant que celle du prestataire dominant s'étend.

Le résultat est une asymétrie d'information croissante. L'acteur américain qui héberge les logs, centralise les alertes et gère les endpoints connaît l'état réel du SI mieux que l'équipe interne. L'audit ponctuel ne corrige pas cela. Il en fait, au contraire, le constat après coup.

La sécurité continue inverse cette logique — à condition d'être déployée avec une architecture qui préserve la maîtrise des données et des décisions.

Étape 1 — Cartographier les flux de données de sécurité avant toute décision

Avant de choisir un outil ou un prestataire, la première question est : où vont vos données de sécurité aujourd'hui ?

Logs d'accès, alertes SIEM, rapports d'endpoint, telemetry réseau — chacun de ces flux a une destination. Dans de nombreuses ETI, cette destination est un SIEM hébergé aux États-Unis, dans un cloud américain, soumis à des législations extraterritoriales comme le Cloud Act.

Concrètement :

• Listez les outils de sécurité actifs et identifiez l'hébergement réel de chaque collecteur de logs (pas l'adresse commerciale du vendeur, mais la localisation des serveurs).
• Identifiez les contrats qui incluent des clauses de transfert de données hors UE, même à des fins de "télémétrie" ou "d'amélioration du produit".
• Distinguez les données brutes (logs) des données dérivées (alertes, scores de risque) : les deux sont sensibles, mais les secondes révèlent votre posture de sécurité à l'éditeur.

Cette cartographie n'est pas un exercice théorique. C'est le préalable à toute stratégie de sécurité continue souveraine.

Étape 2 — Distinguer la surveillance continue de la délégation continue

La surveillance continue ne signifie pas externaliser en permanence. C'est ici que la confusion est la plus répandue — et la plus exploitée commercialement.

Les offres MDR (Managed Detection and Response) des acteurs dominants du marché américain proposent exactement cela : une surveillance 24/7, en échange d'un accès total et permanent à votre SI. Le modèle économique est cohérent pour le vendeur. Il l'est moins pour une ETI européenne qui souhaite conserver une capacité de décision autonome.

La distinction opérationnelle à poser :

• Surveillance continue maîtrisée : les capteurs collectent, les données restent dans votre périmètre ou dans un périmètre souverain, votre équipe — même réduite — conserve l'accès aux données brutes et la capacité d'agir sans passer par le prestataire.
• Délégation continue : le prestataire est le seul à voir, le seul à interpréter, le seul à agir. Votre dépendance est totale et contractuellement structurée.

Pour une ETI avec une équipe sécurité de deux ou trois personnes, la délégation partielle est souvent inévitable. Elle doit cependant être encadrée par des clauses de réversibilité explicites, un droit d'audit des données détenues par le prestataire, et une architecture qui permet de changer de SOC sans reconstruire l'ensemble de la chaîne de détection.

Étape 3 — Construire une baseline de détection qui vous appartient

L'un des verrouillages les moins visibles dans les contrats de sécurité managée est la propriété des règles de détection. Certains acteurs américains fournissent un SIEM dont les règles de corrélation sont propriétaires, non exportables, et liées à la licence. Lorsque vous changez de prestataire, vous repartez de zéro.

Pour sortir de cette logique :

• Privilégiez les formats de règles ouverts (SIGMA est aujourd'hui un standard de facto pour les règles de détection, portable entre différents SIEM).
• Documentez chaque règle personnalisée créée dans votre environnement : elle représente une connaissance métier sur vos propres anomalies, que vous ne devez pas laisser chez un tiers.
• Exigez contractuellement la portabilité des règles de détection lors de tout appel d'offres SOC ou SIEM managé.

Cette baseline de détection est un actif. Traitez-la comme tel.

Étape 4 — Évaluer les acteurs européens sur des critères fonctionnels, pas marketing

Il existe en Europe des acteurs capables de fournir des capacités de surveillance continue, de réponse à incident et d'hébergement souverain des données de sécurité. Ils ne disposent pas tous de la surface commerciale des plateformes américaines, et leurs offres sont parfois moins intégrées.

Cela ne signifie pas qu'ils sont moins pertinents pour une ETI dont le périmètre SI est maîtrisable.

Les critères d'évaluation à appliquer :

• Localisation des données : où sont hébergés les logs, les alertes, les tableaux de bord ? Engagements contractuels sur la résidence des données dans l'UE ?
• Qualification ANSSI ou équivalent national : les qualifications SecNumCloud (France) ou équivalents allemands (BSI C5) sont des marqueurs de sérieux, pas des garanties absolues, mais des indicateurs vérifiables.
• Réversibilité : l'offre permet-elle une sortie propre ? Export des données, des règles, des historiques d'alertes ?
• Transparence sur la chaîne de sous-traitance : certains acteurs européens sous-traitent à des infrastructures américaines. Demandez la liste des sous-traitants et leur localisation.

Deux acteurs méritent d'être examinés dans ce contexte : Sekoia (plateforme CTI et SIEM d'origine française, hébergement européen) et WithSecure (acteur finlandais avec des offres MDR et une philosophie d'architecture ouverte). Ce ne sont pas des recommandations, mais des exemples concrets de ce que le marché européen produit — à évaluer selon votre contexte propre.

Étape 5 — Intégrer la sécurité continue dans la gouvernance, pas seulement dans la technique

La sécurité continue échoue souvent non pas sur le plan technique, mais sur le plan organisationnel. Les alertes s'accumulent, les faux positifs découragent, et l'équipe revient progressivement à une posture réactive.

Pour ancrer la pratique :

• Définissez un rythme de revue hebdomadaire des indicateurs clés (pas un tableau de bord en temps réel que personne ne regarde, mais une revue structurée avec un responsable désigné).
• Distinguez les alertes qui nécessitent une action immédiate de celles qui alimentent une analyse tendancielle. Ce sont deux processus différents.
• Faites entrer la sécurité continue dans le reporting COMEX, non comme un rapport technique, mais comme un indicateur de maîtrise du SI — au même titre qu'un indicateur de disponibilité ou de performance.

La sécurité continue n'est pas un produit que l'on achète. C'est une capacité organisationnelle que l'on construit. La différence n'est pas sémantique : elle détermine si vous restez dépendant d'un fournisseur ou si vous internalisez progressivement la compétence.

Ce que ce sujet révèle sur la dépendance technologique structurelle

Le glissement de l'audit ponctuel vers la surveillance continue est une tendance de fond. Mais dans la forme qu'il prend aujourd'hui, il renforce mécaniquement la position des acteurs dominants — américains pour la majorité d'entre eux — qui proposent des plateformes intégrées, difficiles à démanteler, et dont le modèle de valeur repose sur la rétention de données et d'expertise.

Une ETI qui adopte ce modèle sans clause de sortie ni architecture souveraine ne fait pas que déléguer sa sécurité. Elle transfère progressivement la connaissance de son propre SI à un tiers soumis à une juridiction étrangère.

La bonne nouvelle — si l'on peut l'appeler ainsi — est que la sécurité continue, par nature, repose sur des standards ouverts (SIGMA, STIX/TAXII pour la CTI, OpenTelemetry pour la collecte) qui permettent de construire une architecture souveraine si l'on s'en donne les moyens contractuels et organisationnels.

Le choix n'est pas entre sécurité efficace et souveraineté. Il est entre une trajectoire subie et une trajectoire construite.

*Ce guide a été produit par la rédaction de RiffLab Media. Il ne constitue pas une recommandation commerciale. Les acteurs cités l'ont été à titre illustratif sur la base d'informations publiques disponibles en 2026.*