Le paysage de menaces, en constante évolution, a conduit de nombreuses entreprises à s’interroger sur leur capacité à anticiper, comprendre et réagir face aux attaques sur des périmètres toujours plus grands. La CTI (Cyber Threat Intelligence) s’impose comme un levier stratégique face à l’évolution de ces menaces. Pourtant, sa mise en œuvre reste difficile à appréhender et souvent mal comprise.
Lorsque l’on nous confie la mission de créer une équipe de Cyber Threat Intelligence (CTI), c’est rarement dans un contexte simple. Il s’agit souvent de partir de zéro, avec pour mission de définir les objectifs, d’expliquer ce qu’est la CTI, de la rendre actionnable, et surtout de produire du renseignement utile.
Nous avons eu la chance d’intervenir dans de grandes entreprises où nous avons pu expérimenter, structurer et ajuster notre méthodologie de création de programmes CTI. Ce retour d’expérience est un condensé des difficultés rencontrées, des leviers qui ont fonctionné, et des enseignements clés que nous pouvons en retirer.
Chaque projet débute par une exploration minutieuse : comprendre les rouages internes, les processus de gestion des incidents, de veille, de réaction :
- Qui travaille pour l’entreprise ?
- Avec quels partenaires ?
- Qui sont les clients ?
- Que montre-t-elle publiquement ?
- Pourquoi pourrait-elle être une cible ?
- . . .
Cette phase d’observation active est cruciale. On ne déploie pas un programme CTI dans le vide. Il faut identifier les dynamiques de pouvoir, les points de friction, les zones d’ombre que le renseignement va devoir éclairer.
Ce qui a fonctionné : ancrage humain, livrables concrets, gouvernance claire
Trois piliers ont permis de structurer et faire avancer les projets avec succès chez nos clients:
- L’acculturation humaine : discuter avec les collaborateurs, écouter leur vision, comprendre ce qu’ils attendent (ou redoutent) d’un service CTI. C’est un prérequis, pas un bonus.
- Des livrables à impact visible : exposition des VIP, retrait de données sensibles, appui à la sûreté physique, ainsi qu’à l’amélioration de la détection des menaces cyber. Le renseignement doit entraîner des actions concrètes et donc être actionnable au bon moment.
- Une roadmap robuste : sans planification, les demandes affluent, les urgences s’accumulent, et l’équipe étouffe. Cela impose de hiérarchiser, de cadrer les demandes, et de maintenir une trajectoire cohérente.
Les obstacles : politiques, budgétaires, et parfois culturels
Les difficultés sont rarement techniques. Ce sont souvent les zones d’ombre que le renseignement éclaire qui dérangent. Le renseignement, c’est mettre le doigt où ça fait mal. Il faut donc être méthodique et diplomate, proposer une roadmap lisible, avec des responsabilités claires et assumées.
Un écueil fréquent : vouloir produire trop vite. Or, sans socle clair et solide (besoins, priorités, limites), on crée de la dette opérationnelle et le programme CTI s’enlise.
L’équipe : des profils hybrides pour un métier composite
Constituer une équipe CTI, c’est assembler un patchwork de compétences : offensifs, défensifs, analytiques, investigateurs, géopolitiques.
L’un des leviers les plus sous-estimés reste le retour d’expérience des destinataires du renseignement. Ce que pensent les destinataires du renseignement compte autant, voire plus, que le renseignement lui-même.
Ce que nous en retenons : contextualiser, prioriser, transmettre
Un bon programme CTI produit du renseignement à plusieurs niveaux (technique, tactique, opérationnel, stratégique), renforce les capacités du SOC, VOC, CERT/CSIRT et des décideurs. Il alimente également les investigations avec du contexte, et permet d’agir rapidement de manière éclairée.
Par exemple, quand on anticipe un impact via la compromission avérée d’un partenaire, et que cela enclenche une réaction concertée avec les BU (Business Units) et les DPO (Data Privacy Officers), on sait qu’on est utile.
Les fondations d’un programme de CTI doivent reposer sur une question simple : à quoi servira notre renseignement ?
Et la réponse ne sera jamais la même d’une entreprise à l’autre. Deux acteurs d’un même secteur peuvent avoir deux cellules CTI radicalement différentes.
Ce que nous cherchons aujourd’hui, c’est transmettre cette approche sur-mesure, adaptative, mais toujours cadrée. Parce qu’une bonne CTI, ce n’est ni une tour d’ivoire, ni une usine à flux d’indicateurs (IoCs), ni un SOC qui va uniquement faire des takedown de noms de domaines ou de serveurs avec des fichiers sensibles : c’est une capacité organique et intégrée, apte à éclairer les décisions critiques au moment opportun. La valeur d’une CTI ne se mesure pas au volume d’indicateurs produits, mais à sa capacité à transformer le risque en décisions.