Mesurer la robustesse d’un système informatique suppose de dépasser la seule prévention des intrusions. Le RISC, acronyme de Réseaux, Informatique, Systèmes de confiance, désigne une approche de recherche qui croise sécurité logicielle, sécurité matérielle et modèles de confiance pour évaluer la capacité d’un système à fonctionner même en conditions dégradées. L’enjeu se déplace : il ne s’agit plus uniquement de bloquer une attaque, mais de quantifier à quel point un système résiste, se rétablit et s’adapte après un incident.
Dépendances numériques et surface d’attaque : ce que les audits classiques ne mesurent pas
Les méthodologies d’audit traditionnelles évaluent la sécurité d’un périmètre défini : serveurs, postes, pare-feu. Le RISC élargit cette focale en intégrant les dépendances entre réseaux, services et fournisseurs comme variable de résilience. Un système peut être parfaitement configuré en interne et rester vulnérable par un prestataire tiers ou une API mal isolée.
L’ENISA, dans son Threat Landscape 2026 fondé sur l’analyse d’incidents observés en 2025, souligne que ces dépendances numériques élargissent la surface d’attaque et compliquent à la fois la prévention et l’atténuation des incidents. L’approche RISC intègre précisément cette dimension en modélisant les interactions entre composants distribués, là où un audit ponctuel ne capture qu’un instantané statique.
Des acteurs spécialisés documentent ces enjeux et proposent des cadres d’accompagnement ; le détail de leurs services est accessible sur https://www.risc.lu/, qui couvre plusieurs volets de la sécurité et de la résilience informatique.
Sécurité logicielle, matérielle et confiance : trois axes du RISC comparés
L’originalité du RISC tient à son traitement simultané de trois couches que la plupart des référentiels traitent séparément. Le tableau ci-dessous compare ces axes sur des critères opérationnels.
| Axe RISC | Périmètre couvert | Type de menace ciblé | Exemple de mécanisme |
|---|---|---|---|
| Sécurité logicielle | Code applicatif, bibliothèques, mises à jour | Vulnérabilités non corrigées, injections | Analyse statique de code, fuzzing automatisé |
| Sécurité matérielle | Processeurs, firmware, canaux auxiliaires | Attaques physiques, exploitation de microarchitecture | Enclaves sécurisées, vérification de l’intégrité du boot |
| Systèmes de confiance | Protocoles distribués, chaînes de certification | Compromission d’un nœud, falsification d’identité | Algorithmes de consensus tolérants aux fautes byzantines |
Un système qui ne traite que la couche logicielle reste exposé aux attaques par canaux auxiliaires sur le matériel. À l’inverse, un matériel sécurisé perd son intérêt si le logiciel qui l’exploite contient des failles connues. La résilience naît de la convergence des trois couches, pas de l’excellence sur une seule.
Résilience informatique face aux vulnérabilités anciennes : le rôle de la recherche RISC
Une partie des incidents récents exploite des vulnérabilités documentées depuis des années. Les équipes de recherche rattachées à l’approche RISC, comme celles du LAAS-CNRS, travaillent sur la modélisation de systèmes critiques et l’analyse de la propagation de fautes dans des architectures distribuées.
Leurs travaux portent notamment sur :
- La virtualisation et la softwarisation des réseaux, qui introduisent de nouvelles surfaces d’attaque à chaque couche d’abstraction ajoutée
- L’intelligence artificielle appliquée à la détection d’anomalies, avec un impératif de frugalité pour éviter que le mécanisme de défense ne devienne lui-même un vecteur de complexité
- Les algorithmes répartis tolérants aux pannes, qui permettent à un système de continuer à fonctionner même lorsqu’un ou plusieurs de ses composants sont compromis
Ce dernier point distingue la résilience de la simple sécurité. Un système résilient n’empêche pas toute compromission, il limite la propagation et maintient un service dégradé mais fonctionnel.
Cadre réglementaire NIS 2 et préparation RISC en France
Le contexte réglementaire européen pousse les organisations à formaliser leur approche de la résilience. En France, l’ANSSI a mis à disposition le Référentiel Cyber France (ReCyF) comme outil de préparation à la directive NIS 2. Ce référentiel reste, selon Certi-Trust en novembre 2026, un document de travail susceptible d’évoluer avant adoption définitive.
La transposition législative de NIS 2 en droit français n’est pas finalisée à ce stade. Un projet de loi sur la résilience a été présenté à l’Assemblée nationale, mais son calendrier d’adoption effective reste à confirmer. Pour les organisations qui anticipent ces obligations, l’approche RISC fournit un cadre structurant : elle couvre nativement les volets de gestion des risques, de protection des données et d’analyse des vulnérabilités que NIS 2 exige.
Écart entre préparation technique et conformité réglementaire
La difficulté réside dans l’écart entre la maturité technique d’une organisation et les exigences formelles du futur cadre. Une entreprise peut disposer d’outils de détection performants sans avoir documenté ses processus de notification d’incident dans les délais prévus par la directive.
Le RISC aide à combler cet écart en structurant la réponse aux incidents autour de quatre phases mesurables : anticipation, résistance, rétablissement, adaptation. Chaque phase fait l’objet d’indicateurs vérifiables, ce qui facilite la démonstration de conformité auprès des autorités de régulation.
Limites actuelles et axes d’évolution du RISC
L’approche RISC ne résout pas tout. La modélisation des dépendances entre fournisseurs se heurte à un manque de transparence : la plupart des prestataires cloud ne publient pas le détail de leurs propres chaînes de sous-traitance. Sans cette visibilité, même un modèle de confiance sophistiqué reste partiel.
L’intégration de l’IA dans les mécanismes de défense pose un autre problème. Les modèles de détection d’anomalies génèrent des faux positifs qui surchargent les équipes de sécurité. La frugalité des algorithmes devient un critère de fiabilité, pas seulement d’efficacité énergétique.
La convergence entre recherche académique et besoins opérationnels des entreprises progresse, mais elle reste lente. Les travaux du LAAS-CNRS sur les systèmes critiques produisent des résultats théoriques solides dont le transfert vers des outils industriels prend plusieurs années. Le fossé entre un prototype de laboratoire et un produit déployable en production reste le principal frein à l’adoption large du RISC comme standard de résilience.
