De la veille à la décision : comment transformer la CTI en avantage stratégique

Il y a une contradiction au cœur de la plupart des programmes de Cyber Threat Intelligence. D'un côté, les équipes n'ont jamais eu accès à autant de données sur les menaces feeds commerciaux, bulletins CERT, rapports de campagnes, bases MITRE ATT&CK enrichies en continu. De l'autre, la posture de sécurité des organisations ne s'améliore pas à la hauteur de cet investissement informationnel.

Les rapports de veille s'accumulent dans les boîtes mail. Les IOCs remontent dans le SIEM sans que personne ne sache exactement quoi en faire. Le CISO reçoit un PDF de 40 pages chaque lundi matin, le parcourt en diagonale, et passe à autre chose.

Le problème n'est pas la qualité du renseignement. C'est l'absence de pont entre l'analyste CTI et la décision opérationnelle ou stratégique. Cet article propose un cadre pour construire ce pont : du niveau de confiance à accorder à une source, jusqu'à l'arbitrage entre recommandations concurrentes pour un budget qui ne couvrira jamais tout.

Les trois erreurs qui rendent votre CTI inutile

Avant de parler de solutions, il faut nommer précisément ce qui ne fonctionne pas. Dans la grande majorité des organisations, la CTI échoue à produire de la valeur pour trois raisons récurrentes.

La première erreur est de confondre information et renseignement. Un IOC (adresse IP malveillante, hash de fichier ou domaine de phishing) est une information brute qui décrit un fait observé. Il ne devient un renseignement qu'une fois contextualisé : quel acteur l'utilise, quelles techniques sont employées, quelles cibles sont visées et avec quel niveau de confiance. Cette distinction est essentielle, un IOC brut a une durée de vie de quelques heures, tandis qu'un renseignement contextualisé permet d'anticiper les menaces et d'orienter les décisions de sécurité sur le moyen terme.

La deuxième erreur est de produire pour produire. Le rapport CTI hebdomadaire envoyé à l'ensemble de la DSI sans segmentation d'audience est, dans les faits, lu par personne. Chaque destinataire reçoit le même document, quelle que soit sa fonction, son niveau de technicité ou sa responsabilité dans la chaîne de décision. Le SOC analyst qui cherche des règles SIGMA et le DSI qui veut comprendre le risque métier n'ont pas besoin du même contenu. En voulant tout dire à tout le monde, on finit par ne rien dire à personne.

La troisième erreur est de dissocier la CTI du cycle de décision. Si la CTI n'alimente pas les revues de risque trimestrielles, les comités d'architecture, les décisions de patch management prioritaire, elle existe dans sa propre bulle. Elle informe sans influencer. C'est peut-être l'erreur la plus coûteuse des trois, parce qu'elle ne se voit pas les équipes CTI travaillent, produisent, documentent, et ont l'impression de remplir leur mission. Mais en l'absence de connexion aux processus de décision, l'impact réel est proche de zéro.

Le cycle RIR : Renseignement → Impact → Recommandation

Pour transformer la CTI en levier de décision, il faut un cadre simple et répétable. Le cycle RIR Renseignement, Impact, Recommandation est ce cadre. Trois questions, dans cet ordre, pour chaque entrée CTI qui franchit le seuil de la pertinence.

Ce cycle n'invente rien : il condense le cycle du renseignement classique (collecte, analyse, diffusion, retour) et le test de tradecraft « So what? Now what? » utilisé en analyse militaire, sous une forme opérationnelle pour une équipe CTI d'entreprise qui n'a pas le temps d'appliquer un cadre académique complet à chaque alerte.

La première phase Renseignement pose la question factuelle : que s'est-il passé, et avec quelle niveau de confiance ? Elle consiste à documenter les faits (acteur, technique, cible, temporalité) et à qualifier la fiabilité des sources. Un renseignement corroboré par plusieurs sources fiables peut justifier une action immédiate, tandis qu'une information issue d'une source unique ou non vérifiée doit être considérée avec davantage de prudence. Une échelle à trois niveaux suffit dans la plupart des contextes d'entreprise :

Cette qualification n'est pas un exercice bureaucratique : c'est ce qui évite qu'une recommandation coûteuse un changement d'architecture, un audit d'urgence soit décidée sur la base d'une source qui ne le méritait pas.

La deuxième phase Impact est celle où la plupart des programmes CTI échouent. Elle exige de passer du général au particulier : ce renseignement, qu'est-ce qu'il signifie pour nous ? Quels systèmes de notre infrastructure sont exposés aux techniques documentées ? Quelle est la probabilité réaliste que notre organisation soit dans la ligne de mire ? Quels assets critiques sont concernés ? Cette analyse nécessite une bonne connaissance du système d'information et une collaboration étroite entre la CTI et les équipes d'architecture et de sécurité. et non enfermée dans un silo.

La troisième phase Recommandation est la seule qui crée de la valeur mesurable et transforme le renseignement en actions concrètes. Les mesures proposées doivent être priorisées en fonction de leur probabilité d'occurrence et de leur impact potentiel, afin d'orienter les décisions et l'allocation des ressources. Une matrice croisant ces deux critères permet de distinguer les actions immédiates, les actions planifiées et les risques à maintenir sous surveillance, offrant ainsi un cadre de décision commun aux équipes opérationnelles et aux décideurs.

Cette matrice ne remplace pas l'expertise humaine, mais fournit un cadre objectif pour prioriser les recommandations. En croisant la probabilité d'occurrence et l'impact potentiel, elle permet de justifier pourquoi une action est traitée avant une autre, même lorsque plusieurs sont considérées comme urgentes.

Segmenter l'audience, segmenter le message

Un même renseignement n'a pas la même valeur selon son destinataire. C'est un principe fondamental de la CTI opérationnelle:envoyer le même rapport à l'analyste SOC et au DSI, c'est garantir que ni l'un ni l'autre n'en tirera quelque chose d'utile.

La segmentation ne porte pas seulement sur le contenu elle porte aussi sur la sensibilité de ce qui est partagé. Un renseignement reçu d'un partenaire ou d'un ISAC (Information Sharing and Analysis Center) sectoriel arrive généralement avec un marquage TLP (Traffic Light Protocol)qui fixe qui peut le recevoir et sous quelle forme : TLP:CLEAR peut circuler librement, TLP:GREEN reste dans la communauté élargie, TLP:AMBER se limite à l'organisation et à ses partenaires directs, TLP:RED ne sort pas de la salle où il a été partagé. Segmenter l'audience sans respecter ce marquage revient à violer les conditions dans lesquelles le renseignement a été obtenu un risque autant relationnel que légal avec les sources qui le partagent.

Prenons un scénario type, à des fins d'illustration pas un incident réel documenté. Une campagne de phishing diffusant un faux portail de connexion à un service cloud d'entreprise (MITRE ATT&CK T1566 – Phishing et T1078 – Valid Accounts).

Pour l'analyste SOC, cela se traduit immédiatement en nouvelles règles de détection sur les domaines suspects, en IOCs à intégrer dans le SIEM, et en playbook de réponse pour les alertes de connexion depuis des IP non habituelles. Pour le RSSI, c'est l'occasion d'évaluer l'efficacité des mécanismes d'authentification, des contrôles d'accès conditionnels et de la surveillance des connexions. Pour le CISO, c'est la justification de l'investissement MFA à la prochaine revue budgétaire ou dans la sensibilisation des utilisateurs.

Mesurer l'efficacité de sa CTI

L'efficacité d'un programme de CTI se mesure par ses résultats, et non par son activité. Le nombre de flux de renseignement ou de rapports produits n'indique pas la valeur créée. Cinq indicateurs permettent d'évaluer cette efficacité.

La CTI comme boussole

La meilleure métaphore pour un programme CTI mature est celle d'une boussole. Elle ne raconte pas ce qui s'est passé derrière vous ; elle indique ce qui vous attend devant, ce qu'il faut anticiper et quelle direction prendre pour avancer avec moins de risques. C'est exactement le rôle que la CTI devrait jouer.

La transformation ne tient pas à de nouveaux outils ni à des budgets supplémentaires. Elle repose sur quatre changements de posture : considérer que l'information sans contexte n'est pas du renseignement, que le renseignement sans confiance qualifiée ne peut pas être défendu, que la recommandation sans priorisation n'aide pas à trancher, et que la valeur non mesurée ne peut pas être défendue.