La cybersécurité : ce budget qu’on adore détester

[Billet d’humeur] Sacralisée dans les discours, sacrifiée dans les budgets : la cybersécurité incarne ce paradoxe bien connu des entreprises. Tout le monde s’accorde sur son importance… jusqu’au moment de sortir le carnet de chèques. Et puis un jour, la crise frappe. Et là, évidemment, c’est la panique.

C’est un peu le vigile du supermarché : tout le monde est content qu’il soit là, mais personne n’a très envie de payer pour lui. Chaque année, la scène se répète. On convoque la cybersécurité au comité budgétaire, on lui fait des sourires, on lui parle de “priorité stratégique”… avant de lui demander, en toute bienveillance, de “faire un effort”. Encore.

Le paradoxe est savoureux : jamais les discours n’ont autant célébré l’importance de la sécurité numérique, et jamais les lignes budgétaires ne lui ont été aussi étroites. On veut du chiffrement, de la résilience, des SOC opérationnels 24h/24, mais si ça pouvait tenir dans le budget de l’année dernière, ce serait formidable.

On sacralise la cybersécurité comme on vénère une assurance-vie : à condition de ne jamais avoir à l’utiliser. Parce qu’elle coûte, parce qu’elle ralentit, parce qu’elle dit parfois non. Et dans une entreprise où l’on valorise l’agilité et la vitesse, elle fait un peu figure de rabat-joie.

Mais le plus ironique reste sans doute ce réflexe collectif : c’est toujours après une crise que la cybersécurité devient un sujet “majeur”. Un ransomware paralyse les serveurs, un data leak éclabousse la marque, une faille critique remonte à la une des journaux… et soudain, le budget double. Le RSSI, jusque-là invisible, devient VIP. Pendant trois mois.

Puis la mémoire collective s’érode, les alertes se banalisent, et le budget repasse à la moulinette. La sécurité ? Oui, bien sûr. Mais après le CRM. Après le nouveau projet IA. Après l’application mobile.

La vérité, c’est qu’en matière de cybersécurité, les entreprises sont souvent schizophrènes : elles en veulent plus, mais veulent payer moins. Elles redoutent les attaques, mais repoussent les audits. Elles veulent protéger, mais sans contrarier les usages.

Et pourtant… quand la menace frappe – car elle finit toujours par frapper -, tout le monde regarde la DSI. Comme si le pare-feu pouvait faire des miracles sans essence.

Peut-être faudrait-il rappeler que la cybersécurité n’est pas un luxe. C’est une hygiène. Comme se laver les mains. Personne ne le trouve très excitant. Jusqu’au jour où l’on tombe malade.