Nouvelles · Cybersécurité

Contrôles de sécurité et responsabilité dans le travail quotidien

Par AWEI · Compilé par IA · Publié 2026-09-12 · 2 sources · www.deloitte.com, www.ey.com

Les changements apportés au système de parrainage britannique et une étude de cas sur les voitures connectées soulèvent des questions sur la responsabilité en matière de sécurité ; les résultats restent non mesurés.

Les titulaires de licence de parrainage britanniques font face à des changements dans l’accès aux comptes, selon l’alerte de septembre 8, 2026 d’EY : authentification multifacteur obligatoire par phases, retrait du rôle d’utilisateur de niveau deux et examen plus approfondi des comptes inactifs. Par ailleurs, Deloitte décrit l’intégration de la cybersécurité dans le développement de voitures connectées au cours d’une mission de trois ans. Ces comptes rendus concernent des systèmes et des risques différents, mais ils soutiennent une question analytique commune : qu’est-ce qui fait que les contrôles de sécurité font partie du travail quotidien, avec des responsables identifiables, plutôt qu’une annonce dont les conséquences opérationnelles restent floues ?

Les contrôles soulèvent des questions de responsabilité opérationnelle

L’introduction accessible d’EY identifie des changements affectant tous les titulaires de licence de parrainage britanniques, mais les échéances détaillées sont absentes du texte fourni, et le contenu du PDF lié n’est pas disponible pour examen. Elle établit donc l’orientation rapportée de l’administration des comptes sans expliquer chaque transition. La suppression d’un rôle d’utilisateur, par exemple, laisse une question analytique sur la destination de ses responsabilités. Les exigences d’authentification soulèvent de même des questions sur la récupération des comptes et le maintien de l’accès. Ce sont des dépendances à examiner, et non la preuve que les employeurs manquent actuellement de dispositions ou que les changements ont perturbé l’administration du parrainage.

Le mécanisme possible est que les exigences de sécurité deviennent applicables lorsque la responsabilité se situe aux côtés des décisions qu’elles régissent. Un spécialiste peut définir un contrôle, mais une personne administrant les comptes doit le maintenir à travers les changements d’utilisateurs et de besoins d’accès. La distinction pertinente est entre attribuer une règle et soutenir son fonctionnement. Un plus grand nombre de fonctions participantes ne crée pas automatiquement une responsabilité plus claire : une responsabilité peut être partagée explicitement, conservée au niveau central ou laissée entre les équipes. L’introduction d’EY ne fournit pas suffisamment de détails de mise en œuvre pour déterminer quelle organisation émergera chez les différents employeurs.

Le développement de produits présente un test distinct

Deloitte indique que son travail dans l’automobile s’est élargi, passant de l’identification des faiblesses et du développement de défenses logicielles à la refonte du développement, de la conception à la production. Il s’agit d’un compte rendu de changement de processus rédigé par un fournisseur, avec des clients non nommés et aucun résultat mesuré de manière indépendante. Son exemple hypothétique d’interférence avec les fonctions du pare-brise via un téléphone connecté illustre un lien possible entre la sécurité logicielle et la sécurité physique ; ce n’est pas une attaque documentée. Le cas soutient l’examen de l’endroit où les décisions d’ingénierie rencontrent les exigences de sécurité, mais ne peut pas établir le niveau de protection apporté par la refonte.

Le rapport Global Cybersecurity Market Report 2026 de Cybersecurity Ventures, publié en novembre 14, 2025, fournit une perspective de responsabilité distribuée. Il concerne principalement les achats mondiaux de cybersécurité en entreprise, en utilisant des documents d’étude secondaires aux méthodes non divulguées et en combinant une base 2025 avec une prévision sur trois ans. Cette portée compte : des achats en dehors d’un bureau de sécurité spécialisé n’établissent pas une autorité opérationnelle effective. Appliquée ici, cette perspective demande si les fonctions participantes ont des contrôles définis, des droits de décision et des voies d’escalade. Le rapport produit à des fins commerciales ne corrobore ni la mission de Deloitte ni ne mesure les effets des changements de comptes britanniques.

Il existe aussi une explication plausible n’exigeant aucun changement organisationnel plus large. Le nettoyage des comptes de parrainage pourrait rester une tâche de conformité administrée centralement, tandis que la refonte du développement des véhicules pourrait être propre à une mission. Les deux publications n’établissent pas une tendance générale en matière de sécurité. Même lorsque la responsabilité s’élargit, des transferts supplémentaires pourraient fragmenter la responsabilité au lieu de l’améliorer. Les administrateurs de parrainage et les équipes d’ingénierie porteraient le travail de mise en œuvre ; les employeurs et les utilisateurs de véhicules n’en bénéficieraient que si les contrôles fonctionnent efficacement. Aucun des deux comptes rendus ne mesure cette répartition du travail ni les bénéfices qui en résultent.

Les preuves doivent suivre la mise en œuvre

La question institutionnelle plus large est de savoir comment les organisations relient les normes spécialisées aux décisions courantes sans perdre la responsabilité entre les fonctions. Les descriptions de processus fournissent des preuves sur les dispositions prévues, tandis que les dossiers de mise en œuvre pourraient montrer si ces dispositions fonctionnent. Les mesures de résultats posent une question supplémentaire sur l’efficacité. Ces catégories doivent rester distinctes : un examen de compte achevé ne démontre pas l’absence d’accès non autorisé, et un processus de développement remanié n’établit pas moins de vulnérabilités récurrentes. Inversement, l’absence de mesures de résultats dans un compte rendu public n’établit pas qu’un programme a échoué.

Pour le système de parrainage, des responsabilités de remplacement documentées, un traitement vérifié des comptes inactifs et des procédures de récupération réalisables soutiendraient l’interprétation selon laquelle la responsabilité devient opérationnellement plus claire. Des tâches non attribuées l’affaibliraient. Pour le développement de véhicules, des mesures définies de manière cohérente de la récurrence des vulnérabilités et de leur remédiation à des étapes comparables pourraient tester l’avantage d’ingénierie proposé. Ces systèmes distincts nécessitent des tests distincts. Les preuves disponibles établissent des changements rapportés dans le contrôle d’accès et le compte rendu de Deloitte sur la refonte des processus ; savoir si l’un ou l’autre produit une protection plus forte reste non résolu.

Toutes les nouvellesArchives des nouvelles