Plateformisation des outils cyber offensifs avec Beareye

1. Le paradoxe de la surcharge : plus d'outils, moins de sécurité

L'étude IBM Institute for Business Value et Palo Alto Networks publiée en janvier 2025, menée auprès de plus de 1 000 dirigeants dans 18 pays et 21 secteurs, livre un constat sans ambiguïté : les entreprises jonglent en moyenne avec 83 solutions de sécurité issues de 29 fournisseurs. En France, l'enquête CESIN (baromètre vague 11, janvier 2026, 397 répondants) situe ce chiffre autour de 40 pour les entreprises françaises, reflet d'un parc défensif certes plus contenu mais tout aussi fragmenté.

Ce n'est pas simplement une question de budget ou de complexité organisationnelle. IBM a documenté dès 2020 un effet de seuil précis : au-delà de 50 outils, les organisations s'auto-évaluent 8 % plus bas en capacité de détection (5,83/10 contre 6,66/10) et 7 % plus bas en capacité de réponse (5,95/10 contre 6,72/10). La fragmentation nuit à la sécurité effective, pas seulement à l'efficacité opérationnelle.

1.1 La coordination comme goulot d'étranglement

IBM et Ponemon avaient également mesuré qu'un incident de sécurité moyen nécessitait la coordination de 19 outils distincts. Chaque changement de contexte entre consoles, chaque corrélation manuelle entre sources de données et chaque ticket ouvert vers une équipe tierce constitue un délai potentiel. Le Verizon DBIR 2025, analysant 22 052 incidents et 12 195 violations, confirme que les délais de détection et de confinement restent le déterminant principal du coût d'une compromission : selon IBM Cost of a Data Breach 2025, les violations contenues au-delà de 200 jours coûtent 5,01 millions de dollars en moyenne, contre 3,87 millions pour celles contenues en dessous de ce seuil.

1.2 La tendance de fond du marché

Gartner l'a mesuré lors de son Security & Risk Management Summit de 2022 : 75 % des organisations poursuivaient une consolidation de fournisseurs, contre seulement 29 % deux ans auparavant. Cette tendance ne s'est pas inversée. Gartner anticipe par ailleurs que d'ici 2028, 30 % des clients entreprises auront consolidé leur protection des postes de travail, leur EDR et leur détection des menaces sur les identités (ITDR) chez un fournisseur unique, contre 5 % seulement en 2024. La plateformisation n'est plus une option : c'est la direction vers laquelle converge le marché.

La question qui se pose au RSSI n'est donc pas « faut-il consolider ? » mais « autour de quoi consolider, et avec quelles garanties de souveraineté ? ».

2. CTEM : le cadre Gartner qui impose la plateforme

Introduit par Gartner en juillet 2022, le Continuous Threat Exposure Management (CTEM) est un programme en cinq étapes cycliques : scoping (définition du périmètre à évaluer), discovery (identification des actifs exposés), prioritization (hiérarchisation par exploitabilité et impact métier), validation (confirmation que les expositions sont bien exploitables par un attaquant réel) et mobilization (coordination des équipes pour la remédiation). La prédiction associée est directionnelle mais significative : « d'ici 2026, les organisations qui priorisent leurs investissements sécurité sur la base d'un programme CTEM seront trois fois moins susceptibles de subir une violation ». Gartner précise qu'il s'agit d'une projection, non d'un fait empiriquement établi.

2.1 Pourquoi le CTEM impose une vue unifiée

Chaque étape du cycle CTEM consomme des données issues de sources distinctes. Le scoping requiert un inventaire des actifs internes (CAASM) et externes (EASM). La discovery mobilise des scanners de vulnérabilités, des flux OSINT et des bases de renseignement sur les menaces. La prioritization croise les scores d'exploitabilité (KEV, EPSS) avec la criticité métier. La validation nécessite des capacités offensives automatisées (CART, BAS). La mobilization implique l'intégration avec les processus de remédiation et les équipes métier.

Faire fonctionner ces cinq étapes à partir de solutions distinctes et non intégrées revient à exécuter un processus continu avec des données qui ne se parlent pas. La latence entre la découverte d'une exposition et sa validation peut alors dépasser plusieurs semaines. Le CTEM n'est opérationnel que si les données circulent sans friction entre ses étapes, c'est-à-dire au sein d'une plateforme unifiée.

2.2 AEV : la validation offensive devient une discipline à part entière

En 2024, Gartner a consolidé le BAS (Breach and Attack Simulation) et le « automated penetration testing and red teaming » en une seule catégorie de marché : l'Adversarial Exposure Validation (AEV). Gartner projette que d'ici 2029, 60 % des organisations auront adopté une pratique structurée de validation d'exposition dans le cadre d'un programme CTEM. Cette convergence confirme que la validation offensive automatisée n'est plus un complément facultatif du programme CTEM : elle en est une étape structurelle.

3. Les briques fonctionnelles de Beareye

Beareye n'est pas une suite marketing rassemblant des produits rachetés sous un portail commun. La plateforme a été architecturée depuis l'origine pour que les données de chaque module alimentent les autres en temps réel. Voici les six briques fonctionnelles qui composent le programme CTEM intégré.

3.1 EASM : la vue externe de l'attaquant

L'External Attack Surface Management de Beareye cartographie en continu l'ensemble des actifs exposés sur Internet : domaines, sous-domaines, certificats TLS, ports ouverts, services exposés, shadow IT, filiales non répertoriées et présences cloud non gérées. La vue est celle de l'attaquant, sans authentification préalable. Le module détecte les nouvelles expositions dans les heures suivant leur apparition, pas après le prochain scan mensuel.

Le DBIR 2025 de Verizon signale que l'exploitation des équipements périphériques (VPN, passerelles edge) a été multipliée par huit entre 2023 et 2024 (de 3 % à 22 % des vecteurs d'accès initial). Cette évolution rend la découverte externe continue non négociable : les expositions périphériques apparaissent et sont exploitées dans des fenêtres de quelques jours.

3.2 CAASM : l'inventaire défensif consolidé

Le Cyber Asset Attack Surface Management agrège via des intégrations API l'ensemble des actifs internes et externes depuis les sources de référence existantes : EDR, CMDB, scanners de vulnérabilités, Active Directory, solutions de gestion des identités. Là où l'EASM adopte la perspective de l'attaquant, le CAASM adopte celle du défenseur. Les deux modules sont conçus pour fonctionner ensemble : l'EASM identifie ce que voit l'attaquant de l'extérieur, le CAASM rapproche cette vue des actifs gérés pour identifier les écarts et les actifs orphelins.

3.3 VMDR : de la vulnérabilité à la remédiation

La gestion des vulnérabilités intégrée à Beareye couvre le cycle complet : inventaire continu des actifs, évaluation des vulnérabilités, priorisation fondée sur le risque réel (KEV, EPSS, criticité métier) et suivi de la remédiation. La priorisation par CVSS seul est abandonnée au profit d'une priorisation par exploitabilité effective : une vulnérabilité avec un CVSS de 7,5 mais documentée dans le Known Exploited Vulnerabilities catalog de la CISA sera traitée avant une CVE à 9,8 sans exploitation connue.

3.4 TPRM : le risque tiers intégré

Le Verizon DBIR 2025 documente un doublement de l'implication tierce dans les violations (de 15 % à 30 % entre 2023 et 2024). Le module de gestion du risque tiers de Beareye évalue en continu la posture de sécurité des fournisseurs et prestataires critiques à partir de signaux externes (certificats expirés, ports ouverts, fuites de données, présence sur des flux de menaces), sans nécessiter l'accès aux systèmes du tiers. Cette approche répond directement aux obligations DORA (Articles 28 à 30 sur le TPRM) pour les entités financières, et anticipe les exigences de gestion de la chaîne d'approvisionnement prévues par NIS2.

3.5 Renseignement OSINT et Dark Web

Beareye intègre une couche de renseignement en sources ouvertes alimentant toutes les phases du cycle CTEM : surveillance des fuites d'identifiants sur les marchés clandestins, détection des mentions de l'organisation sur les forums cybercriminels, cartographie des infrastructures d'attaque potentiellement ciblantes. Le renseignement ne reste pas dans un module dédié ; il enrichit directement les scores de risque de l'EASM, du CAASM et du TPRM.

4. Validation offensive : CART, BAS et AEV intégrés

La validation offensive est l'étape qui distingue un programme CTEM d'un inventaire de vulnérabilités amélioré. Elle répond à une question fondamentale que le scan de vulnérabilités ne peut pas résoudre : parmi les expositions identifiées, lesquelles sont effectivement exploitables par un attaquant dans les conditions réelles de l'environnement ?

4.1 BAS et CART : deux approches complémentaires

Le BAS (Breach and Attack Simulation) adopte une approche déterministe : il teste si les contrôles de sécurité existants (détection sur les postes de travail, filtrage mail, WAF, DLP, contrôles réseau) détectent et bloquent des techniques d'attaque connues, cartographiées sur le référentiel MITRE ATT&CK. L'unité de mesure est le taux d'efficacité du contrôle : quel pourcentage des techniques testées est bien détecté ?

Le CART (Continuous Automated Red Teaming) adopte une approche adaptative et orientée objectif. Il simule des chaînes d'attaque multi-étapes en reproduisant le comportement d'adversaires réels : reconnaissance initiale, exploitation d'une première vulnérabilité, mouvement latéral, escalade de privilèges, accès aux données sensibles. Le CART produit des récits d'attaque complets, montrant non pas si un contrôle isolé fonctionne, mais si un attaquant peut atteindre un objectif de bout en bout dans l'environnement réel.

4.2 L'AEV comme catégorie de marché unifiée

En 2024, Gartner a consolidé le BAS et le « automated penetration testing and red teaming » en une seule catégorie : l'Adversarial Exposure Validation (AEV). Cette convergence traduit une réalité opérationnelle : les deux approches se complètent et doivent s'alimenter mutuellement. Beareye intègre les deux dans une vue unifiée, où les résultats du BAS alimentent la priorisation des scénarios CART, et où les chemins d'attaque identifiés par le CART enrichissent les règles de détection testées par le BAS.

Gartner projette que d'ici 2029, 60 % des organisations auront adopté une pratique structurée de validation d'exposition dans le cadre d'un programme CTEM. Pour les entités financières soumises à DORA, les TLPT (tests d'intrusion fondés sur la menace) sont déjà obligatoires au moins tous les trois ans sur les systèmes de production réels, cadre TIBER-EU 2025. La capacité CART de Beareye s'inscrit directement dans la préparation de ces exercices.

5. Souveraineté et conformité réglementaire

La souveraineté numérique n'est plus un argument de positionnement politique : c'est une contrainte juridique qui affecte directement la licéité du traitement des données de sécurité les plus sensibles d'une organisation. Le CESIN (baromètre vague 11, janvier 2026) indique que la souveraineté numérique et le cloud de confiance constituent désormais un enjeu pour 63 % des entreprises françaises, soit une hausse de onze points en un an.

5.1 Le CLOUD Act et ses implications pour les outils de sécurité

Le Clarifying Lawful Overseas Use of Data Act américain (2018) rend explicite l'obligation pour tout fournisseur soumis à la juridiction américaine de produire les données qu'il contrôle, indépendamment de leur lieu de stockage physique. La jurisprudence du Department of Justice est sans ambiguïté : la juridiction américaine « is not limited to U.S. corporations, U.S. headquartered companies, or companies owned by U.S. persons ». Le critère déclencheur est l'existence de contacts suffisants avec les États-Unis combinée à la possession ou au contrôle des données.

Un outil de sécurité centralisé contient par définition les données les plus sensibles d'une organisation : cartographie complète des actifs, inventaire des vulnérabilités non corrigées, résultats des simulations d'attaque, données de renseignement sur les menaces, configuration des contrôles. Confier ces données à une plateforme dont le fournisseur est soumis à la juridiction américaine signifie accepter une exposition potentielle à des demandes de communication contraintes. Une « région européenne » d'un hyperscaler américain ne constitue pas une garantie : le déclencheur est le contrôle capitalistique et juridique, pas la localisation des serveurs.

5.2 SecNumCloud et Beareye

Beareye est développée et opérée par BEAROPS, société française, sur une infrastructure hébergée conformément aux exigences de la qualification SecNumCloud de l'ANSSI (référentiel v3.2). SecNumCloud est le seul cadre français qui matérialise une immunité effective aux lois extraterritoriales par des exigences précises : hébergement et traitement dans l'Union européenne, application exclusive du droit européen, plafonds stricts de détention capitalistique par des entités hors-UE (24 % individuel, 39 % collectif, sans droit de veto ni contrôle majoritaire du conseil).

Le Cloud and AI Development Act (CADA) présenté par la Commission européenne le 3 juin 2026 (COM(2026) 502) vise à étendre ce niveau d'exigence à l'ensemble de la commande publique européenne, avec une certification à quatre niveaux. Le niveau 4, réservé aux données liées à la défense, requiert l'absence de contrôle par un pays tiers et un contrôle capitalistique européen du fournisseur, soit les critères que SecNumCloud applique déjà pour son volet souveraineté.

5.3 Loi Résilience et ReCyF : préparer la conformité NIS2

La loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, véhicule de transposition des directives NIS2, REC et du règlement DORA, n'est pas encore promulguée au 5 août 2026 : adoptée par le Sénat en mars 2025, votée en commission spéciale à l'Assemblée nationale en septembre 2025, elle attend son passage en séance publique. L'ANSSI estime à environ 15 000 entités le périmètre français (18 secteurs), contre quelques centaines sous NIS1.

En attendant la promulgation, l'ANSSI a publié le ReCyF (Référentiel Cyber France) le 17 mars 2026, déclinant les obligations NIS2 en 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Juridiquement non contraignant avant la publication des décrets d'application, le ReCyF est déjà utilisé comme référence pratique par les équipes sécurité. Beareye couvre directement les objectifs liés à la gestion des actifs, à la surveillance des vulnérabilités, au renseignement sur les menaces, à la gestion du risque tiers et aux tests d'intrusion.

6. Déployer Beareye : approche et priorités

La plateformisation ne s'opère pas par substitution brutale du parc existant. Elle suit une logique d'intégration progressive qui capitalise sur les investissements déjà réalisés (EDR, CMDB, scanners) tout en comblant les angles morts structurels. Voici l'approche recommandée en quatre temps.

6.1 Cartographier l'existant avant de consolider

La première étape consiste à inventorier le parc d'outils actuel et à qualifier sa couverture effective du cycle CTEM. Quels modules couvrent la découverte externe ? Quelle source constitue la référence en matière d'inventaire d'actifs ? Comment les vulnérabilités sont-elles priorisées aujourd'hui ? Où s'arrête la visibilité sur le risque tiers ? Cet audit préalable identifie les redondances à éliminer et les lacunes à combler. Il produit également la note de cadrage secteur-taille-catégorie EE/EI que l'ANSSI demande en priorité dans le cadre NIS2.

6.2 Activer l'EASM et le CAASM en priorité

La discovery est le prérequis de toutes les étapes suivantes du CTEM. Sans inventaire fiable des actifs exposés et sans vue unifiée des actifs internes, la priorisation et la validation sont impossibles. Les modules EASM et CAASM de Beareye s'activent sans agent installé sur les systèmes cibles pour l'EASM, et via des intégrations API avec les sources existantes pour le CAASM. La mise en service initiale produit en quelques jours une cartographie de la surface d'exposition que la plupart des organisations n'avaient pas.

6.3 Intégrer la validation offensive progressivement

Une fois la surface d'exposition connue et les vulnérabilités priorisées, la validation offensive peut s'activer sur les scénarios les plus critiques. L'approche recommandée consiste à définir les deux ou trois objectifs d'attaque les plus redoutés (accès aux données sensibles, compromission de l'Active Directory, interruption d'un service critique) et à lancer les simulations CART sur ces scénarios en priorité. Les résultats alimentent directement la feuille de route de remédiation, avec une priorisation basée sur la démonstration d'exploitabilité effective plutôt que sur des scores théoriques.

6.4 Mesurer les bénéfices opérationnels

L'étude IBM/Palo Alto 2025 quantifie les bénéfices de la plateformisation en termes opérationnels concrets : 72 jours de moins pour identifier un incident et 84 jours de moins pour le contenir par rapport aux organisations fragmentées. Ces métriques proviennent d'une étude co-signée par un fournisseur (Palo Alto Networks) et doivent être interprétées comme des ordres de grandeur directionnels, non comme des garanties contractuelles. Elles fournissent néanmoins un cadre de mesure pertinent : délai moyen d'identification et de confinement avant et après consolidation, nombre de sources consultées par incident, temps de coordination entre équipes.