La sécurité des données à l’ère du cloud et de l’IA: cinq champs d’action importants
Le cloud, le SaaS et l’IA créent de nouvelles opportunités pour les entreprises. Parallèlement, les données sensibles sont réparties entre un nombre croissant de systèmes, d’applications et de plateformes. Aujourd’hui, garantir la sécurité des données ne consiste donc plus seulement à protéger les systèmes.
Septembre 2026, Text Andreas Heer 4 Min.
Un lundi matin dans un immeuble de bureaux quelque part en Suisse. Le groupe de travail spécialisé dans l’IA discute de l’introduction de nouvelles fonctionnalités de l’IA générative dans Microsoft 365. Dans le même temps, le service informatique migre d’autres charges de travail vers le cloud. Le personnel travaille avec des applications SaaS, partage des documents avec des partenaires et stocke des données dans différents environnements.
Bref, une journée de travail tout à fait ordinaire. Le cloud et l’IA sont omniprésents et placent la stratégie de cybersécurité de l’entreprise face à de nouveaux défis. Car la question centrale n’est plus depuis longtemps de savoir si les systèmes sont suffisamment protégés, mais plutôt: savons-nous encore où se trouvent nos données sensibles, qui peut y accéder et comment elles sont utilisées?
La sécurité des données a profondément évolué. Autrefois, il s’agissait avant tout de protéger les serveurs, les réseaux et les terminaux contre les attaques. Aujourd’hui, les données sensibles sont réparties entre Microsoft 365, les clouds publics, les clouds privés, les applications SaaS, les services d’IA et les systèmes sur site. Pour répondre aux exigences internes et externes en matière de protection des données, les entreprises doivent garantir la transparence, le contrôle et la traçabilité de leurs données.
La sécurité des données devient ainsi une tâche de direction et de gouvernance. Pour utiliser le cloud et l’IA en toute sécurité, il faut adopter une approche globale intégrant les données, les accès, la gouvernance et la cyberrésilience.
Cinq champs d’action sont particulièrement importants.
1. Transparence: savoir où se trouvent les données sensibles
On ne peut protéger que ce que l’on connaît. Ce principe est simple, mais de plus en plus difficile à mettre en œuvre dans la pratique. Les documents sont partagés, stockés localement, transférés vers des systèmes cloud ou traités dans différentes applications. Le nombre d’emplacements de stockage ne cesse d’augmenter. Et, souvent, la visibilité diminue dans les mêmes proportions. Ici une petite application spécialisée, là une machine virtuelle utilisée pour un test et jamais désactivée. Difficile de garder une vue d’ensemble.
La question décisive est donc la suivante: les entreprises savent-elles réellement où leurs données sensibles sont stockées, traitées et partagées? Et savent-elles qui peut y accéder? «D’après mon expérience, de nombreuses entreprises peinent à conserver la transparence et le contrôle sur l’ensemble du cycle de vie des données. Il est particulièrement difficile de savoir quelles données nécessitent quel besoin de protection, qui peut y accéder et où elles se trouvent», explique Raffael Peluso, spécialiste en cybersécurité chez Swisscom. «Les difficultés ne concernent souvent pas les systèmes centraux, mais les systèmes périphériques et les infrastructures hybrides.»
C’est pourquoi la Data Discovery, la classification des données et la transparence des mouvements de données gagnent en importance. Les entreprises doivent savoir quelles données nécessitent une protection, où elles se trouvent et comment elles sont utilisées. Ce n’est qu’à partir de là qu’il est possible de mettre efficacement en œuvre des directives de gouvernance, des mesures de Data Loss Prevention (DLP) ou des exigences en matière d’audit.
La transparence n’est donc pas l’objectif de la sécurité des données. Elle en est la condition préalable.
2. Cloud Security: associer contrôle des données et des infrastructures
Le cloud est depuis longtemps devenu un élément indispensable de l’infrastructure de l’entreprise. Mais il transforme aussi en profondeur les exigences en matière de sécurité des données. Les données se trouvent aujourd’hui dans des environnements hybrides et multi-cloud. La diversité des plateformes, des fournisseurs et des responsabilités complique la gestion uniforme des directives de sécurité. À cela s’ajoutent de nouveaux concepts technologiques tels que les conteneurs ou les microservices. «Dans les environnements hybrides et multi-cloud, la grande évolutivité, l’utilisation de microservices et la dynamique du cloud augmentent considérablement la complexité», explique M. Peluso.
Une complexité qui favorise les erreurs, souligne le spécialiste en cybersécurité: «De nombreux incidents de sécurité ne sont pas dus à des attaques sophistiquées, mais à des configurations erronées ou à des droits d’accès trop étendus. À cela s’ajoutent les risques liés à des responsabilités mal définies, la dépendance vis-à-vis des opérateurs de cloud et les questions de souveraineté des données. En Suisse notamment, les entreprises doivent en outre prouver qu’elles respectent les exigences réglementaires et de conformité sur l’ensemble des plateformes.»
La question de la sécurité des données va au-delà des mesures de protection techniques. Elle touche également à la souveraineté numérique de l’entreprise. Le Swisscom Cybersecurity Threat Radar 2026 classe la souveraineté numérique parmi les principales évolutions de l’environnement de sécurité. En effet, les entreprises qui ignorent où leurs données sont traitées, qui peut y accéder et à quelles dispositions légales les fournisseurs cloud sont soumis risquent de perdre progressivement le contrôle.
La sécurité du cloud ne doit donc pas être considérée isolément comme une simple question d’infrastructure. Elle constitue un élément central de la sécurité moderne des données. Les entreprises doivent disposer d’une visibilité sur leurs charges de travail cloud, appliquer des directives de sécurité cohérentes et savoir précisément quelles données sont traitées et où elles le sont. La Cloud Governance, les Cloud Security Assessments ainsi que des technologies telles que le CSPM (Cloud Security Posture Management) et la CWPP (Cloud Workload Protection Platform) contribuent à reprendre ce contrôle.
3. Gouvernance AI: permettre l’innovation tout en évitant les fuites de données
Actuellement, peu de sujets technologiques préoccupent autant les entreprises que l’intelligence artificielle. Ses avantages sont évidents: l’IA générative, en particulier, augmente la productivité, accélère les processus et ouvre de nouvelles opportunités d’innovation. Mais elle génère aussi de nouveaux risques pour la sécurité des données. Le personnel utilise des services d’IA, téléverse des documents ou saisit des informations dans des prompts. À cela s’ajoutent des fonctionnalités d’IA de plus en plus souvent intégrées directement dans les applications commerciales.
Le défi n’est donc pas l’IA elle-même, mais elle rend les problèmes existants plus visibles et les amplifie. La sécurité des données était déjà une question de gouvernance avant l’avènement de l’IA générative. L’IA agit toutefois comme un accélérateur, car les données sont traitées, transmises et utilisées plus rapidement et à plus grande échelle.
«La gouvernance de l’IA revêt une importance capitale pour les entreprises suisses», déclare M. Peluso. «Elle fournit le cadre nécessaire pour une utilisation sûre, transparente et responsable de l’IA.» Une gouvernance efficace de l’IA aide les entreprises à réduire les violations de la protection des données, les mauvaises décisions et l’utilisation incontrôlée des données. En même temps, elle instaure un climat de confiance. «La gouvernance de l’IA aide à exploiter les avantages commerciaux de l’IA de manière durable et contrôlée et à accroître les innovations et l’efficacité», ajoute M. Peluso.
L’actuel Cybersecurity Threat Radar montre également que ces risques ne sont pas purement théoriques. «L’Insecure AI» y est l’un des principaux défis auxquels les entreprises doivent faire face. Les systèmes d’IA non sécurisés peuvent révéler des données confidentielles, créer de nouvelles zones d’attaque et entraîner des risques réglementaires. La transparence, des responsabilités clairement définies et une gouvernance efficace en matière d’IA n’en sont que plus importantes.
Pour les CIO et les CISO, cela signifie que l’utilisation de l’IA ne doit être ni autorisée ni bloquée ni incontrôlée. Une approche efficace repose sur des règles claires, des responsabilités définies et des mécanismes de contrôle. La sécurité des données devient ainsi un catalyseur de l’innovation plutôt qu’un frein.
4. Compliance: privilégier la traçabilité plutôt que de simplement réagir aux obligations
Les exigences réglementaires se multiplient. Les lois sur la protection des données, les prescriptions sectorielles et les directives de gouvernance internes imposent de plus en plus souvent aux entreprises de démontrer comment elles gèrent les données sensibles.
Mais la Compliance ne commence pas avec l’audit. Elle commence par la transparence, souligne M. Peluso: «La transparence est la condition sine qua non pour tout, notamment la traçabilité. On ne peut prouver que ce que l’on a rendu transparent auparavant.»
De nombreuses entreprises considèrent encore la Compliance comme un exercice obligatoire. En revanche, les organisations performantes les considèrent comme le résultat d’une bonne sécurité des données. Ou, comme le dit M. Peluso: «La transparence et la traçabilité constituent la base d’une gouvernance efficace, mais aussi des audits et de la conformité réglementaire. Sans cette transparence, il est difficile de satisfaire aux exigences en matière de protection des données, de sécurité de l’information ou de gouvernance de l’IA.» Les effets positifs dépassent d’ailleurs les frontières de l’entreprise: «La traçabilité et la documentation des processus renforcent la confiance de la clientèle, des partenaires, des autorités de surveillance et des organismes d’audit», souligne M. Peluso.
5. Cyberrésilience: protéger les activités au niveau des données
La cyberrésilience est souvent associée à la capacité à détecter les cyberattaques et à y réagir. Mais cette définition est trop restrictive. La résilience commence bien plus tôt. Elle commence par déterminer quelles données sont critiques pour l’activité, où elles se trouvent, qui peut y accéder et comment protéger ces «joyaux de la couronne». La sécurité des données protège ainsi non seulement les informations, mais aussi la capacité d’action de l’entreprise.
«Les données sont aujourd’hui l’une des ressources les plus importantes des entreprises et en même temps une cible privilégiée des cyberattaques. La sécurité des données joue donc un rôle central dans la cyberrésilience d’une entreprise – sans sécurité des données, il n’y a pas de véritable cyberrésilience», explique M. Peluso.
Plus une entreprise dispose de transparence et de contrôle sur ses données et les protège efficacement, plus elle est résistante aux cyberattaques et aux perturbations opérationnelles. Différentes disciplines s’imbriquent les unes dans les autres: La Data Loss Prevention, le Security Operation Center (Swisscom Security Operation Center), le Threat Detection and Response (TDR), l’Extended Detection and Response (XDR), les solutions CASB et la Security Awareness contribuent ensemble à identifier les risques à un stade précoce et à limiter les conséquences des incidents.
Mais les technologies ne suffisent pas à elles seules. L’interaction entre transparence, gouvernance et sécurité opérationnelle est déterminante. En effet, la cyberrésilience naît là où les entreprises savent à tout moment quelles données sont critiques pour leurs activités et comment les protéger.
Penser ensemble les données, le cloud et l’IA
La sécurité des données évolue d’une discipline technique vers une tâche de conduite stratégique. Les plateformes cloud, les applications SaaS et l’IA ouvrent de nouvelles perspectives en matière d’innovation et de productivité. Parallèlement, elles renforcent les exigences en matière de transparence, de contrôle et de gouvernance.
Les cinq champs d’action sont étroitement liés:
- créer de la transparence
- garder le contrôle sur les environnements cloud
- encadrer l’IA de manière responsable
- assurer la traçabilité de la Compliance
- renforcer la cyberrésilience
Raffael Peluso résume parfaitement cette évolution: «La transparence est le point de départ et la cyberrésilience, l’objectif. Sans transparence sur les données, les systèmes, les droits d’accès et leur utilisation, il est pratiquement impossible d’assurer durablement la sécurité des données.»
M. Peluso conseille aux entreprises qui sont déjà sur la bonne voie en matière de transparence de poursuivre leurs efforts avec détermination: «Il convient de se concentrer sur la mise en œuvre et l’application systématiques des mesures de sécurité et de gouvernance. Les entreprises doivent s’assurer que seules les personnes autorisées ont accès aux données sensibles, réduire les erreurs de configuration au minimum et appliquer uniformément les directives de sécurité dans les environnements hybrides, cloud et IA.»
Pour les CIO, les CISO et les responsables informatiques, la mission principale n’est donc pas de protéger les technologies prises isolément. Le défi consiste à considérer les données, le cloud, l’IA et la gouvernance comme un système cohérent. «L’automatisation, la surveillance continue et la gouvernance de l’IA gagnent en importance. Ils réduisent les risques et renforcent la résistance à long terme de l’organisation face aux cyber-menaces», souligne M. Peluso.
En clair: garder le contrôle sur ses données, c’est poser les bases de la sécurité, de la Compliance et d’une capacité d’action numérique durable.