Les cyberattaques ne reposent pas toutes sur des techniques inédites ou particulièrement sophistiquées. Nombre d'entre elles exploitent des vulnérabilités connues, des configurations insuffisamment sécurisées ou des identifiants compromis. Pourtant, leurs conséquences peuvent être majeures pour les organisations concernées.
Dans le même temps, la dépendance aux outils numériques, aux services cloud et aux solutions SaaS accroît le nombre d'actifs, de partenaires et de fournisseurs à sécuriser. Une modification de configuration, un nouveau sous-domaine, un outil déployé par une équipe métier ou une vulnérabilité récemment publiée peut faire évoluer la surface d'attaque en quelques heures.
Les organisations ne peuvent donc plus se limiter à corriger les vulnérabilités au fil de l'eau. Elles doivent structurer leur gouvernance, conserver une visibilité sur leur surface d'attaque externe et suivre l'évolution de leur maturité cyber.
C'est précisément le rôle de la notation cyber, également appelée cyber rating. Elle aide les RSSI, directions générales, assureurs, investisseurs et responsables des risques à sortir de l'incertitude, à objectiver certains signaux de risque et à mieux prévenir les opportunités d'attaque.
Qu'est-ce que la notation cyber ? Définition et origines
Définition de la notation cyber
La notation cyber, ou cyber rating, consiste à évaluer la posture de cybersécurité d'une organisation à partir d'éléments observables depuis internet, notamment ses actifs numériques exposés, ses configurations techniques et certains signaux de risque publics.
Cette évaluation se traduit généralement par un score synthétique qui permet de comparer des organisations, d'identifier des axes d'amélioration et de suivre l'évolution de leur posture dans le temps. Selon les solutions, la fréquence d'actualisation peut toutefois varier : certaines produisent une évaluation ponctuelle ou périodique, tandis que d'autres proposent un suivi continu.
La notation cyber ne remplace pas un audit approfondi, un test d'intrusion ou une certification. Elle fournit en revanche une lecture complémentaire de l'exposition externe d'une organisation, de ses filiales, de ses fournisseurs ou de ses partenaires.
Des agences de notation financière au cyber rating
La notation cyber s'inspire du fonctionnement des agences de notation financière. Depuis des décennies, des acteurs comme Moody's ou Standard & Poor's évaluent la solidité financière des organisations afin d'éclairer les décisions des investisseurs, banques et partenaires économiques.
L'objectif ne se limite pas à produire une note. Il s'agit de fournir un référentiel partagé qui facilite la prise de décision et la confiance entre acteurs économiques.
Le principe est similaire pour le cyber rating, apparu aux États-Unis avant de se diffuser en Europe. Dans un environnement numérique interconnecté, la sécurité d'une organisation dépend de ses propres pratiques, de celles de ses tiers et des nombreux services SaaS qu'elle utilise. Les directions générales, RSSI, acheteurs, juristes, assureurs et investisseurs ont donc besoin d'indicateurs lisibles pour apprécier un niveau de risque cyber.
Un indicateur pris au sérieux par les pouvoirs publics
La France s'est emparée du sujet dès 2021. Dans un rapport consacré à la cybersécurité des entreprises, les sénateurs Sébastien Meurant et Rémi Cardon proposaient la création d'une agence européenne de cybernotation fondée sur les référentiels de l'ANSSI.
La loi du 3 mars 2022, dite loi « Cyberscore », a ensuite prévu un dispositif d'information sur le niveau de sécurité de certaines plateformes numériques. Sa philosophie rejoint celle de la notation cyber appliquée au monde de l'entreprise : rendre plus lisible la posture de sécurité d'un acteur numérique afin de renforcer la confiance.
Comment fonctionne la notation cyber ?
Trois mécanismes complémentaires
Le calcul d'une note cyber repose généralement sur la combinaison de trois activités :
-
La cartographie des actifs exposés sur internet : noms de domaine, sous-domaines, adresses IP publiques, sites web et services accessibles. Cette étape permet d'identifier le périmètre numérique visible de l'organisation.
-
La collecte de données accessibles en sources ouvertes : configurations des services, paramètres SPF, DKIM, DMARC, TLS, présence éventuelle dans des listes noires, indicateurs de compromission ou fuites d'identifiants.
-
L'analyse des données collectées : un moteur d'évaluation agrège les éléments observés afin de produire une note et, selon les solutions, des recommandations de remédiation.
La cartographie de la surface d'attaque externe ne sert pas uniquement à identifier ce que voient les attaquants. Elle apporte également une visibilité utile au RSSI et au DSI sur des actifs qui peuvent avoir été déployés sans passer par les processus habituels de validation : sous-domaines créés pour une campagne marketing, environnements de test, outils SaaS utilisés par des équipes métier ou services oubliés après un projet.
Dans les organisations complexes, cette visibilité est difficile à maintenir manuellement. Une évaluation externe régulière contribue donc à compléter l'inventaire interne du système d'information et à détecter certains actifs non recensés.
Que mesure concrètement une note cyber ?
Le marché de la notation cyber regroupe des solutions françaises et internationales dont les méthodes, périmètres d'analyse et fréquences de mise à jour peuvent différer. Il est donc important de ne pas considérer les caractéristiques d'une solution comme applicables à l'ensemble du marché.
Dans le cas de Security Rating®, l'analyse porte sur plusieurs types de données publiques afin d'offrir une vision aussi complète que possible de la surface d'attaque externe. La solution attribue un score global de 0 à 1 000 et une note de A à E pour chacun de ses sept domaines d'analyse.
| Catégorie | Domaine d'analyse | Ce qui est évalué |
|---|---|---|
| Mesures de contrôle | Surface d'attaque | Cartographie des actifs exposés : sous-domaines, ports ouverts et services accessibles |
| Messagerie | Configuration SPF, DKIM, DMARC et exposition des serveurs de messagerie | |
| Web TLS/SSL | Qualité et validité des certificats, protocoles supportés et configurations à risque | |
| Contrôle de sécurité | Présence et configuration des mécanismes de protection essentiels | |
| Mesures de performance | Vulnérabilités | CVE connues détectées sur les actifs exposés et niveau de sévérité |
| Performances de mise à jour | Cadence de correction selon la criticité des vulnérabilités | |
| Indicateurs CTI | Présence dans des listes noires, adresses IP ou domaines compromis, fuites de données ou d'identifiants |
Ce double niveau de lecture permet d'adapter l'information aux différentes audiences. La direction générale peut suivre le score global, son évolution et le positionnement par rapport au secteur. Les équipes techniques peuvent, quant à elles, exploiter le détail des domaines d'analyse et les recommandations associées.
Ce que la notation cyber ne mesure pas
La notation cyber a un périmètre qu'il faut connaître pour bien l'utiliser. Comme elle repose sur des données publiques, elle ne peut pas rendre compte de l'ensemble des mesures de sécurité internes d'une organisation : déploiement d'un EDR, configuration des sauvegardes, gestion des privilèges, sensibilisation des collaborateurs, robustesse des processus de réponse à incident ou configuration détaillée de l'authentification multifacteur.
Elle ne remplace donc ni les audits approfondis, ni les questionnaires de sécurité, ni les tests d'intrusion. Elle les complète.
Dans une démarche de gestion des risques cyber fournisseurs, ou Third-Party Risk Management (TPRM), la notation apporte une surveillance externe régulière. Les questionnaires permettent d'obtenir des informations déclaratives et documentaires, tandis que les audits approfondissent les sujets les plus critiques. Confronter ce qu'un fournisseur déclare avec les éléments observables depuis internet constitue une approche plus robuste que de s'appuyer sur une seule source d'information.
Pourquoi la notation cyber est devenue un outil de pilotage
Un indicateur lisible pour le COMEX
La cybersécurité reste souvent difficile à présenter à une direction générale ou à un comité exécutif. Les indicateurs techniques, les volumes de vulnérabilités et les tableaux de suivi opérationnels ne permettent pas toujours de rendre compte simplement de l'évolution de la posture de sécurité.
Une note cyber ne résume pas à elle seule le niveau de sécurité d'une organisation. Elle peut toutefois constituer un indicateur de pilotage clair, comparable et compréhensible par des publics non techniques.
Pour un RSSI, cet indicateur peut notamment servir à :
- suivre l'évolution de la surface d'attaque externe dans le temps ;
- mettre en évidence les progrès ou les dégradations de la posture cyber ;
- comparer l'organisation à des acteurs de taille ou de secteur comparables ;
- hiérarchiser les actions de remédiation ;
- alimenter un reporting destiné au COMEX, au conseil d'administration ou aux assureurs ;
- objectiver les besoins d'investissement et les résultats des plans d'action.
Cette approche concerne aussi bien les PME et ETI que les grands groupes, les organisations publiques ou les entreprises cotées. Les enjeux et les volumes d'actifs diffèrent, mais la nécessité de disposer d'un indicateur fiable, compréhensible et suivi dans le temps demeure la même.
Comme l'explique Julien Steunou, Chief Product Officer de Board of Cyber :
« La notation cyber est un élément de décision important dans la gestion des risques. Pour un chef d'entreprise, bénéficier d'une évaluation et d'une présentation claire des performances cyber permet d'identifier des actions simples. »
Une réponse aux exigences réglementaires
Les organisations font face à une multiplication de textes visant à renforcer leur résilience numérique et leur capacité à maîtriser les risques liés aux tiers :
- NIS 2, qui renforce les exigences de cybersécurité pour certains secteurs et entités concernés ;
- DORA, relatif à la résilience opérationnelle numérique des entités financières et à la gestion de leurs prestataires TIC ;
- ISO/IEC 27001:2022, norme de référence pour les systèmes de management de la sécurité de l'information ;
- AI Act, règlement européen relatif à l'intelligence artificielle ;
- Cyber Resilience Act, qui fixe des exigences de cybersécurité pour certains produits comportant des éléments numériques ;
- RGPD, concernant la protection des données personnelles.
Ces textes n'imposent pas tous la même approche ni les mêmes obligations. Ils ont néanmoins un point commun : les organisations doivent pouvoir démontrer une gestion active de leurs risques, y compris lorsqu'ils concernent des prestataires, des fournisseurs ou des sous-traitants.
La notation cyber peut contribuer à cette démarche en fournissant des éléments factuels sur la surface d'attaque externe, en identifiant des signaux susceptibles de fragiliser la sécurité et en documentant l'évolution de la posture dans le temps. Elle ne rend pas une organisation conforme à elle seule, mais peut fournir des éléments utiles dans le cadre d'une démarche de conformité. Pour approfondir ce sujet, consultez notre cas d'usage améliorer sa conformité.
Un levier de confiance et de compétitivité
Le niveau de maturité cyber est désormais pris en compte dans un nombre croissant de décisions économiques : souscription ou renouvellement d'une assurance cyber, attribution d'un marché, référencement chez un donneur d'ordres, évaluation d'un fournisseur ou valorisation d'une entreprise avant acquisition.
Une organisation dont la posture cyber présente des signaux de faiblesse peut voir sa relation avec des clients, partenaires ou assureurs se complexifier. À l'inverse, une posture suivie et améliorée dans le temps peut soutenir une relation de confiance et démontrer la capacité de l'organisation à traiter les risques identifiés.
La notation cyber ne constitue donc pas seulement un outil de gestion des risques. Elle peut aussi devenir un facteur de réassurance et de différenciation auprès de l'écosystème de l'entreprise.
Les usages de la notation cyber : qui l'utilise et pourquoi ?
Piloter sa propre performance cyber
Le premier usage consiste à évaluer la posture cyber externe de l'organisation et de ses filiales. Cette démarche concerne aussi bien les PME et ETI que les grands groupes, y compris les entreprises du CAC 40 : toutes doivent pouvoir disposer d'une vision claire de leur exposition et suivre l'évolution de leur maturité cyber.
Le score fournit au RSSI un indicateur suivi dans le temps, un benchmark sectoriel et un support de reporting lisible par la direction, sans reformatage manuel.
La notation transforme ainsi des informations techniques en un indicateur de gouvernance compréhensible par tous, tout en donnant aux équipes opérationnelles les éléments nécessaires pour traiter les faiblesses identifiées.
Évaluer et surveiller ses fournisseurs
Dans le domaine des achats et de la gestion des risques fournisseurs, la notation cyber constitue un levier important du TPRM. Elle permet d'évaluer un grand nombre de tiers, d'identifier ceux qui nécessitent une investigation plus approfondie et d'alerter en cas de dégradation de leur posture externe.
Les questionnaires, audits, veilles et clauses contractuelles restent indispensables. Toutefois, une entreprise est elle-même le fournisseur de dizaines, voire de centaines d'autres organisations. Elle peut donc être soumise, tôt ou tard, à une demande d'évaluation cyber de la part d'un client, d'un partenaire ou d'un assureur.
Adopter une démarche proactive permet d'anticiper ces demandes, de traiter les points de faiblesse avant qu'ils ne deviennent bloquants et de mieux préparer les échanges avec les donneurs d'ordres. La notation contribue ainsi à structurer un dialogue continu avec les fournisseurs, en complément des méthodes d'évaluation du risque cyber fournisseur.
Assurance cyber : sensibiliser et accompagner les assurés
Dans le secteur de l'assurance, la notation cyber peut servir de levier de sensibilisation et d'amélioration continue auprès des assurés. Elle permet d'identifier certains risques externes et de guider les organisations vers des actions de remédiation concrètes.
Chez AXA France, par exemple, la notation cyber est utilisée pour aider les entreprises à mieux comprendre leur niveau d'exposition et à progresser durant la vie du contrat. Retrouvez le retour d'expérience de Thierry Piton, AXA France.
Private equity et M&A : la due diligence cyber
Les fonds d'investissement peuvent intégrer la notation cyber à leurs processus de due diligence. Puisqu'elle repose sur des données publiques, cette évaluation peut être réalisée sans accès au réseau interne de la cible. Elle fournit un premier niveau de visibilité sur sa surface d'attaque externe, ses vulnérabilités visibles et sa maturité cyber apparente.
Cette analyse peut éclairer l'évaluation d'une cible d'acquisition ou d'une participation. Une performance cyber insuffisante peut en effet révéler des coûts de remédiation, des risques opérationnels ou des besoins d'investissement complémentaires susceptibles d'influencer les conditions de l'opération.
Après l'acquisition, la notation facilite également le suivi consolidé du portefeuille et l'identification des entités qui doivent faire l'objet d'actions de sécurisation prioritaires. Cette démarche rejoint les pratiques décrites dans notre article sur la due diligence fournisseur.
Le témoignage de Samuel Bafourd, CIO du fonds d'investissement Seven2, illustre également l'intérêt d'une vision consolidée de l'exposition externe des participations afin d'en suivre la maturité cyber.
Secteurs régulés et administrations publiques
Dans les secteurs régulés et les administrations publiques, la notation cyber peut soutenir à la fois l'évaluation des partenaires, l'identification des faiblesses externes et la hiérarchisation des actions de sécurisation.
Les établissements financiers peuvent l'utiliser pour objectiver le risque cyber de leurs contreparties et alimenter leur gestion des prestataires TIC. Les collectivités et organismes publics peuvent s'en servir pour mieux hiérarchiser leurs actions, notamment lorsque les ressources humaines et budgétaires sont limitées.
Sept idées reçues sur la notation cyber
« C'est intrusif »
Non. La notation cyber externe repose sur des données accessibles publiquement et ne nécessite pas d'accès au système d'information de l'organisation évaluée. Il est toutefois essentiel de choisir une solution transparente sur son périmètre d'analyse et permettant de valider les actifs rattachés à l'organisation.
« C'est contraignant »
Une notation automatisée ne requiert généralement ni installation, ni déploiement d'agent, ni paramétrage technique côté organisation évaluée. Elle doit au contraire permettre aux équipes de consacrer davantage de temps à la remédiation des risques identifiés.
« Les résultats ne sont pas fiables »
Toute cartographie automatisée peut produire des erreurs de rattachement, par exemple lorsqu'un actif est confondu avec celui d'une organisation homonyme ou d'un ancien prestataire. Ce risque doit être traité par une validation du périmètre évalué et par des mécanismes de correction accessibles à l'organisation concernée.
« Il est impossible de passer à l'échelle »
Les questionnaires et audits manuels sont difficiles à déployer sur plusieurs centaines de fournisseurs. C'est précisément l'un des intérêts de la notation cyber : fournir une première évaluation homogène d'un large portefeuille de tiers et concentrer les investigations humaines sur les organisations les plus sensibles.
« La note est vite obsolète »
Une évaluation ponctuelle fournit effectivement une photographie à un instant donné. Les solutions qui actualisent régulièrement leur analyse permettent de mieux suivre l'évolution de la surface d'attaque externe. Chez Board of Cyber, Security Rating® met à jour les scores quotidiennement.
« Ce n'est pas utile à mon entreprise »
La notation cyber ne s'adresse pas uniquement aux grands groupes. PME, ETI, collectivités, entreprises cotées, assureurs, fonds d'investissement et administrations peuvent tous avoir besoin de comprendre leur exposition externe ou celle de leurs partenaires.
Toute organisation peut être ciblée par un attaquant et devenir, à son tour, un maillon de risque dans la chaîne d'approvisionnement de ses clients. Évaluer sa posture de manière proactive permet de mieux anticiper les demandes de ses partenaires et de traiter les faiblesses détectées avant qu'elles ne soient exploitées.
« C'est trop cher ou je n'ai pas le budget »
Le coût d'une évaluation doit être mis en regard du temps nécessaire pour réaliser des contrôles manuels, de la difficulté à suivre plusieurs fournisseurs et du coût potentiel d'un incident cyber. La notation cyber permet d'automatiser une partie des contrôles externes et de hiérarchiser les actions à mener.
Elle ne dispense pas des investissements de sécurité nécessaires, mais elle aide à les orienter vers les risques les plus visibles et les plus prioritaires.
Security Rating® : la notation cyber selon Board of Cyber
Board of Cyber accompagne déjà plus de 500 organisations privées et publiques dans l'évaluation et l'amélioration de leur posture cyber.
Security Rating® fournit une évaluation continue, automatisée et non intrusive de la surface d'attaque externe. La solution aide les organisations à identifier les actifs exposés, à suivre leur score, à détecter certains signaux de risque et à hiérarchiser les recommandations de remédiation.
Elle peut être utilisée pour évaluer sa propre organisation, ses filiales, ses fournisseurs, ses partenaires ou ses participations. Les tableaux de bord, rapports techniques et synthèses destinées au COMEX facilitent le partage de l'information avec les différents niveaux de gouvernance. Le benchmark sectoriel permet également de situer une organisation par rapport à des acteurs comparables.
Pour les programmes de gestion des risques cyber fournisseurs plus larges, les résultats de Security Rating® peuvent être complétés par Trust HQ®, la plateforme de gouvernance cyber et de gestion des risques tiers de Board of Cyber. Celle-ci permet notamment de structurer des campagnes d'audit, de collecter des preuves, de gérer des questionnaires et de suivre des plans d'action.
Les organisations qui souhaitent étendre l'évaluation au-delà de leur surface d'attaque externe peuvent également s'appuyer sur Rating +, qui réunit Security Rating®, AD Rating® et 365 Rating® afin d'offrir une vision consolidée de l'exposition cyber liée à l'infrastructure, à l'identité et aux environnements collaboratifs.
Pour découvrir l'évaluation de trois partenaires ou fournisseurs, il est possible de noter gratuitement trois fournisseurs.
Conclusion : de la note à la confiance
La notation cyber ne garantit pas l'absence d'incident et ne remplace pas les audits, tests d'intrusion ou démarches de conformité. Elle apporte toutefois une lecture structurée et exploitable de l'exposition externe d'une organisation.
Bien intégrée à une démarche de gestion des risques, elle aide les organisations à sortir de l'incertitude, à suivre l'évolution de leur surface d'attaque, à hiérarchiser leurs actions et à instaurer un dialogue plus factuel avec leurs fournisseurs, partenaires, assureurs et investisseurs.
La valeur d'une note ne réside donc pas uniquement dans le score obtenu. Elle réside dans la capacité de l'organisation à comprendre les risques observés, à corriger les faiblesses identifiées et à démontrer, dans la durée, l'amélioration de sa maturité cyber.
FAQ
Comment est calculée une note cyber ?
Une note cyber est calculée à partir de données observables depuis internet. L'évaluation comprend généralement la cartographie des actifs exposés, l'analyse de configurations techniques, la détection de vulnérabilités connues et l'identification de certains indicateurs de compromission. Les méthodes, les critères et la fréquence d'actualisation diffèrent selon les solutions. Security Rating® attribue un score de 0 à 1 000 et une note de A à E sur sept domaines d'analyse.
La notation cyber remplace-t-elle un audit de sécurité ou un pentest ?
Non. La notation cyber complète les audits et les tests d'intrusion, mais ne les remplace pas. Elle analyse la surface d'attaque externe à partir de données publiques, sans accéder au système d'information. Un audit ou un pentest permet d'examiner plus profondément les systèmes, les applications, les processus et les mécanismes de défense internes.
Pourquoi intégrer la notation cyber dans une démarche TPRM ?
La notation cyber permet d'apporter une donnée externe, factuelle et comparable à l'évaluation des fournisseurs. Elle aide à surveiller un portefeuille important de tiers, à identifier les organisations nécessitant un audit complémentaire et à détecter certaines dégradations de posture. Elle doit être combinée à des questionnaires, audits, clauses contractuelles et plans de remédiation.
Une bonne note cyber garantit-elle l'absence de cyberattaque ?
Non. Une bonne note indique que certains signaux de risque externes sont maîtrisés, mais elle ne mesure pas l'ensemble des défenses internes ni le facteur humain. Elle ne peut donc pas garantir l'absence d'incident. En revanche, elle aide à réduire certaines opportunités d'attaque en permettant d'identifier et de corriger des expositions visibles depuis internet.
