REACTIV
Le 7 septembre 2026, l’ANSSI a annoncé la création de REACTIV.
Cela veut dire « REponse & ACTion Interministérielle face aux Violations de données ». C’est le Premier ministre qui l’a demandé, après la série de fuites dans les administrations cet été.
Deux nouveautés. L’ANSSI peut maintenant obliger un ministère à prendre des mesures dans des délais contraints. Et c’est elle qui centralise la communication technique pendant la crise.
C’est une bonne chose. Mais regardez le nom : REACTIV. Pas ANTICIP, pas PREVENT.
Ça m’a fait penser à un film.
Si on était dans Minority Report
Dans le film, la police sait qu’un meurtre va avoir lieu. Le nom du coupable, la victime, l’heure, le lieu. Elle va cueillir l’assassin avant qu’il ne fasse quoi que ce soit. Le crime n’arrive jamais.
Transposez chez nous.
On saurait qu’une attaque va toucher telle entreprise jeudi prochain. On irait chercher les pirates la veille, chez eux. Pas de fuite, pas de cellule de crise, pas de rançon. Notre métier disparaîtrait.
Sauf que ce n’est pas notre monde. Et il y a trois raisons.
On ne sait pas qui va attaquer. Un balayage automatique tape sur tout ce qui a une adresse publique. Votre PME est scannée aujourd’hui, sans que personne ne sache qui vous êtes.
Même si on savait, on n’irait nulle part. Le pirate est à trois mille kilomètres, dans un pays qui ne répondra jamais à une commission rogatoire. Parfois il est payé par ce pays. Le policier du film a une compétence territoriale sur son assassin. Nous, aucune.
Et on n’arrête pas un balayage. On ferme sa porte.
Donc non, on n’ira jamais cueillir personne avant l’attaque.
Mais on devine quand même
Attention, je ne dis pas qu’on ne voit rien venir. Ce serait faux.
On ne devine pas qui va attaquer. On devine qu’une attaque est en train de commencer. Et ça change tout.
Un compte qui se connecte depuis Paris à 9h00 et depuis Hanoï à 9h05. Un serveur qui se met à parler à une adresse qu’il n’a jamais contactée en six ans. Cinquante échecs d’authentification en une minute à 4h du matin. Un poste bureautique qui lance soudain des commandes d’administration.
Pris séparément, chacun de ces signaux ne veut rien dire. Corrélés, ils deviennent une alerte.
C’est ça, l’heuristique. Ce n’est pas de la prédiction, c’est de la détection très tôt.
Et la fenêtre existe vraiment. Entre le moment où le pirate entre et celui où il chiffre vos données, il se passe souvent plusieurs jours. Il explore, il cherche vos sauvegardes, il vole des mots de passe. C’est dans cette fenêtre que tout se joue. Si vous la voyez, vous n’aurez jamais de crise. Si vous ne la voyez pas, vous m’appellerez à 22h00.
C’est ce que nous faisons avec Olerion.
Mes deux métiers
Parce que de ce côté de la porte, il y a deux façons de travailler. Je fais les deux.
La sécurité préventive. Cartographier ce qui est exposé. Corriger avant que quelqu’un trouve. Mettre du double facteur. Supprimer le compte du prestataire parti il y a deux ans. Expliquer pour la sixième fois pourquoi le mot de passe du serveur de sauvegarde ne peut pas être le même que celui de la messagerie.
La sécurité en réponse à incident. Le téléphone à 22h00. Un dirigeant, une voix blanche, des fichiers chiffrés. On isole, on comprend, on reconstruit, on rassure. On y passe la nuit et souvent le week-end.
Le mode pompier est plus fun
La réponse à incident est plus gratifiante que la prévention. Largement.
Il y a l’adrénaline. Il y a surtout le fait que ça se voit. À 3h du matin, quand le premier serveur redémarre propre, tout le monde dans la pièce sait ce que vous venez de faire. On vous remercie. On vous en reparle six mois après.
La prévention, elle, ne produit rien. Quand elle marche parfaitement, il ne se passe rien. Aucune histoire, aucun remerciement. Vous avez passé trois jours à durcir une configuration, et le seul retour c’est l’utilisateur qui râle parce qu’il a une étape de connexion en plus.
Celui qui a évité trois incidents n’a rien à montrer en réunion. Celui qui a géré une crise a une histoire, des chiffres, et l’année suivante un budget augmenté.
On a construit un métier où l’échec bien géré rapporte plus que la réussite silencieuse.
Faut-il être pyromane pour être pompier ?
C’est la question que je me pose.
Que les choses soient claires : personne dans ce métier n’allume d’incendie. Ce n’est pas le sujet.
Le sujet est ailleurs, et il est plus gênant. On vit des incendies. Pas de leur déclenchement, de leur existence. Un monde sans attaque informatique serait un monde sans nous. Une entreprise qui n’a jamais rien subi ne signera jamais un contrat d’audit.
Regardez comment la sécurité se vend. Elle se vend à la peur. Un article sur une grosse fuite fait plus de rendez vous que dix ans de bonnes pratiques. Chaque cyberattaque médiatisée est une campagne de pub gratuite pour tout le secteur. Moi compris.
Regardez surtout comment les budgets se débloquent. Je n’ai jamais vu une entreprise investir sérieusement dans la prévention avant d’avoir été touchée. Jamais. Le budget ne se vote pas après une démonstration de risque, il se vote après le sinistre.
Donc l’incendie est le seul argument commercial qui marche vraiment.
Et je vends les pompiers aussi
Autant être complètement transparent.
Dans mon offre de prévention, je vends aussi une cellule CERT / CSIRT. Donc oui, je vous vends les pompiers en même temps que les extincteurs.
Parce qu’on est réaliste. Vous serez touché un jour. La prévention fait baisser la probabilité et les dégâts, elle ne les supprime pas. Prétendre le contraire serait malhonnête.
Ce qui veut dire que je suis juge et partie dans ce débat. Vous pouvez me le reprocher, c’est légitime.
Ma réponse honnête à la question du pyromane : non, on n’allume rien. Mais on n’a plus vraiment intérêt à ce qu’il n’y ait plus de feu.
Ce n’est pas pareil que d’être malhonnête. Mais ce n’est pas neutre non plus.
Et l’État fait pareil
Les fuites de cet été n’avaient rien d’imparable. Des interfaces mal paramétrées, des contrôles d’accès absents, des données accessibles à qui sait changer un numéro dans une adresse.
Ce ne sont pas des exploits d’un service étranger. C’est du défaut d’hygiène. Donc exactement ce que la prévention traite.
Et la réponse s’appelle REACTIV.
Je précise : je trouve que c’est une bonne décision. Pendant quinze ans on a dit que la prévention suffirait. Elle n’a pas suffi. Le reconnaître, c’est arrêter de mentir sur le risque qu’on accepte vraiment. Le plan comporte d’ailleurs aussi du double facteur généralisé et un programme de prime aux failles, deux mesures de prévention pures. Elles ont juste fait moins de titres que la cellule de crise.
Ce qui me gêne est ailleurs.
Le pouvoir d’imposer des mesures à un ministère n’existe qu’après la violation. Si la contrainte est acceptable une fois que les données sont parties, pourquoi elle ne l’est pas tant qu’elles sont encore là ?
On a décidé qu’on ne force personne à fermer sa porte, mais qu’on autorise les pompiers à défoncer le mur une fois le feu déclaré.
Et vous, dirigeants de PME ?
L’État vient de se donner une capacité de réaction. Des équipes, un pouvoir de contrainte, une communication de crise organisée. Vous, vous n’avez rien de tout ça.
Il n’y a pas de REACTIV pour votre entreprise.
Un ministère encaisse. Une PME de 40 personnes qui perd sa production et ses sauvegardes le même jour ne se relève pas toujours. J’en ai vu.
Donc chez vous, anticiper ou réagir n’est pas un débat d’idées. La prévention est la seule partie que vous contrôlez vraiment. Et elle ne coûte pas très cher : des sauvegardes testées, du double facteur, les comptes des anciens salariés supprimés, les mises à jour faites. Ce n’est pas un projet à six chiffres, c’est de l’hygiène.
Ça, aucun commercial ne viendra vous le vendre. Ça ne rapporte rien.
Pour aller plus loin
- Le communiqué de l’ANSSI sur REACTIV, 7 septembre 2026
- cyber.gouv.fr, le site de l’ANSSI
- Le CERT-FR, alertes, avis et bulletins d’actualité
- Le guide d’hygiène informatique de l’ANSSI, par où commencer
- Cybermalveillance.gouv.fr, si vous êtes déjà victime