Oser : le risque de ne pas prendre de risque

« Osez !  Osons ! » Le thème des Assises 2026 a quelque chose de rassurant. Il donne à la cybersécurité une posture volontariste, presque conquérante. Mais le mot mérite qu'on s'y arrête, car il porte en lui une contradiction que notre métier connaît mieux que quiconque : oser, c'est prendre un risque. Ne pas oser, c'est parfois en prendre un plus grand encore.

Notre discipline s'est construite depuis vingt ans sur une méthode : identifier le risque, le mesurer, le réduire, l'éviter, le transférer. Une méthode nécessaire, indispensable même. Mais avons-nous suffisamment mesuré l'autre risque, celui qui ne figure dans aucune cartographie : le risque de l'immobilisme ?

Par Gabriela Belaid ,Directrice programmes numériques et cybersécurité à la Chambre nationale des commissaires de justice, ambassadrice Osez l'IA et Associée fondatrice / CISO de Stern Tech

Il n'existe pas de position neutre

Beaucoup pensent qu'il existe une troisième voie entre prendre un risque et ne pas en prendre : rester prudent, attendre, ne rien faire. Cette troisième voie n'existe pas. Ne pas choisir, c'est déjà choisir. Ne pas agir, c'est déjà agir — dans l'autre sens.

C'est exactement notre situation. Nous n'avons pas le choix entre prendre un risque et n'en prendre aucun. Nous avons le choix entre plusieurs risques. Migrer vers le cloud comporte un risque ; ne pas migrer en comporte un autre. Adopter l'IA comporte un risque ; laisser nos attaquants l'adopter plus vite que nous en comporte un plus grand. Refuser de décider n'est pas une position neutre : c'est déjà une décision, et souvent la plus coûteuse.

Entre la peur et la témérité

Aristote plaçait le courage entre deux excès : d'un côté celui qui a trop peur et fuit tout danger, de l'autre le téméraire qui s'expose sans discernement. Le courage, disait-il, consiste à savoir quels dangers méritent d'être affrontés.

C'est presque une définition du métier de RSSI. Le bon responsable cyber n'est pas celui qui supprime tous les risques — cet objectif n'existe pas — mais celui qui sait lesquels une organisation doit refuser, réduire, ou accepter pour continuer d'avancer. Une entreprise qui ne prend plus aucun risque est-elle encore une entreprise résiliente, ou simplement une entreprise paralysée ?

Enterrer, plutôt que perdre

Il existe, dans l'Évangile selon Matthieu, une parabole qui éclaire étrangement notre sujet : celle des talents. Un maître confie des biens à ses serviteurs. Deux les font fructifier, prenant le risque de les perdre. Le troisième, par peur, enterre ce qui lui a été confié. À son retour, le maître ne lui reproche pas d'avoir perdu — il n'a rien perdu. Il lui reproche de n'avoir rien fait.

Une donnée totalement inaccessible est parfaitement protégée. Un système éteint ne sera jamais piraté. Mais est-ce réellement ce que nous cherchons à construire ? À force de vouloir protéger ce qui nous est confié, ne risquons-nous pas, nous aussi, de finir par l'enterrer ?

L'audace quand le danger est déjà là

« De l'audace, encore de l'audace, toujours de l'audace. » La formule de Danton, prononcée le 2 septembre 1792, est tellement connue qu'elle en devient presque banale. Mais son contexte compte : il ne la prononce pas dans le confort, il la prononce alors que les armées ennemies ont déjà franchi la frontière.

C'est très exactement notre situation cyber en 2026. Nous ne sommes plus au stade de « osons-nous nous préparer ? » Les attaques sont là, massives, quotidiennes. La vraie question n'est plus si nous devons agir, mais ce que nous osons faire maintenant que le risque s'est déjà réalisé.

Un mot à double tranchant

Il faut aussi se méfier du mot « oser » lui-même. Les femmes le connaissent bien : osez candidater, osez négocier, osez prendre la parole, osez prendre votre place. Comme si la sous-représentation résultait d'abord d'un manque d'audace individuelle, plutôt que de conditions collectives à transformer. Oser ne suffit jamais si l'environnement ne permet ni d'essayer, ni d'échouer, ni de recommencer.

Cela vaut pour nos organisations tout autant. Demander à une équipe cyber d'« oser », sans lui donner les moyens, la gouvernance et le droit à l'erreur nécessaires, revient à transformer une exigence collective en injonction individuelle. Oser ne doit jamais devenir l'alibi de ceux qui ne créent pas les conditions permettant aux autres d'oser.

Décider malgré l'incertitude

Voilà donc, je crois, le véritable enjeu. Oser ne signifie pas rechercher le danger, ni l'ignorer. Oser signifie accepter qu'après avoir analysé, sécurisé et préparé tout ce qui pouvait l'être, une part d'incertitude demeurera toujours — et décider malgré elle.

La cybersécurité de demain ne sera peut-être pas celle qui nous permettra de ne plus jamais prendre de risque. Ce jour n'arrivera pas. Elle sera celle qui nous permettra, enfin, d'oser prendre les bons : expérimenter, échouer, recommencer, dire « je ne sais pas », remettre en cause une dépendance technologique, ralentir un projet qui crée une dette invisible, ou au contraire accélérer quand l'attente devient elle-même le danger.

Entre l'inconscience et l'immobilisme, il existe un espace. C'est celui du courage.

Et peut-être qu'au fond, la formule la plus juste n'est pas « qui ne risque rien n'a rien ». C'est plutôt ceci : qui n'a jamais osé n'a peut-être jamais perdu. Mais il n'a probablement jamais gagné non plus.