Gouverner l'exposition numérique permanente. Cinq décisions, une grille de lecture.
Les politiques publiques engagées en 2026 renforcent les capacités techniques, organisationnelles et de gestion de crise de l'État, et documentent ses dépendances numériques. Cette note propose la pièce complémentaire : un instrument d'arbitrage explicite au niveau dirigeant, pour décider lucidement de l'exposition, des dépendances, des seuils et des droits d'action.
Le paysage de la menace numérique qui pèse sur la sphère publique et sur les organisations s'est recomposé.
Le Panorama de la cybermenace 2025 de l'ANSSI établit une stabilité du nombre d'incidents traités d'une année civile à l'autre, 1 366 en 2025 contre 1 361 en 2024, et une évolution marquée de leur composition : les exfiltrations de données progressent de 51 %, le rançongiciel recule, et quatre secteurs concentrent les trois quarts des incidents traités : l'éducation et la recherche, les ministères et les collectivités, la santé, les télécommunications.
Parmi les incidents majeurs documentés des derniers mois, un motif revient : le détournement d'un accès ou d'une habilitation légitime. Deux cas, établis par des sources officielles, en donnent la mesure ; un troisième illustre l'ampleur des concentrations en jeu.
La CNIL a sanctionné France Travail de 5 millions d'euros le 22 janvier 2026 pour manquements à la sécurité des données : authentification insuffisante, journalisation déficiente, habilitations d'accès définies trop largement. La décision établit l'écart entre des mesures identifiées et leur mise en œuvre. Cette note y lit l'enjeu central de gouvernance : transformer la connaissance du risque en décision tenue.
La Direction générale des Finances publiques a confirmé le 13 août 2026 des accès illégitimes intervenus en juin et en juillet, obtenus par usurpations d'identifiants d'un agent et d'un tiers habilité. Ces accès ont permis la consultation et l'extraction de données concernant 678 000 particuliers et professionnels, incluant des données fiscales et cadastrales. En février déjà, la DGFiP avait confirmé des accès illégitimes au fichier national des comptes bancaires : à compter de la fin janvier 2026, l'usurpation des identifiants d'un fonctionnaire disposant d'accès au titre de l'échange d'information entre ministères avait permis la consultation d'une partie du fichier, concernant environ 1,2 million de comptes.
France Titres a fait l'objet, selon le point officiel du Gouvernement, d'un incident de sécurité détecté le 15 mars 2026 exposant potentiellement 11,7 millions de comptes du portail des démarches liées aux titres : immatriculation, permis de conduire, titres d'identité. Les investigations se poursuivent. Ce cas rend visible l'effet d'échelle associé à la concentration de millions de comptes au sein d'un même portail.
L'étendue de ce qu'un accès légitime peut ouvrir.
Ce qui est confié à un tiers, et sous quel contrôle continu.
Le volume massé dans un même service ou chez un même prestataire.
Ces cas révèlent trois formes distinctes d'exposition liées à des arbitrages antérieurs. Chaque incident rend visibles les conséquences d'arbitrages restés implicites, insuffisamment révisés ou insuffisamment exécutés.
La réponse publique s'est structurée : stratégie nationale de cybersécurité publiée en janvier 2026, plan d'action de l'État du 30 avril 2026 doté de 200 millions d'euros, création annoncée d'une autorité numérique de l'État, rapport de la commission d'enquête de l'Assemblée nationale sur les dépendances numériques adopté le 8 juillet 2026. Ces mesures renforcent les capacités techniques, organisationnelles et de gestion de crise, et documentent les dépendances. La présente proposition leur ajoute un instrument d'arbitrage explicite au niveau dirigeant. La question qu'il adresse : qui décide de l'exposition, selon quels seuils, sous quelle autorité.
L'exigence de protection demeure ; la gouvernance de l'exposition devient une capacité permanente.
L'exposition numérique est devenue une condition permanente de fonctionnement des institutions publiques comme des organisations privées. Cette voie repose sur un déplacement simple : la maîtrise revient à la décision. Une organisation maîtrise ce qu'elle décide d'exposer, de concentrer, de déléguer, et ce qu'elle refuse de déléguer. La technique protège et alerte ; la décision fixe l'exposition acceptable et le périmètre dans lequel la technique opère.
Le cadre porte sur deux versants d'une même réalité : ce que l'organisation détient, et ce qu'elle tient pour vrai. Les données détenues nourrissent l'usurpation, et ce qui circule d'un côté alimente la fabrication de l'autre. Ces deux versants ont été posés en juin 2026 sous le nom de périmètre d'exposition décisionnelle ; la présente note en développe la traduction pour les institutions publiques et les organisations.
Ce que l'organisation accepte de détenir et de concentrer, et au nom de quoi.
Ce qu'elle délègue à des tiers, avec quelles conditions de contrôle continu et de réversibilité.
Le périmètre maximal qu'un accès ou un droit d'action peut ouvrir, que ce droit soit porté par une personne ou par un système automatisé.
Les seuils qui déclenchent un arbitrage dirigeant ou l'application des obligations de suspension, de notification et d'information.
L'autorité habilitée à poursuivre, interrompre et reprendre une activité exposée.
L'arbitrage choisi, assumé et consigné comme volonté délibérée.
Le niveau à partir duquel une décision s'impose, défini à l'avance et hors pression.
L'indicateur qui révèle une décision absente et une exposition subie.
Ces décisions existent de fait. Dans de nombreuses organisations, elles restent implicites, dispersées entre fonctions techniques, juridiques et opérationnelles, et arbitrées au moment de l'incident, sous pression. L'autre voie consiste à les rendre explicites, consignées et arbitrées avant l'incident, au niveau où la responsabilité s'exerce. L'outil instruit ; le dirigeant tranche.
L'État dispose déjà d'instruments de sécurité et de gouvernance : agences, homologations, cartographies des risques, dispositifs de notification. La proposition s'insère dans cet existant et le complète par la couche décisionnelle.
Pour chaque service essentiel, les ministères et les opérateurs consignent, dans leur dispositif de gouvernance existant, trois objets : les dépendances critiques, en particulier les concentrations de données et les tiers dont dépend la continuité du service ; les seuils qui appellent un arbitrage au niveau de direction ; l'autorité responsable de la décision de poursuivre, de suspendre et de reprendre.
Un document court, tenu au niveau de direction, qui consigne pour chaque domaine la décision posée, le seuil fixé et le signal surveillé, avec son autorité, son échéance d'exécution, la preuve attendue et son intervalle de révision.
Trois effets sont recherchés. Les arbitrages sont portés au niveau de responsabilité approprié. Les dépendances deviennent visibles avant l'incident, ce qui éclaire la relation aux prestataires, aux éditeurs et aux plateformes mutualisées. La communication de crise peut s'appuyer sur des décisions antérieures et documentées, au service de la confiance publique.
Le même cadre s'applique aux organisations privées : mêmes cinq décisions, même grille de lecture, même instrument, porté par le conseil d'administration ou le comité exécutif.
Le cadre a été publié en juin 2026 sous le titre « Décider à découvert. Le périmètre d'exposition décisionnelle ». Il pose les deux versants qui le structurent : ce que l'organisation détient, et ce qu'elle tient pour vrai.
Source : ANSSI, Panorama de la cybermenace 2025, publié en mars 2026. Comparaison des années civiles 2025 et 2024, tous secteurs confondus.
Panorama de la cybermenace 2025, cyber.gouv.fr · CERT-FR, CERTFR-2026-CTI-002
France Travail. Sanction de 5 millions d'euros prononcée par la formation restreinte de la CNIL le 22 janvier 2026, assortie d'une astreinte, pour manquements à la sécurité des données à la suite d'une violation survenue début 2024 par usurpation de comptes habilités : authentification insuffisante, journalisation déficiente, habilitations d'accès définies trop largement.
Direction générale des Finances publiques. Communiqué du 13 août 2026, actualisé : accès illégitimes intervenus en juin et juillet 2026, reposant sur des usurpations d'identifiants d'un agent de la DGFiP et d'un tiers habilité ; consultation et extraction de données concernant 678 000 particuliers et professionnels, incluant revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN pour les entreprises, ainsi que des données cadastrales ; saisine de la CNIL, dépôt de plainte annoncé, mobilisation de l'ANSSI, information individuelle des personnes concernées. Les espaces usagers et leurs identifiants sont indemnes.
Communiqué du ministère · Actualité impots.gouv.fr
Le fichier national des comptes bancaires (FICOBA) avait fait l'objet d'accès illégitimes à compter de la fin janvier 2026, par usurpation des identifiants d'un fonctionnaire disposant d'accès au titre de l'échange d'information entre ministères ; la consultation concernerait 1,2 million de comptes selon la DGFiP ; incident notifié à la CNIL et ayant fait l'objet d'un dépôt de plainte.
Publication officielle DGFiP, publiée le 18 février 2026, mise à jour le 3 mars 2026
France Titres (ANTS). Point officiel du Gouvernement : incident de sécurité détecté le 15 mars 2026, exposant potentiellement 11,7 millions de comptes du portail des démarches liées aux titres, immatriculation, permis de conduire et titres d'identité ; investigations en cours. Ce cas documente la concentration d'exposition.
Stratégie nationale de cybersécurité, SGDSN, janvier 2026.
Plan d'action pour renforcer la protection numérique de l'État, 30 avril 2026 : 200 millions d'euros, autorité numérique de l'État, renforcement des capacités techniques, organisationnelles et de gestion de crise.
Rapport sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l'indépendance de la France, n° 3054, déposé le 8 juillet 2026 et publié le 15 juillet 2026.
Proposition de résolution sénatoriale du 5 mai 2026 tendant à la création d'une commission d'enquête sur les cyberattaques et la souveraineté numérique, incluant l'évaluation des dépendances de l'État et des opérateurs stratégiques.
Parmi les incidents majeurs documentés de la période, un motif revient : le détournement d'un accès ou d'une habilitation légitime. Les agents d'intelligence artificielle peuvent recevoir des accès, des outils, une durée d'autonomie et des droits d'action. Leur périmètre d'autonomie constitue une exposition créée par délégation, qui se décide, se consigne et se révise. La troisième décision du cadre couvre ce cas dès aujourd'hui : le périmètre maximal qu'un droit d'action peut ouvrir se fixe au même titre, que ce droit soit porté par une personne ou par un système automatisé. Le même instrument consigne l'exposition subie et l'exposition créée par délégation.
Document librement transmissible dans sa version intégrale et non modifiée. Toute citation ou reprise partielle mentionne l'auteur, le titre, la date, la version et l'URL de référence. Toute adaptation est distinctement présentée comme telle et ne constitue pas une version de référence de VEIA.AI.
Christophe Picou, fondateur de VEIA.AI, cabinet de conseil stratégique indépendant, France et Suisse.
Version de référence : https://www.veia.ai/note-gouverner-exposition-numerique.html
Cadre d'origine : publication-decider-a-decouvert.html
Contact : contact@veia.ai
Version 1.3, 6 pages, PDF. La note est adressée après échange, en réponse à votre demande.
Demander la noteQuinze à vingt minutes pour échanger sur ce sujet appliqué à votre organisation.