Comment le secteur SLED peut prendre l'avantage en cybersécurité grâce à l'IA agentique

Les organisations du secteur SLED n'ont jamais été conçues comme des entités unifiées. Les organismes, les services et les campus acquièrent leurs outils de manière indépendante, souvent au fil des décennies, chacun répondant isolément à un problème spécifique. Il en résulte un environnement de sécurité complexe, composé de multiples plateformes, de systèmes hérités et de technologies présentant différents niveaux de maturité. Cette complexité limite l'interopérabilité au sein de la pile technologique et la collaboration entre les équipes. Autrefois simple désagrément, cette fragmentation constitue désormais un risque structurel.

Chaque semaine, 66 % des SOC perdent une journée entière à regrouper manuellement des données issues d’outils cloisonnés.⁴ Alors que les attaquants peuvent réaliser un mouvement latéral en moins de 30 minutes,² les heures passées à concilier les différentes consoles représentent des heures d’exposition au risque. Un événement isolé raconte rarement toute l’histoire. Les attaquants effectuent souvent de nombreuses petites actions qui semblent inoffensives prises individuellement, mais deviennent suspectes une fois corrélées.

Un SOC agentique utilise des agents d'IA pour exécuter des tâches de sécurité en plusieurs étapes : corréler les alertes, recueillir des informations contextuelles, examiner les entités et préparer des plans de réponse. Contrairement à l'automatisation traditionnelle, qui repose sur un ensemble de règles fixes, les agents peuvent raisonner à partir d'informations évolutives et s'adapter à mesure que l'investigation progresse.

Cette autonomie ne signifie pas pour autant écarter les analystes du processus. Un SOC agentique laisse aux humains le contrôle des décisions importantes tout en réduisant le travail manuel nécessaire pour les prendre. Un point essentiel pour toute organisation qui doit rendre des comptes à un conseil d'administration, un conseil municipal ou une commission législative. L'adoption dépasse déjà le stade de l'expérimentation. En 2026, huit États ont indiqué utiliser des outils d'IA agentique en production.⁵

Le SOC agentique d’Elastic repose sur un modèle dans lequel l'humain reste aux commandes. Les agents corrèlent les alertes, examinent les entités et préparent des plans de réponse tout au long du cycle de vie des menaces. Avant d'intervenir, par exemple pour isoler un hôte ou désactiver un compte, l'agent présente son plan et attend l'approbation de l'analyste. Chaque décision est documentée afin de permettre aux équipes de retracer le raisonnement. Au lieu de commencer leur journée face à une avalanche d'alertes brutes, les analystes disposent d'une liste ciblée de menaces déjà examinées et enrichies d'informations contextuelles. Une équipe restreinte peut ainsi disposer d'une capacité comparable à celle d'une équipe bien plus importante.

Les responsables de la sécurité à l'échelle locale et régionale font face à différentes variantes d'un même problème. Le directeur des systèmes d'information (DSI) ou le responsable de la sécurité des systèmes d'information (RSSI) d'un État peut se concentrer sur la cyberdéfense à l’échelle de l’État, les services partagés et la protection de dizaines d'organismes. Les administrations locales s'appuient souvent sur de petites équipes informatiques polyvalentes, qui doivent assurer en permanence la continuité des services essentiels.

L'écart de maturité entre ces environnements reste important. Dans l'enquête menée auprès des RSSI des États, aucun ne s'est déclaré très confiant dans les pratiques de cybersécurité des administrations locales, et 43 % se sont dits peu confiants. Si 88 % des RSSI des États supervisent un SOC à l'échelle de leur organisation, seuls 12 % participent à un SOC régional qui mutualise les ressources de cybersécurité entre les organismes et les administrations locales.³

L'IA agentique ne peut pas remplacer les ressources manquantes, mais elle peut renforcer les capacités et l'expertise existantes en accélérant la corrélation, le triage, l'investigation et la réponse.

L’Employment Development Department de Californie gère plus de 850 milliards d’enregistrements sur près de 3000 serveurs avec une équipe de sécurité de 60 personnes, et a réduit son temps moyen de réponse de 99 % grâce à Attack Discovery d’Elastic. Lire le témoignage complet →

L’Arizona Department of Homeland Security représente l’autre extrémité du spectre : une équipe restreinte qui gère 12 téraoctets de logs quotidiens et utilise des alertes prédéfinies pour passer d’une approche réactive à une approche proactive sans augmenter ses effectifs. Lire le témoignage complet →

Qu'une équipe compte 60 analystes ou seulement trois, le problème de fond reste le même. Dans les deux cas, l'IA n'a pas remplacé les analystes. Elle leur a permis de gagner du temps en automatisant les tâches répétitives, en fournissant davantage de contexte et en accélérant les investigations.

La Vrije Universiteit Brussel gère l’ensemble de son opération de sécurité avec trois ingénieurs couvrant 64 milliards d’événements sur plus de 300 points de terminaison et identifie un serveur DHCP malveillant perturbant le réseau en quelques minutes plutôt que en quelques jours. « Elastic permet à une très petite équipe d’opérer une surveillance de sécurité à l’échelle universitaire », explique Xavier Tomaszynski, consultant en TIC en sécurité réseau. Lisez l’article complet →

Le Texas A&M University System fonctionne à une tout autre échelle, couvrant 11 universités, huit agences gouvernementales et plus de 153 000 étudiants. Même à cette échelle, les investigations sur les menaces qui prenaient auparavant des mois peuvent désormais être menées en deux heures seulement. Lire l’histoire complète →

De plus en plus d'établissements intègrent également des étudiants à leurs opérations de sécurité dans le cadre de programmes universitaires. Mais pour permettre aux étudiants de contribuer efficacement aux activités d'un SOC, il fallait jusqu'ici plusieurs mois d'expérience et de formation. L'IA agentique change la donne. En leur fournissant des dossiers déjà contextualisés, analysés et priorisés, l'IA permet aux analystes moins expérimentés de se concentrer sur l'examen des résultats, la prise de décision, l'apprentissage et la réponse, plutôt que de passer leur temps à rassembler les pièces du puzzle.

Dans le secteur public comme dans l'enseignement, l'approche la plus pertinente de la cybersécurité basée sur l'IA reste la même : connecter les données de sécurité pour les enrichir de contexte sans les éloigner de ceux qui en sont responsables, puis s'appuyer sur l'IA pour réduire la charge de travail manuel.

L'architecture de maillage de données d'Elastic offre une visibilité globale sur les environnements cloud, hybrides et sur site, sans centraliser les données sensibles. Pour les organismes soumis à des exigences de résidence des données ou opérant dans des environnements très restrictifs, il s'agit d'un prérequis, et non d'un simple détail technique.

La transparence est essentielle lorsque les organismes délèguent des décisions de sécurité à des agents d'IA. Les recommandations communes sur l'IA de l'alliance Five Eyes, qui réunit les États-Unis, le Royaume-Uni, le Canada, l'Australie et la Nouvelle-Zélande, soulignent la nécessité d'assurer une visibilité opérationnelle. Les humains doivent comprendre ce que font les agents, pourquoi ils le font et quelle est l'intention derrière chaque action.⁷ Cette exigence s'applique aussi bien à un conseil municipal ou au conseil d'administration d'une université qu'à un organisme public national. La transparence et la responsabilité sont indispensables pour instaurer la confiance dans un modèle d'IA agentique.

Les standards ouverts et les architectures interopérables sont tout aussi essentiels : ils évitent la dépendance vis-à-vis d'un fournisseur et offrent la flexibilité nécessaire dans les environnements complexes. Fondé sur l'open source et les standards ouverts, Elastic favorise l'interopérabilité et s'intègre aux outils existants. Les organisations peuvent ainsi préserver leurs investissements sans avoir à remplacer leurs solutions en place.

Un organisme public de 60 personnes, une petite équipe de sécurité d'un État, un SOC universitaire de trois personnes et un système regroupant 11 universités opèrent à des échelles radicalement différentes. Pourtant, tous ont fait le même choix. Miser sur les fondations de données pour résoudre le problème, plutôt que d'ajouter un outil ponctuel de plus à une pile déjà fragmentée. Le délai de 29 minutes avant un mouvement latéral ne va pas s'allonger. Les organisations capables de réagir en quelques minutes sont celles qui ont commencé par résoudre le problème des données.

Découvrez comment renforcer vos fondations de données pour une sécurité basée sur l'IA dans le guide de la cybersécurité du secteur public.