Cadre RSR : Risque, sécurité et résilience
Une approche stratégique pour les pouvoirs publics et les villes intelligentes
Xavier Mongin
Stratège et spécialiste de l'accélération du chiffre d'affaires — Age of Intelligence
Table des matières
Le cadre RSR s’appuie sur des travaux initialement conçus et développés par l’auteur en 2023 sous le nom de « cadre RRS », alors qu’il travaillait chez Alcatel-Lucent Enterprise, où ils avaient été initialement publiés sous la forme d’un article de blog et d’un livre blanc. Il a été rebaptisé, repensé et considérablement mis à jour afin de refléter toute l’étendue du marché actuel.
Introduction : Un monde sous pression
Les conflits au Moyen-Orient ont pris une nouvelle dimension, dans laquelle les opérations cybernétiques, les campagnes de désinformation et le sabotage des infrastructures sont désormais des outils à part entière de la guerre, au même titre que la force militaire conventionnelle.
En Europe, la guerre en Ukraine — qui en est désormais à sa quatrième année — ne semble pas près de trouver une issue, ayant créé un nouveau précédent dans lequel les réseaux électriques, les hôpitaux et les réseaux de communication sont systématiquement pris pour cibles en tant qu’objectifs stratégiques.
Nous vivons à une époque marquée par des crises multiples. Les gouvernements et les collectivités locales sont confrontés à une convergence sans précédent de menaces : cyberattaques, rançongiciels, attaques DDoS, pannes d’infrastructures, pandémies, catastrophes naturelles, terrorisme, vandalisme, tensions géopolitiques et montée de l’extrémisme. Pour aggraver ces risques, les écosystèmes cybercriminels — notamment les places de marché du dark web, les forums criminels, les canaux de communication cryptés et d’autres réseaux illicites en ligne — continuent de faciliter, de coordonner et d’amplifier les attaques contre les institutions publiques.
Cette réalité exige une réponse structurée, globale et proactive. C’est précisément l’objectif du cadre RSR (Risque, Sécurité et Résilience), qui offre aux gouvernements, aux institutions publiques et aux villes intelligentes une méthodologie cohérente pour protéger ce qui compte le plus.
Qu'est-ce que le cadre RSR ?
Le cadre RSR repose sur trois piliers fondamentaux :
- Risque: probabilité qu’un danger cause un préjudice à une organisation, à ses services ou à ses parties prenantes.
- Sécurité: l’ensemble des mesures actives mises en œuvre pour protéger les infrastructures, les données, les citoyens et les institutions contre les risques identifiés — qu’il s’agisse de menaces cybernétiques ou physiques.
- Résilience: la capacité à garantir la continuité des activités et des opérations lorsque les mesures de sécurité ne suffisent pas à elles seules à prévenir les perturbations.
Ces trois dimensions forment une séquence logique et causale. Les risques sont identifiés et évalués. Des mesures de sécurité sont mises en place pour se prémunir contre ces risques. Et lorsque la sécurité s’avère insuffisante, la résilience garantit la poursuite des activités de l’organisation. Chaque pilier dépend du précédent, ce qui rend ces trois éléments indissociables.
Les risques sont de plus en plus interdépendants
L’enquête du Forum économique mondial sur la perception des risques mondiaux met en évidence un phénomène central : les risques ne se manifestent plus de manière isolée. Ils forment des systèmes interdépendants qui se renforcent mutuellement.
Six grandes catégories de risques sont en interaction constante :
- Risques technologiques — cyberattaques, obsolescence des systèmes, pannes de réseau
- Risques environnementaux — catastrophes naturelles, crises climatiques
- Risques géopolitiques — conflits, tensions internationales, espionnage d’État
- Risques sociétaux — troubles civils, polarisation politique, pandémies
- Risques économiques — crises financières, perturbations de la chaîne d’approvisionnement
- Risques liés à l’information — désinformation, fausses informations, opérations d’influence et manipulation délibérée du discours par des acteurs étatiques et non étatiques
L’effet domino est désormais la norme. Une cyberattaque peut paralyser un réseau de transport et priver les citoyens de l’accès aux services d’urgence. Un conflit militaire au Moyen-Orient, menaçant le détroit d’Ormuz, peut instantanément perturber l’approvisionnement énergétique mondial, faire grimper l’inflation à l’échelle internationale et provoquer des chocs économiques ressentis dans des villes situées à des milliers de miles de là. C’est ce que l’on appelle le risque systémique — et c’est précisément la raison pour laquelle les approches cloisonnées en matière de sécurité ne suffisent plus.
Les dépendances numériques : un défi croissant
La transformation numérique des villes et des administrations publiques a considérablement accru leur exposition aux risques. Les réseaux et systèmes de communication modernes sont à la base de fonctions essentielles — communications d’urgence, gestion du trafic, vidéosurveillance, contrôle des bâtiments, services aux citoyens — et toute défaillance peut avoir des conséquences immédiates et de grande ampleur.
Trois facteurs de risque majeurs pèsent sur ces infrastructures :
- L’obsolescence du matériel et des logiciels, qui engendre des vulnérabilités exploitables
- Les défaillances techniques et les incidents qui menacent la continuité du service
- Les cyberattaques ciblées, dont la sophistication et la fréquence ne cessent d’augmenter
Dans ce contexte, le cadre RSR devient indispensable pour les institutions et les villes qui souhaitent garantir :
- Un fonctionnement fiable en toutes circonstances
- La sécurité des civils dans les espaces publics et sur les canaux numériques
- Protection institutionnelle contre les menaces tant internes qu’externes
- Maîtrise des risques financiers liés aux incidents et aux violations de sécurité
- La préservation de la réputation aux yeux des citoyens et des partenaires
- Conformité avec l’objectif de développement durable n° 11 des Nations unies — des villes inclusives, sûres, résilientes et durables
Les trois piliers fondamentaux du cadre RSR
La transformation numérique des villes et des administrations publiques a considérablement accru leur exposition aux risques. Les réseaux et systèmes de communication modernes sont au cœur de fonctions essentielles — communications d’urgence, gestion du trafic, vidéosurveillance, contrôle des bâtiments, services aux citoyens — et toute défaillance peut avoir des conséquences immédiates et de grande ampleur.
Trois facteurs de risque majeurs pèsent sur ces infrastructures :
1. Sécurité des citoyens
La sécurité des citoyens englobe l’ensemble des aspects de la protection publique : de la criminalité, de la violence, du terrorisme et des troubles civils à la sécurité routière, à la préparation aux situations d’urgence, à la santé et à la sécurité, ainsi qu’à la sécurité numérique. La sécurisation des communications entre les institutions et les citoyens, la protection des espaces publics et la protection des données des citoyens s’inscrivent toutes dans un même continuum.
Concrètement, cela implique le déploiement de plateformes multicanales de notification d’urgence (SMS, e-mail, applications mobiles, systèmes de sonorisation), de solutions CPaaS (Communications Platform as a Service) sécurisées permettant une collaboration en temps réel entre les agents des services publics, une infrastructure de centres de réception des appels d’urgence (PSAP) pour la gestion des appels d’urgence, ainsi que l’intégration de capteurs IoT intelligents pour la détection précoce des incidents — de la surveillance de la qualité de l’air à la détection des incendies en passant par la gestion des foules. Ces capacités sont encore renforcées par l’intelligence appliquée, l’OSINT et la fusion des données, ce qui permet aux autorités de mettre en corrélation les signaux provenant de multiples sources, d’anticiper les menaces et de prendre des décisions plus rapides et mieux éclairées.
2. Fiabilité des opérations
Les institutions publiques ne peuvent se permettre aucune interruption de service. Le cadre RSR préconise des architectures réseau redondantes et sécurisées, des systèmes de communication en cloud hybride combinant des déploiements sur site et dans le cloud, des environnements de travail hybrides sécurisés pour les agents publics mobiles, ainsi que des procédures automatisées de sauvegarde et de restauration.
Les communications critiques — qu’il s’agisse des services d’urgence, des opérations de transport ou des agences de sécurité nationale — doivent reposer sur une infrastructure résiliente, cryptée et souveraine, capable de continuer à fonctionner même lorsque certaines parties du réseau sont compromises. Une approche « Zero Trust » — selon laquelle aucun utilisateur, appareil ou segment de réseau n’est considéré comme fiable par défaut — constitue désormais une exigence fondamentale pour tout gouvernement ou toute ville soucieux d’assurer la continuité de ses opérations.
3. Bâtiments et espaces sûrs
La sécurisation des bâtiments publics et des espaces urbains nécessite la mise en œuvre de technologies convergentes fonctionnant de manière coordonnée : une vidéosurveillance intelligente intégrée aux réseaux, des systèmes de contrôle d’accès, des dispositifs de détection et d’alarme basés sur l’Internet des objets (IoT), la surveillance de la qualité de l’air, des services de localisation destinés au personnel de sécurité, ainsi que l’intégration à des centres de commandement et de contrôle unifiés.
C’est la convergence de la sécurité physique et de la cybersécurité au sein d’une plateforme de gestion unique qui permet de passer d’une réponse réactive aux incidents à une protection proactive et coordonnée.
Une approche solide : hybride, convergente, globale, adaptable
La sécurisation des bâtiments publics et des espaces urbains nécessite la mise en œuvre de technologies convergentes fonctionnant de manière coordonnée : une vidéosurveillance intelligente intégrée aux réseaux, des systèmes de contrôle d’accès, des dispositifs de détection et d’alarme basés sur l’Internet des objets (IoT), la surveillance de la qualité de l’air, des services de localisation destinés au personnel de sécurité, ainsi que l’intégration à des centres de commandement et de contrôle unifiés.
C’est la convergence de la sécurité physique et de la cybersécurité au sein d’une même plateforme de gestion qui permet de passer d’une réponse réactive aux incidents à une protection proactive et coordonnée.
- Hybride: solutions pouvant être déployées sur site, dans le cloud ou dans des configurations mixtes, en fonction des contraintes de souveraineté et des exigences de performance
- Convergence: couverture simultanée des risques cybernétiques et physiques sur une plateforme unifiée, éliminant ainsi les angles morts dangereux entre les équipes de sécurité informatique et opérationnelle
- À l’échelle mondiale: s’applique aux gouvernements centraux, aux collectivités locales, aux villes intelligentes et à d’autres secteurs d’infrastructures critiques
- Adaptable: évolutif en fonction de la taille de l’organisation, de son niveau de maturité et de ses priorités stratégiques
Cette approche met fin aux cloisonnements traditionnels entre la sécurité informatique, la sécurité physique et l’exploitation du réseau, permettant ainsi une gouvernance des risques véritablement intégrée.
Le cycle opérationnel : évaluer, prévenir, protéger, réagir
Le cadre RSR s’articule autour d’un cycle en quatre étapes, applicable tant au domaine de la cybersécurité qu’à celui de la sécurité physique :
Étape 1 — Évaluer
Identification et cartographie des risques, inventaire des actifs, évaluation et surveillance continue. Il s’agit de la phase de connaissance de la situation : les organisations ne peuvent pas protéger ce qu’elles ne voient pas. Cette phase comprend des évaluations de sécurité, des audits et la mise en place d’indicateurs de référence.
Étape 2 — Prévenir
Architecture sécurisée dès la conception, conseil en matière de risques, formation des utilisateurs, détection des fraudes, procédures de sauvegarde, mise en place d’une piste d’audit, déploiement d’équipements renforcés adaptés aux environnements difficiles et architectures réseau redondantes. La prévention est toujours plus rentable que la restauration.
Étape 3 — Protéger
Le chiffrement des données (au repos et en transit), des mécanismes d’authentification robustes, la gestion des certificats et des signatures numériques, les certifications de sécurité, ainsi que la segmentation des réseaux aux niveaux micro et macro. Les principes du modèle « Zero Trust » s’appliquent aussi bien à l’infrastructure filaire qu’à l’infrastructure sans fil.
Étape 4 — Réagir
Intervention en cas d’incident par les équipes PSIRT/CERT, gestion des pistes d’audit, procédures de reprise et de restauration, communication de crise via des plateformes de notification de masse, vidéosurveillance en temps réel et flux de travail d’alerte déclenchés par l’IoT. La rapidité de la réponse détermine directement l’ampleur des dégâts.
Éléments technologiques clés
La mise en œuvre du cadre RSR repose sur une combinaison de domaines technologiques bien établis :
1. Réseau et connectivité
Architectures réseau redondantes et sécurisées, SD-WAN, SASE, protection contre les attaques DDoS, infrastructure renforcée pour les environnements difficiles, intégration sécurisée de l’IoT.
2. Communications unifiées et CPaaS
Communications vocales et de données cryptées, téléphonie hybride sécurisée dans le cloud, radio TETRA / cryptée pour les services d’urgence, notification de masse, infrastructure des centres d’appel d’urgence (PSAP), contrôleurs de frontière de session.
3. Identité et accès
IAM/PAM, authentification multifactorielle et sans mot de passe, biométrie, HSM pour la gestion des clés de chiffrement — le tout reposant sur une architecture « Zero Trust ».
4. Cybersécurité et gestion des menaces
SIEM, SOAR, XDR, gestion des vulnérabilités, tests d’intrusion, plateformes de renseignements sur les menaces, surveillance du dark web, cryptographie résistante à l’informatique quantique, analyse des écarts de conformité vis-à-vis des normes NIS2, RGPD, ISO 27001, ISO 22301, DORA, la directive CER, la norme CEI 62443 et le NIST CSF 2.0.
5. Sécurité physique et sûreté
Vidéosurveillance IP avec système de gestion vidéo (VMS), contrôle d’accès, points d’appel d’urgence, systèmes anti-drones / détection de drones, surveillance de la qualité de l’air et de l’environnement, services de géolocalisation destinés au personnel de sécurité.
6. Renseignement, enquêtes et IA
OSINT (Web ouvert, Deep Web, Darknet), criminalistique numérique, fusion de données, intelligence appliquée, détection des deepfakes et de la désinformation, analyses basées sur l’IA, recherche d’entreprise basée sur la technologie RAG, traduction automatique pour la surveillance multilingue des menaces, cloud souverain garantissant que les données sensibles ne quittent jamais les environnements contrôlés.
7. Gestion de crise
Plateformes intégrées de gestion de crise, connaissance de la situation en temps réel, coordination interinstitutionnelle, jumeau numérique pour la simulation des infrastructures et les exercices de gestion de crise.
L'écosystème de services RSR
Dans un monde où les crises se chevauchent et se renforcent mutuellement, les gouvernements et les villes intelligentes ne peuvent plus se permettre de considérer la sécurité comme une préoccupation secondaire. Elle est au cœur de leur mission : protéger les citoyens, assurer la continuité des services publics et préserver la confiance dans les institutions.
Le cadre RSR apporte une réponse structurée, éprouvée et évolutive à ces défis. En combinant leur expertise en matière de cybersécurité et de sécurité physique, en adoptant une approche consultative de la gestion des risques et en déployant les meilleures technologies disponibles sur les réseaux informatiques et opérationnels, les institutions publiques peuvent passer d’une attitude réactive à une attitude véritablement proactive.
- Sensibilisation et formation: améliorer la compréhension, au sein de l’organisation, des risques liés à la cybersécurité et de la vulnérabilité des infrastructures
- Évaluation et audit: obtenir une visibilité complète sur les vulnérabilités existantes et les lacunes en matière de conformité
- Modernisation des infrastructures: mise en conformité des réseaux, des systèmes de communication et des systèmes de sécurité physique avec les normes actuelles en matière de performances et de sécurité
- Préparation à la conformité réglementaire: accompagner les organisations dans le paysage de plus en plus complexe des réglementations nationales et internationales en matière de sécurité, depuis l’analyse des écarts et l’élaboration de plans d’action jusqu’à la préparation aux audits et l’accompagnement à la certification
- Maintenance continue: garantir le maintien des performances et de la sécurité à long terme grâce à des services gérés et à une surveillance proactive
La sécurité, fondement de la ville
Dans un monde où les crises se chevauchent et se renforcent mutuellement, les gouvernements et les villes intelligentes ne peuvent plus se permettre de considérer la sécurité comme une préoccupation secondaire. Elle est au cœur de leur mission : protéger les citoyens, assurer la continuité des services publics et préserver la confiance dans les institutions.
Le cadre RSR apporte une réponse structurée, éprouvée et évolutive à ces défis. En combinant leur expertise en matière de cybersécurité et de sécurité physique, en adoptant une approche consultative de la gestion des risques et en déployant les meilleures technologies disponibles sur les réseaux informatiques et opérationnels, les institutions publiques peuvent passer d’une attitude réactive à une attitude véritablement proactive.
La résilience n’est pas une option : c’est le fondement de la ville à l’ère de l’intelligence : conçue, construite et gérée pour assurer la pérennité, la sécurité et la prospérité.
Le cadre RSR est indépendant de toute technologie et s’applique à tout écosystème de fournisseurs. La méthodologie et les bonnes pratiques décrites dans cet article s’appuient sur des normes sectorielles reconnues et sur des déploiements concrets dans le secteur public.
