Toutes les écuries ont les mêmes capteurs
Une Formule 1 moderne embarque des centaines de capteurs. Pression des pneus, températures, vitesse, consommation, comportement du châssis dans chaque virage : tout remonte vers les ingénieurs, en course et entre les courses.
Mais ces capteurs, les dix écuries de la grille les ont. Et depuis 2021, elles ont toutes un plafond budgétaire. On ne gagne plus en dépensant plus que les autres.
Alors pourquoi une équipe domine-t-elle une saison entière ? Parce qu'elle tourne une boucle plus vite et avec plus de discipline que les autres :
- Planifier : on prépare le week-end à partir de ce qu'on sait. Réglages, stratégie, hypothèses à tester.
- Faire : on roule, on essaie, on teste une idée.
- Vérifier : on regarde ce que disent les données. L'idée a-t-elle marché ? Où a-t-on perdu du temps ?
- Ajuster : on garde ce qui marche, on corrige le reste, et on repart pour la course suivante.
Ce cycle a un nom : PDCA (Plan, Do, Check, Act). Il n'a pas été inventé en F1. Il vient de l'industrie, et c'est le moteur de tous les systèmes de management sérieux.
Un arrêt au stand de 1,82 seconde, ça ne s'improvise pas
En 2019, au Grand Prix du Brésil, l'équipe Red Bull a changé les quatre pneus de Max Verstappen en 1,82 seconde. Un record du monde à l'époque.
Derrière ces 1,82 seconde, il n'y a pas de magie. Il y a :
- une procédure écrite : chaque personne sait exactement ce qu'elle fait, dans quel ordre ;
- des répétitions : la procédure est pratiquée des centaines de fois ;
- une mesure au centième : chaque arrêt est chronométré, analysé, comparé ;
- une amélioration continue : ce qui ralentit est corrigé avant le prochain arrêt.
Écrire une procédure, ce n'est pas de la paperasse. C'est ce qui permet de faire vite et bien, sous pression, sans dépendre d'une seule personne.
Le jour où la boucle ralentit, on se fait dépasser
En 2023, Red Bull semblait intouchable. En 2024, McLaren a repris le titre constructeurs. Le record de l'arrêt au stand ? McLaren l'a aussi battu, en 1,80 seconde, au Qatar en 2023.
La leçon est simple : la performance n'est pas un état, c'est un rythme. Dès qu'on arrête de mesurer et d'ajuster, quelqu'un d'autre le fait mieux. Se mettre en ordre une fois ne suffit pas. Il faut une boucle qui ne s'arrête pas.
Et votre entreprise ? Ses données dorment
Votre entreprise n'a pas de capteurs sur ses pneus. Mais elle a des informations partout : qui a accès à quoi, quels outils d'IA sont utilisés par vos équipes, quels fournisseurs touchent vos données, combien de temps il faut pour réagir à un incident.
Pendant mon programme CDO au MIT, un cours m'a marqué plus que les autres. Son idée tient en une phrase : toutes les entreprises ont des données dormantes. Elles sont là, dans les outils, les tickets, les factures, les accès, les échanges avec les clients. Et on ne se rend pas compte de ce qu'elles disent de l'activité réelle.
Cette idée résonne avec ce que je vois sur le terrain. Une fois exploitées, ces données donnent des informations concrètes :
- elles éclairent une décision, au lieu de la laisser à l'intuition ;
- elles montrent une tendance avant qu'elle devienne évidente ;
- elles révèlent une possibilité de service ou de produit que personne n'avait vue.
Mais trouver les données n'est pas le plus dur. Le plus dur, c'est de les exploiter, et de continuer à le faire. Une lecture ponctuelle donne une photo, et la photo vieillit dès le lendemain. C'est la leçon de la F1 : tout le monde a des données, peu les font travailler à chaque course.
Pour les faire travailler, il faut un cadre. C'est là que la boucle PDCA prend tout son sens. Ce n'est pas une idée de consultant : elle vient des travaux de Shewhart et Deming dans l'industrie, au milieu du XXe siècle, et les normes ISO de systèmes de management l'ont adoptée. ISO 9001 la décrit explicitement, et ISO/IEC 27001 en avait fait sa base dès sa première version, en 2005. C'est la boucle qu'on utilise chez ProHacktiv.
Concrètement, ce n'est pas une lecture unique, c'est un processus : découvrir, tester, modifier, faire évoluer, maîtriser.
Et chaque tour de boucle se mesure. Sans indicateurs (des KPI simples, suivis chaque mois), on ne sait pas si on avance, ni si c'est le processus lui-même qu'il faut corriger. Sans ce cadre, on avance au cas par cas, on se croit protégé sans savoir où on en est. C'est piloter une Formule 1 sans regarder la route.
Deux normes, une même boucle
Ce cadre existe, et il est reconnu. Il porte deux noms qu'on présente souvent, à tort, comme des contraintes :
- ISO/IEC 27001, le système de management de la sécurité de l'information (on dit ISMS) ;
- ISO/IEC 42001, le système de management de l'intelligence artificielle (on dit AIMS).
Ce ne sont pas des listes de cases à cocher. Ce sont des méthodes de pilotage, construites sur la même boucle que celle des écuries :
| En Formule 1 | Dans votre entreprise |
|---|---|
| Les capteurs et la télémétrie | Des indicateurs simples : risques, accès, incidents, usages de l'IA |
| Le briefing avant course | Une décision de la direction, prise en connaissance de cause |
| La procédure d'arrêt au stand | Des façons de faire écrites, claires, que tout le monde peut suivre |
| L'accident en course : la procédure de sécurité se déclenche, chacun sait quoi faire | La cyberattaque : le plan de réponse à incident se déclenche, chacun sait quoi faire |
| Le débriefing après course | Une revue régulière : qu'est-ce qui a marché, qu'est-ce qui coince ? |
| L'évolution apportée à la course suivante | Une amélioration concrète, le mois suivant |
ISO/IEC 27001 et ISO/IEC 42001 partagent aujourd'hui la même structure, celle de toutes les normes ISO de systèmes de management. On y retrouve la boucle : planifier, mettre en œuvre, évaluer, améliorer.
Ce que la rigueur vous rapporte
Une écurie qui maîtrise sa boucle ne gagne pas seulement en sécurité : elle gagne en vitesse. C'est pareil pour une entreprise.
- Vous décidez sur des faits, plus sur des impressions.
- Vos façons de faire deviennent plus claires, donc plus rapides et moins coûteuses.
- Vous ouvrez des portes : de plus en plus de clients exigent ces garanties avant de signer.
- Vous utilisez l'IA sans crainte, parce que vous savez ce qui tourne, avec quelles données, et avec quels garde-fous.
- Vous êtes en règle avec NIS2 et l'AI Act, presque en passant, parce qu'une entreprise qui se pilote produit naturellement les preuves qu'on lui demande.
La sécurité, l'IA et vos données ne sont pas des freins. Maîtrisées, ce sont des moteurs. Une boucle maîtrisée, c'est une saison maîtrisée.
Ce que la réponse à incident m'a appris
Mon expérience en réponse à incident m'a appris une chose : le jour de l'incident, rien ne s'improvise.
Une équipe de réponse à incident bien préparée, avec les bonnes procédures, testées et connues de toute l'organisation, change les quatre pneus en 1,80 seconde. La même équipe, pas préparée, transforme l'incident en désastre. La différence ne se joue pas pendant l'attaque. Elle se joue avant, à l'entraînement, tour de boucle après tour de boucle.
Et vous, êtes-vous prêt ?
Sécurisez, Pilotez & Maîtrisez.
Une question pour lundi matin : si vous deviez citer trois indicateurs qui vous disent, chaque mois, si votre entreprise est mieux protégée que le mois dernier, lesquels seraient-ils ?