« Le contexte métier prime sur le contexte technique »

GSM : quel a été votre parcours ?

B. M. : vingt-cinq ans en cybersécurité : consultant en gestion des identités, puis une vingtaine d’années chez RSA, de la cryptographie à la lutte contre la fraude et aux centres opérationnels de sécurité. J’ai rejoint Tenable il y a cinq ans, où je fais le lien entre le terrain et la stratégie produit.

GSM : comment Tenable a-t-il évolué ?

B. M. : nous venons des scanners de vulnérabilités et nous faisons aujourd’hui de la gestion de l’exposition : comprendre tout le système d’information, droits d’accès et configurations compris, dans le cloud, l’OT et maintenant l’IA. Le tout est réuni dans une plateforme unique, Tenable One, qui dispose de ses propres capteurs et de plus de 300 collecteurs.

L’IA au service de la remédiation

GSM : que présentez-vous aux Assises ?

B. M. : un cadre agentique qui permet de déléguer à des agents IA tout ou partie de la remédiation. Nous avons participé au projet Glasswing d’Anthropic pour analyser de nouveaux chemins d’attaque. Les modèles frontières découvrent bien plus de vulnérabilités : il faut répondre au volume et à la vitesse. L’objectif est de fermer les chemins qui mènent aux actifs critiques avant qu’ils soient exploités.

GSM : qu’est-ce qui vous différencie ?

B. M. : nous ne faisons qu’un seul métier : la prévention. Nous ne faisons ni la détection, ni la réponse. Quand on veut tout faire, on fait un peu de tout. Contrairement à un simple agrégateur, nous disposons de nos propres scanners, et la donnée est la clé : sans elle, impossible de mettre en évidence les chemins d’attaque. Je préfère d’ailleurs parler de gestion de l’exposition plutôt que de centre opérationnel des vulnérabilités, un terme qui ramène tout aux correctifs.

GSM : toutes ces données ne noient-elles pas le responsable de la sécurité des systèmes d’information (RSSI) ?

B. M. : collecter moins crée des angles morts. Il faut plus d’informations, mais avec du contexte, et le contexte métier est plus important que le contexte technique. Il vaut mieux piloter les risques cyber de manière préventive que de manière réactive.

Parler exposition au comité exécutif

GSM : et face au comité exécutif ?

B. M. : la question est simple : sommes-nous exposés aujourd’hui, sur notre métier ? Le nombre de vulnérabilités ou de correctifs reste un indicateur technique, qui doit rester au niveau technique. RSSI, gestionnaire des risques et direction doivent évaluer ensemble le risque, géopolitique compris, à partir d’une analyse d’impact sur l’activité.

GSM : votre conviction pour 2027 ?

B. M. : le risque majeur, ce sont les agents IA déployés de manière exponentielle avec des droits bien plus élevés que nécessaire. Avec Tenable AI Exposure, nous les découvrons et détectons lorsqu’ils dérivent. Notre métier est de couvrir toutes la surface d’attaque et de s’adapter à son évolution.
« Il vaut mieux piloter les risques cyber de manière préventive que de manière réactive. »

Repères :
Plateforme Tenable One · Plus de 300 collecteurs · Couverture IT, cloud, OT et IA

Propos recueillis par Eric Singer, aux Assises de la cybersécurité 2026, à Monaco.