Le problème de la consolidation chez un éditeur unique
Le discours dominant en sécurité depuis une décennie est la consolidation : achetez la plateforme d'un éditeur et retirez le reste. C'est séduisant sur une diapositive, mais en pratique la plupart des entreprises exploitent une pile hétérogène pour de bonnes raisons — un EDR auquel elles font confiance, un outil de sécurité cloud choisi par leurs ingénieurs, des scanners liés à des obligations de conformité, et des pare-feu dont les politiques ont été affinées pendant des années. Arracher tout cela coûte cher, prend du temps, comporte des risques, et enferme à nouveau l'organisation chez un nouvel éditeur unique.
Pendant ce temps, la vraie douleur est rarement « trop d'outils » — c'est que les outils ne se parlent pas. Chacun a sa console, sa liste d'actifs, son échelle de sévérité et sa propre définition de ce qu'est une « alerte ». Les analystes passent de l'un à l'autre, les données d'exposition ne rencontrent jamais celles de détection, et personne ne peut répondre à une question simple du conseil : « laquelle de nos faiblesses exploitables pourrait réellement atteindre un système stratégique ? »
Ce que « neutre » signifie réellement
Une plateforme neutre inverse le modèle. Au lieu d'être un outil de plus qui veut posséder les données, elle est une couche de contrôle qui se connecte à ce que vous exploitez déjà et traite leurs sorties comme des entrées. Des connecteurs certifiés interrogent chaque source via son API — généralement en OAuth, les identifiants étant conservés dans un coffre chiffré — et écrivent dans un schéma partagé.
L'élément décisif est la normalisation. Une alerte de poste de travail chez un éditeur, une mauvaise configuration cloud chez un autre et une CVE issue d'un scanner n'ont rien en commun tant qu'elles ne sont pas ramenées à un modèle commun d'actifs, d'identités, d'événements et de constats. Aligner ce modèle sur un standard ouvert tel qu'OCSF signifie qu'une règle de détection ou une requête d'exposition s'écrit une fois et s'exécute sur toutes les sources connectées — et changer d'outil plus tard ne casse pas les analyses construites au-dessus.
La provenance : savoir ce qui est réel
Une plateforme neutre ingère des données de maturité très variable : télémétrie de production en direct depuis un connecteur, export d'échantillon depuis un autre, données simulées pendant une preuve de concept. Les confondre est dangereux. L'approche disciplinée consiste à marquer chaque enregistrement ingéré de sa provenance (réelle, échantillon ou simulée) et à faire apparaître ce marquage dans l'interface, pour qu'un analyste ou un auditeur sache toujours si un constat reflète la télémétrie réelle du client ou des données de démonstration.
Cette discipline de provenance est ce qui rend une plateforme neutre digne de confiance en environnement réglementé : un même enregistrement normalisé peut porter à la fois son système source et son mode de données, de sorte que la traçabilité n'est jamais ambiguë.
De la télémétrie au risque métier
Une fois les données normalisées, les couches à plus forte valeur deviennent possibles. Les détections s'exécutent sur les événements fournis par les connecteurs et alimentent des cas suivis par SLA, avec une notation sensible au contexte — une alerte sur un actif stratégique ou une identité à privilèges est classée au-dessus de la même alerte sur une machine de test. Un graphe d'exposition hiérarchise les chemins d'attaque depuis les points d'entrée exposés sur Internet jusqu'aux actifs critiques, pondérés par des signaux d'exploitabilité réels comme le catalogue CISA KEV et l'EPSS. Et la quantification FAIR convertit l'ensemble en perte annualisée attendue — un cyber-risque exprimé dans le même langage financier que tous les autres risques de l'entreprise.
Aucune de ces couches ne se soucie de savoir quel éditeur a produit les données sous-jacentes. C'est précisément l'intérêt : l'intelligence de la plateforme se cumule au-dessus de la pile à laquelle vous faites déjà confiance, et elle continue de fonctionner à mesure que cette pile évolue.
La place de l'open source
La neutralité ouvre aussi une voie peu coûteuse. Une équipe sans budget pour un EDR et un SIEM haut de gamme peut assembler la télémétrie de Wazuh et les constats de scanners ouverts comme Nuclei, Trivy et Semgrep, les alimenter dans le même modèle normalisé et obtenir un véritable SOC et un programme d'exposition sans licences premium. La plateforme ne se soucie pas de savoir si un constat provient d'un scanner commercial à six chiffres ou d'un scanner open source — elle les corrèle et les hiérarchise de la même façon.
La leçon est que consolidation et liberté de choix ne s'opposent pas. La bonne architecture consolide l'intelligence — un modèle, une file de cas, une image du risque — tout en laissant ouvert le choix des outils sous-jacents.