Le National Cyber Security Centre (NCSC) britannique vient de lancer Cyber Adversary Simulation, ou CyAS, un dispositif qui évalue les prestataires chargés de simuler des attaques réalistes contre des organisations critiques. L’idée : permettre à une entité sensible de choisir un prestataire évalué au regard d’un standard fixé par l’agence, plutôt que de se fier à une plaquette commerciale.

Le programme, annoncé le 11 novembre par le NCSC et relayé par Infosecurity Magazine, s’adresse aux organisations les plus critiques du Royaume-Uni et aux organismes qui les supervisent. Il rejoint la famille des schémas d’« Industry Assurance » du NCSC : les fournisseurs sont examinés au regard d’un standard défini par l’agence, qui s’appuie sur son rôle d’autorité technique nationale en cybersécurité. Une liste des prestataires reconnus est déjà publiée sur la page « Find a Provider » du schéma.

Une simulation, pas un test d’intrusion de plus

Ce qui distingue CyAS, d’après le NCSC, tient à la méthode. Le prestataire commence par une phase de reconnaissance : technologies du client, exposition, menaces qui le visent. Il en tire un plan d’attaque propre à l’organisation, puis cherche à atteindre des objectifs convenus à l’avance.

Le NCSC insiste sur un point : les testeurs doivent adopter un état d’esprit d’adversaire, sans se laisser guider par du renseignement sur la menace acheté dans le commerce, ni enfermer leur travail dans des tactiques, techniques et procédures (TTP) déjà documentées. Autrement dit, ne pas rejouer un scénario de catalogue.

Chris Ensor, directeur adjoint du NCSC, résume l’ambition : le service doit aller au-delà des tests d’intrusion classiques et de l’audit des mesures de sécurité, pour vérifier en pratique la capacité à protéger, détecter et répondre. Le directeur technique de l’agence, Ollie Whitehouse, a pour sa part défendu l’idée qu’on ne peut améliorer que ce que l’on connaît, en vantant des évaluations de bout en bout menées par des experts de haut niveau.

Un maillon dans le dispositif de régulation britannique

CyAS ne vient pas seul. Le NCSC le présente comme un complément du Cyber Assessment Framework (CAF) et du schéma associé d’audit de résilience, le Cyber Resilience Audit (CRA). Ensemble, ces cadres doivent donner aux grandes organisations, aux opérateurs d’infrastructures critiques et à l’administration une image plus nette de leur sécurité.

Les « Cyber Oversight Bodies », parmi lesquels les régulateurs et les ministères pilotes (« Lead Government Departments »), y trouvent un moyen fiable de recueillir des preuves de résilience dans les secteurs qu’ils supervisent. Le NCSC dit avoir conçu le schéma avec eux, pour établir un socle commun et une manière plus homogène de démontrer cette résilience.

Le démarrage sera modeste. CyAS fonctionnera d’abord comme un produit minimum viable (MVP) : l’agence veut mesurer la demande, affiner la méthode et gagner en confiance avant d’envisager un modèle d’exploitation plus complet. Le NCSC ne donne ni calendrier pour cette suite ni le nombre de prestataires déjà listés.

Ce que cela évoque côté français

Le NCSC ne dit rien de la France, et la comparaison est la nôtre. En France, l’ANSSI qualifie les prestataires d’audit de la sécurité des systèmes d’information, les PASSI. Le principe est voisin : une autorité publique vérifie les prestataires pour que le client sache à qui il confie ses systèmes.

Ce que le NCSC met en avant, c’est l’objet de l’exercice : moins un contrôle des mesures en place qu’une simulation d’adversaire de bout en bout, qui éprouve aussi la détection et la réponse de l’équipe défensive. Pour les entités françaises concernées par la directive européenne NIS2, la question pourrait se poser : comment montrer que leurs mesures de sécurité tiennent face à un attaquant qui ne suit pas la check-list ?

Reste à voir si l’approche britannique fera des émules de ce côté de la Manche. À court terme, il faudra surtout observer si le MVP britannique trouve ses clients, et comment les régulateurs sectoriels s’emparent des preuves qu’il produira.

Sources

• NCSC scheme will help critical organisations test their cyber defences, NCSC UK, 11 novembre 2026 (contenu sous licence Open Government Licence v3.0)
• NCSC Launches Cyber Adversary Testing to Boost Resilience, Infosecurity Magazine, 12 novembre 2026