Il y a des sujets, en IT, dont on ne parle pas. Non qu’ils soient tabous — mais ils sont inconfortables. Ils touchent un privilège sacré pour nombre de dirigeants : l’idée que l’IT fonctionne tout seul. Qu’il n’est pas nécessaire de regarder tant que rien ne brûle. Que sécurité, qualité et propreté sont de gentilles idées qui se rentabilisent, si tant est, seulement dans un trimestre fiscal qui n’est pas le leur.
Ce texte porte sur ce qui se perd en chemin.
Les deux phrases
Deux phrases, je les ai entendues en vingt-cinq ans de métier plus souvent que je ne l’aurais voulu. La première : « La sécurité, ça coûte juste de l’argent, et puis ça marche aussi sans. » La seconde suit généralement quelques phrases plus loin : « Nous n’avons jamais eu de problème. »
Les deux sonnent pragmatiques. Elles ne le sont pas. Ce sont des rationalisations d’une posture qui dit en réalité : je ne veux pas regarder, et je cherche une formule qui le rende responsable.
Dans les années 2000, cette posture était négligente. Aujourd’hui elle est gravement négligente. La différence n’est pas rhétorique — c’est l’écart entre un système qui échoue occasionnellement et un système qui échoue systématiquement dès que quelqu’un l’examine sérieusement.
Sécurité IT : le sou économisé devant l’esprit
Il y a une attitude que je n’ai jamais comprise. Elle appartient à une certaine espèce de soi-disant homme d’affaires pour qui chaque centime qui ne produit pas immédiatement du chiffre est un centime perdu. La sécurité leur apparaît comme un poste de coût sans contrepartie — une assurance qui ne se déclenche jamais, un extincteur jamais utilisé. Alors on coupe. Année après année. Jusqu’à ce que quelque chose brûle.
À l’époque, dans les années 2000, on pouvait encore qualifier cela de négligent. Bête, même. Le monde était plus maîtrisable, la surface d’attaque plus restreinte, les attaquants plus rares. Qui ne faisait rien avait souvent de la chance. La chance tenait parce que presque personne ne cherchait activement.
Aujourd’hui la situation est différente. La menace n’a pas évolué linéairement mais exponentiellement. Ce qui était autrefois un attaquant isolé disposant de beaucoup de temps est aujourd’hui un scanneur automatique qui passe au peigne fin des dizaines de milliers de réseaux pendant la nuit. Ce qui était une chaîne d’exploit tapée à la main est désormais un proof-of-concept assisté par IA disponible dans les heures suivant la divulgation d’une vulnérabilité. Qui coupe la sécurité dans ce climat n’agit plus par négligence. Faute lourde, juridiquement c’est un autre mot. Moralement c’est le même.
Le nouveau paysage des menaces
Trois développements ont aggravé la situation ces dernières années.
Premièrement : l’intelligence artificielle découvre des problèmes de sécurité qui restaient cachés auparavant. Ce qu’un auditeur humain trouvait en semaines, un scanneur assisté par IA le trouve en heures. Cela vaut pour les défenseurs — et a fortiori pour les attaquants. Des failles qui reposaient dans la pénombre sont maintenant éclairées. Qui ne les ferme pas doit s’attendre à ce que quelqu’un d’autre les ouvre.
Deuxièmement : le patch devient plus exigeant. Les dépendances s’enchevêtrent davantage, les chaînes d’approvisionnement s’allongent, une mise à jour en entraîne une autre. Qui corrige doit tester. Qui ne corrige pas risque qu’une faille publiée soit exploitée en quelques jours. La fenêtre se referme. Réagir à court terme devient la norme, non l’exception.
Troisièmement : les exploits signifient aujourd’hui des drames. Plus seulement un serveur défectueux, mais des données clients compromises, des hôpitaux rançonnés, des installations industrielles arrêtées, des boîtes aux lettres exposées. Les dommages ne sont plus abstraits — ils sont mesurables, juridiquement saisissables, fatals pour la réputation.
Qui conserve le sou économisé devant les yeux dans cette situation n’a pas compris le calcul. La question n’est pas de savoir si la sécurité coûte de l’argent. La question est de savoir si le dommage subi sans elle est supportable. Et la réponse, dans la plupart des cas, est non.
Le logiciel comme affaire d’honneur
Mais ce n’est pas que la sécurité. C’est aussi la volonté de construire un bon logiciel.
« Bon » est un mot galvaudé dans cette branche. Que je le précise. Bon veut dire : il ne s’effondre pas purement et simplement dans une exception inexpliquée. Il est préparé aux cas particuliers, pas seulement au chemin heureux. Il se comporte de façon définie même lorsque les entrées sont indéfinies. Il ne produit pas de failles exploitables. Il fait ce qu’il promet — et le fait encore quand les circonstances ne sont pas idéales.
Au-delà, bon signifie : entretenu. Documenté. Compréhensible. Celui qui le lit plus tard comprend ce qu’il fait et pourquoi. Celui qui le modifie peut le modifier sans casser trois autres endroits.
Ce n’est pas une évidence. C’est une décision. Une décision prise à nouveau chaque jour, dans chaque ligne, dans chaque commit. Et c’est, je le dis délibérément, une affaire d’honneur.
Diriger une entreprise logicielle et ignorer les devoirs évidents sous prétexte que la pression d’économie est constante ignore plus que des devoirs. Cela ignore son propre sentiment d’honneur. On excuse le médiocre par l’économique. Et un jour le médiocre cesse d’être l’exception pour devenir le programme.
Faire du logiciel est une affaire d’honneur. Quand c’est merdique, c’est merdique. Quand c’est génial, c’est génial. Ce n’est pas naïf. C’est le verdict le plus tranchant qui soit, parce qu’il n’est pas négociable.
Visions de tas d’ordures
Appelez cela naïf, cette histoire d’honneur. Moi, par choix, je préfère travailler avec des personnes qui portent une vision d’un produit. Qui veulent construire quelque chose qui fonctionne. Qui dure. Qui respecte l’utilisateur au lieu de l’exploiter.
Certaines personnes, toutefois, ont des visions de tas d’ordures. Elles les embellissent, les étiquettent en couleurs, les mettent en avant dans la publicité, les ornent de mots à la mode que personne ne comprend, et en réalité elles encaissent simplement. Idéalement sans lever le petit doigt. Idéalement sans support, sans maintenance, sans garantie. Idéalement mensuellement, renouvelé automatiquement, irrésiliable.
C’est une attitude qui m’est étrangère. Je veux produire quelque chose. Si ma prestation, offerte depuis plus de vingt ans, était merdique, j’arrêterais aussitôt. Sans contrainte morale — par sentiment d’honneur. Qui livre un travail mauvais en le sachant se ment à lui-même. Qui livre un travail mauvais sans le savoir devrait le savoir.
Gagner de l’argent est parfaitement légitime. Qui fournit peut demander. Mais ce que certaines entreprises prélèvent aujourd’hui tout en fournissant une prestation merdique — c’est simplement effronté. C’est prétendre fournir une prestation tandis qu’on ne fait que facturer. C’est exiger des honoraires sans le devoir qui les justifierait.
Une biographie différente
Ici cela devient personnel, et cette fois c’est permis.
En comptant la formation, l’an dernier, 2025, fut mon vingt-cinquième anniversaire de métier. Vingt-cinq ans durant lesquels je n’ai pas seulement travaillé professionnellement avec des ordinateurs, mais où ma vie a tourné autour d’eux. Depuis le milieu des années 1990.
C’est une biographie qui se déroule autrement que celle de beaucoup d’autres. Dans leur temps libre, la part des thèmes professionnels tend asymptotiquement vers zéro. Fin de journée veut dire fin de journée. Parfois il y a des histoires de râleur, racontées au comptoir, rangées sous « Travail qui agace ». Puis c’est fini.
Avec moi c’est différent. Depuis le milieu des années 1990 tout a tourné autour de l’ordinateur, et cela s’est intensifié continûment. À un niveau qu’une épouse normale ne voudrait probablement pas supporter éternellement. Je le dis sans fierté et sans plainte. C’est un constat. Celui qui prend ce métier au sérieux ne s’arrête pas quand l’écran s’éteint. Il ne s’arrête jamais.
Ce n’est pas un sacrifice. C’est une préférence. Vivre ainsi donne un rapport à son métier au-delà du simple devoir. On ne construit pas uniquement parce qu’on est payé. On construit parce que savoir si c’est bien construit intéresse. Parce qu’on remarque quand ça ne l’est pas. Parce que le médiocre dérange même lorsqu’il fonctionne.
Cette préférence est précisément le fondement de ce que j’offre professionnellement. Non pas vingt-cinq ans d’expérience sur papier — vingt-cinq ans de posture.
Ce que libcom.de signifie
libcom.de n’est pas une entreprise vendant la sécurité IT comme un produit. libcom.de est une personne qui exploite l’IT depuis un quart de siècle de telle sorte qu’elle tient. La sécurité n’est pas un module ajouté ensuite. C’est une propriété qui émerge lorsque l’infrastructure est planifiée avec compréhension, entretenue avec constance et exploitée honnêtement.
Celui qui vient à moi n’obtient pas de solution brevetée. Il obtient un inventaire : qu’est-ce qui tourne, que protège-t-on, que non, où doit-on aller ? Puis il obtient un plan ajusté à sa réalité — son budget, son appétit de risque, ses obligations. Et il obtient quelqu’un qui ne s’arrête pas quand le projet est reçu. Qui reste tant qu’il le faut.
Ce n’est pas une prestation qu’on liste sur une grille tarifaire. C’est une posture. Et je crois que cette posture manque précisément dans un marché où la sécurité est traitée en cost center, le logiciel en marchandise périssable et la prestation en justification d’un abonnement.
Si vous vous demandez si votre IT est encore protégée conformément à l’époque, si votre logiciel est bien construit, ou si vous cherchez quelqu’un qui le pense honnêtement : écrivez à contact@libcom.de. Nous faisons un inventaire honnête. Sans pression commerciale. Avec le regard sur ce qui dure à long terme.
Arrêtons d’être merdiques. Travaillons ensemble à quelque chose qui tient — et nous rendrons ainsi service à tous.