S&P alerte : l'essor des data centers IA expose les entreprises à des cyberattaques sous-estimées

S&P Global Ratings a publié un rapport au titre sans ambiguïté : Data Center Cyber Risk Is Increasing And Underrecognised. Le constat est simple. La course à l'infrastructure pour l'intelligence artificielle pousse les opérateurs à connecter toujours plus de systèmes informatiques classiques à des équipements industriels — refroidissement, alimentation électrique, contrôle d'accès. Cette jonction entre IT et OT ouvre des portes que les entreprises n'avaient pas anticipées. Un capteur de température mal protégé peut devenir un point d'entrée vers le réseau central. Et les data centers qui hébergent des modèles d'IA tournent souvent à pleine charge, avec des équipes réduites et des mises à jour permanentes.

Le problème n'est pas théorique. Les data centers concentrent désormais des volumes de données et de puissance de calcul qui en font des cibles de choix. S&P note que les assureurs évaluent encore mal ces risques, ce qui se traduit par des polices sous-tarifées ou des exclusions mal ciblées. Les entreprises qui construisent ou louent ces infrastructures se retrouvent exposées sans toujours mesurer l'étendue de leur responsabilité. Un incident peut paralyser un client, un fournisseur, une chaîne entière. La facture dépasse alors largement le coût de remplacement du matériel.

Cette accélération pose aussi une question de gouvernance. Les directions financières intègrent rarement le risque cyber des data centers dans leurs modèles de pertes. S&P recommande de traiter ces installations comme des actifs critiques, au même titre qu'une raffinerie ou un réseau électrique. Pour les opérateurs, cela signifie investir dans la segmentation des réseaux, la surveillance en temps réel et des audits réguliers. Pour les assureurs, revoir les grilles de prime. Pour les investisseurs, poser des questions plus précises avant de financer un projet.

Le rapport tombe à un moment où les annonces de construction de data centers se multiplient, portées par la demande en calcul intensif. La course à la capacité laisse peu de place aux vérifications de sécurité. S&P ne prédit pas de catastrophe imminente. Il constate un décalage entre la vitesse de déploiement et la maturité des défenses. Ce décalage, s'il persiste, finira par se traduire dans les comptes. Les entreprises qui traitent la cybersécurité comme un centre de coût plutôt qu'un actif stratégique prennent un pari dont elles ne mesurent pas toujours la portée.