Le pire incident sur lequel j'ai enquêté n'avait pas de coupable unique. Pas de grosse faute, pas de négligence flagrante. Juste cinq petites choses, chacune anodine prise seule, qui s'étaient alignées ce jour-là au mauvais moment. Un log ignoré, une alerte mal réglée, une vérification sautée, une astreinte injoignable, un déploiement lancé trop vite. Aucune ne suffisait. Toutes ensemble, elles ont ouvert un couloir droit jusqu'à la panne.
C'est exactement l'image du gruyère.
Des tranches trouées, mais décalées
Le modèle vient de la sécurité, et il tient en une image. Chaque protection d'un système est une tranche de fromage : un test, une revue, un pare-feu, une alerte. Aucune n'est parfaite, chacune a ses trous. Et ce n'est pas grave, tant que les trous ne sont pas au même endroit. Le désastre, c'est le jour où ils s'alignent d'une tranche à l'autre et laissent passer la catastrophe de bout en bout.
La défense en profondeur, c'est tout l'inverse du mur unique et parfait, qui n'existe pas. C'est accepter que chaque couche soit imparfaite, et en empiler assez d'indépendantes pour que leurs trous ne tombent jamais en face. Ce dossier réunit les pratiques qui décalent les trous.
Les pratiques du dossier
Anticiper, d'abord. La panne qu'on avait tous sentie venir : le pré-mortem, ou imaginer l'échec d'un projet avant qu'il n'arrive, pour désamorcer ce que tout le monde sentait sans le dire.
Éprouver, ensuite. Le serveur que tu n'oses pas redémarrer : le chaos engineering, ou casser volontairement pour savoir si ça tient, au lieu de l'espérer.
Contenir, enfin. Ce qui tombe ne doit pas tout emporter : le cloisonnement, pour qu'une brèche dans un coin n'ouvre pas l'accès au tout.
Ce dossier se construit
Il n'est pas complet, et je préfère te le dire. D'autres couches viendront : automatiser ce qui est répétitif pour retirer l'erreur humaine de la boucle, apprendre proprement de chaque incident au lieu de chercher un coupable. Je les ajouterai quand elles existeront.
Une dernière chose, parce qu'elle change tout aujourd'hui. L'IA ajoute des trous plus vite que jamais : du code généré qu'on relit à peine, des hypothèses jamais vérifiées, de la sophistication qu'on empile sans la comprendre. Elle ne creuse pas des failles par malveillance, elle en creuse par vitesse. La défense en profondeur, c'est précisément la discipline qui empêche tous ces trous de s'aligner. Elle n'a jamais été aussi utile que depuis qu'on produit du gruyère aussi vite.