Alert Fatigue

Définition

L'Alert Fatigue (fatigue des alertes) est un phénomène dans lequel les équipes de sécurité DevSecOps sont submergées par un volume excessif d'alertes de sécurité — la plupart étant des faux positifs ou des alertes de faible priorité — au point de commencer à ignorer ou à désactiver des alertes, y compris celles qui pourraient signaler des incidents réels. C'est l'un des problèmes opérationnels les plus critiques dans les programmes de sécurité modernes. Les causes de l'Alert Fatigue sont multiples. Les outils SAST non tunés génèrent des milliers de faux positifs sur des bases de code existantes. Les scans de vulnérabilités SCA produisent des centaines d'alertes CVE dont la plupart ne sont pas exploitables dans le contexte spécifique. Les règles SIEM trop généralistes ou non ajustées au contexte de l'organisation génèrent des corrélations non pertinentes. Les alertes de monitoring de sécurité sans contexte suffisant (qui a fait quoi, depuis où, vers quoi) nécessitent une investigation longue pour être qualifiées. L'impact de l'Alert Fatigue va au-delà de la simple inefficacité opérationnelle. Des études montrent que des équipes en état d'Alert Fatigue prennent plus de temps à détecter et répondre aux véritables incidents (MTTD et MTTR augmentés), ignorent des alertes importantes noyées dans le bruit, et développent une désensibilisation psychologique au risque. Dans des cas extrêmes, des équipes ont désactivé des règles de détection importantes pour se soulager du volume d'alertes. Les stratégies de lutte contre l'Alert Fatigue incluent : l'enrichissement des alertes (ajouter du contexte automatiquement : utilisateur, actif affecté, historique), la priorisation par risque réel plutôt que par sévérité théorique (CVSS), l'agrégation des alertes similaires, la suppression des faux positifs documentés, la définition de baselines comportementales pour ne détecter que les déviations significatives, et la mise en place de SLAs de triage pour éviter l'accumulation de backlog. Le tuning systématique des outils (SAST, DAST, SCA, SIEM) est fondamental : chaque outil doit être régulièrement calibré pour maintenir un taux de faux positifs en dessous de 20-30%, seuil au-delà duquel l'Alert Fatigue s'installe progressivement.