Retour sur le Dîner de la rédaction « Gestion collaborative des cyber-risques »

« Cyber-risques : les entreprises peuvent-elles être plus fortes ensemble en cas de crise ? »

Un dîner du cycle « Sécuriser sa transformation »

Cyber-risques : les entreprises peuvent-elles être plus fortes ensemble en cas de crise ?

Au plus fort de la crise sanitaire, les cybermenaces sont – sans surprise – restées bien présentes. Des entreprises déjà affaiblies ou désorganisées par les effets directs et indirects du confinement ont dû faire face à de nombreux risques supplémentaires. Toutefois, la conviction que le numérique est plus que jamais stratégique pour leurs activités s’est aussi renforcée à cette occasion au sein des Comex, provoquant une dynamique accélérée de transformation.

Pour accompagner le mouvement côté cybersécurité, chacun sait depuis longtemps que la coopération est plus que jamais nécessaire, ne serait-ce que pour pallier le faible nombre des « défenseurs » face aux « attaquants ». Mais les difficultés persistent pour faire émerger des modèles pérennes. Alors, la crise n’est-elle pas l’occasion de vraiment développer ces approches collaboratives et communautaires de la sécurité ? Ou bien les entreprises se contenteront-elles de continuer à aborder ce sujet pourtant structurant sous l’angle de la multiplication de réponses techniques « au cas par cas » ? Alliancy a débattu de ce sujet clé avec une sélection de RSSI mobilisés sur la question.

Photos : Guillaume Ombreux

« Depuis longtemps, les RSSI et CISO nous parlent de l’importance qu’ils accordent dans leur métier au fait d’échanger des pratiques et des actualités avec leurs pairs. Mais est-ce que cela peut dépasser le stade des simples relations interpersonnelles privilégiées ? Peut-on mieux structurer la coopération de nos entreprises en France ? » a interrogé en introduction Dorian Marcellin, journaliste pour Alliancy.

Sylvain Fievet, directeur de la publication, a pour sa part relancé : « Nous voyons dans tous les secteurs des mouvements de partage, de coopération en écosystème, de plateformisation… de plus en plus poussés. Où en est concrètement l’écosystème cyber sur ces questions ? Paradoxalement, il ne donne pas l’impression d’être en avance, face à l’importance des enjeux ».

Benoît Herment, Group CISO de Vinci

Le sujet de la collaboration en cybersécurité est à la fois interne et externe. Au sein de notre groupe, je pousse pour toujours plus de coopération entre plus de 3000 business units… et vis-à-vis d’acteurs externes, partenaires et/ou concurrents, le sujet est tout aussi important. Ne serait-ce que parce que le milieu de la construction a été très touché encore récemment par les ransomwares et que nous pouvons mieux anticiper en s’entraidant.

Comme toute entreprise, nous devons gérer la cybersécurité de manière étendue à notre écosystème : nous avons lancé des cellules d’investigation et de coordination en réponse à ce qu’il arrivait à des dizaines de nos partenaires. Repérer ainsi rapidement les indicateurs de compromission de façon croisée est un vrai défi.

Et dans les faits, ces informations ne passent jamais par les canaux officiels, trop longs à réagir, alors qu’un IOC (indicateur de compromission, ndlr) a une durée vie très courte. Il faudrait donc qu’un tiers de confiance crédible se positionne en France pour faciliter ces échanges, sinon ce sera un Microsoft, Google ou Amazon qui finira par jouer de facto ce rôle, ce qui soulève bien d’autres questions.

Gérard Leymarie, Group Chief Information Security Officer de Elior Group

De nombreux axes de collaborations existent déjà en France, mais il manque surtout du liant entre d’un côté les OIV et OSE (opérateurs d’importance vitale et opérateurs de services essentiels, ndlr) soutenus par l’ANSSI, et, de l’autre, les autres entreprises qui ne peuvent s’appuyer que sur le dispositif cybermalveillance.gouv.fr. De nombreuses organisations sont livrées à elles-mêmes. Or, une grande entreprise a de nombreux fournisseurs de plus petites tailles et elle se retrouve rapidement face à un défi de sécurité difficile au niveau de son écosystème.

A cela s’ajoute le fait que les RSSI n’osent pas encore assez communiquer les éléments dont ils disposent suite à de problèmes ou incidents qu’ils auraient subis. Et quand cela se fait, c’est trop souvent de façon informelle, dans le plus grand secret, comme s’il s’agissait en soi d’une faute.

De l’autre côté, la collaboration est aussi un enjeu d’engagement éthique pour les acteurs du marché qui se retrouvent dans des positions où ils peuvent profiter d’une situation complexe. Les attentes des clients sont claires pour accéder plus facilement, plus vite, à plus d’informations pertinentes. Malheureusement, on voit les NDA (accord de confidentialité, ndlr) se multiplier ou des positions troublantes de la part de certains acteurs du monde de la cyber : il y a un défaut fondamental au niveau des business models imaginés par ces prestataires.

Stephane Cohen Boulakia, RSSI de Eutelsat

Au sein d’un opérateur de satellites comme Eutelsat, l’un des plus grands au monde, la collaboration en termes de cybersécurité est rendue plus complexe par les décalages importants de maturité que l’on constate entre nos différents métiers. Je me retrouve à échanger à la fois avec des personnes qui ont fait partie d’organisations gouvernementales et internationales, par conséquent très au fait de ces questions, et d’autres collaborateurs que cela ne choquerait pas de transmettre les données sans jamais les chiffrer, n’ayant pas de notion de classification de l’information…  

Ceux qui n’ont jamais vécu le risque ne le voient tout simplement pas ! Alors il est difficile de parler en plus de l’importance de la coopération sur le sujet. Pourtant tous les RSSI s’accordent aujourd’hui à souligner l’importance d’une approche collaborative.

Au plus fort de la crise sanitaire, les cybermenaces sont – sans surprise – restées bien présentes. Des entreprises déjà affaiblies ou désorganisées par les effets directs et indirects du confinement ont dû faire face à de nombreux risques supplémentaires en la matière. A l’issue de ces mois difficiles, la conviction que le numérique est plus que jamais stratégique pour leurs activités s’est cependant encore renforcée au sein des Comex.

Alors que la crise est devenue économique, de vieux dogmes se sont effondrés face à la tyrannie des faits et de l’urgence. La nécessité, pour les décideurs, d’une remise en question structurante de leurs stratégies cyber n’est donc plus une option.

Pourtant du côté de la cybersécurité, de telles ruptures peinent à se voir même si chacun sait depuis longtemps que la coopération est plus que jamais nécessaire, ne serait-ce que pour pallier le faible nombre des « défenseurs » face aux « attaquants ».

Ce nouvel élan global de maîtrise du risque cyber s’accompagnera-t-il d’une évolution majeure des stratégies de cybersécurité anticipées et concertées ? La crise n’est-elle pas l’occasion de vraiment développer ces approches collaboratives et communautaires de la sécurité ? Ou bien les entreprises se contenteront-elles de continuer à aborder ce sujet pourtant structurant sous l’angle de la multiplication de réponses techniques « au cas par cas » ?

Une chose est sûre, l’approche actuelle de la gestion des risques cyber en entreprise doit évoluer et les comités de directions doivent se saisir du sujet afin d’industrialiser la démarche et de prendre les décisions éclairées.

Ce diner-débat de la Rédaction Alliancy, organisé en partenariat avec Egerie, proposait aux CISO et directeurs des risques cyber de partager leurs expériences, croiser leurs regards et leurs attentes sur les enjeux de la gouvernance du risque en entreprise.

  • Quelle place tiennent les approches collaboratives dans les stratégies cyber déjà en place ?
  • Que manque-t-il encore pour être plus forts ensemble face aux différentes menaces et à la crise ?
  • Quelle perception par le Comex de ces enjeux de coopération, mutualisation, transparence… ?

———–
Un dîner organisé en partenariat avec EGERIE

EGERIE software cyber-risques

EGERIE est l’éditeur leader de la gestion des risques cyber en Europe.
EGERIE propose une plateforme collaborative permettant une approche globale, agile et structurée pour la gouvernance, le pilotage et la conformité des risques cybersécurité et la protection des données à caractère personnel.
Reconnue par les plus hautes autorités gouvernementales et réglementaires, la technologie d’EGERIE permet aux entreprises et organisations gouvernementales de comprendre comment elles sont exposées aux risques et de les accompagner dans l’aide à la décision et la détermination des mesures de sécurité à mettre en œuvre.
Pour plus d’information www.egerie.eu

 

 

————–
Les dîners de la rédaction – Qu’est-ce que c’est ?

Prochain diner de la rédaction Alliancy le 28/04 sur le Cloud   Prochain diner de la rédaction Alliancy le 28/04 sur le Cloud

Prochain diner de la rédaction Alliancy le 28/04 sur le Cloud Prochain diner de la rédaction Alliancy le 28/04 sur le Cloud

 

En écho à son crédo éditorial, la rédaction a souhaité proposer des soirées d’échanges, de débats et de prospectives pour se poser et réfléchir ensemble aux transformations qui impactent l’activité des entreprises, des cités, des filières ou des métiers.

A travers ces débats, Alliancy souhaite confronter les acteurs qui construisent cette révolution et ceux qui la vive au jour le jour, pour apporter des éclairages différents sur ces innovations.

La tradition française voulant que les grandes idées émergent autour des meilleurs repas, la rédaction propose ainsi tous les deux mois à des dirigeants d’entreprise, des experts de technologies innovantes et des journalistes dans leur rôle d’observateurs de la société de venir discuter sur un sujet d’actualité autour d’une bonne table.

Les dîners-débat de la rédaction, ce sont des dîners intimes, qui se déroulent à la rédaction, autour de 10 invités pour débattre et anticiper les grandes mutations de vos métiers.