Tiphaine Leduc est coordinatrice de la filière cybersécurité au sein de Bretagne Développement Innovation, agence de développement économique et d’innovation en entreprises pour la région Bretagne. Alliancy s’est entretenue avec elle pour comprendre pourquoi la Bretagne est aujourd’hui considérée comme une capitale européenne de la cybersécurité.
Tiphaine Leduc, coordinatrice de la filière cybersécurité au sein de Bretagne Développement Innovation / © : BDI
Alliancy : Pourquoi l’écosystème breton de la cybersécurité est-il mis aussi en avant ?
Tiphaine Leduc. La Bretagne est un territoire historique pour le domaine des telecom et du militaire. Il y a toujours eu ici une culture de dualité, un enjeu de cohérence entre les enjeux civils et militaires. D’un côté, il y a la DGA Maîtrise de l’information qui forme des experts en cybersécurité, en systèmes d’information, en télécommunications, en guerre électronique, etc… De l’autre, il y a des grands groupes comme Sopra Steria, Orange Business Services, Airbus CyberSecurity France, Dassault Systèmes… On retrouve donc des équipes de chercheurs mixtes qui rassemblent des académiques et des militaires.
Cet écosystème est également favorable à l’entrepreneuriat : beaucoup d’ingénieurs de grandes écoles viennent ici pour fonder leur start-up. Ce n’est pas un indicateur de développement économique fiable mais cela montre le dynamisme et l’attractivité de la région. Favoriser la coopération entre public et privé en cybersécurité est un enjeu de souveraineté, notamment pour protéger les secteurs d’intérêt national. C’est pourquoi nous mettons en place des chaires de recherche sur des applicatifs académiques pour mieux faire collaborer les laboratoires avec le secteur militaire et industriel.
A lire aussi : Infographie : L’âge d’or du ransomware
Pourquoi se focaliser plus particulièrement sur les PME ?
Tiphaine Leduc. Il y a aujourd’hui un certain niveau de maturité dans le domaine de la cybersécurité. Les acteurs de la cybersécurité s’adressent aujourd’hui à un marché plus large comme celui des PME et les ETI, car ces entreprises deviennent de plus en plus des cibles. Elles sont plus faciles à attaquer, plus vulnérables et souvent ne présentent pas le niveau d’hygiène numérique requis. Le cyber n’est plus l’apanage des grands acteurs industriels.
Pourquoi se focaliser plus particulièrement sur les PME ?
Tiphaine Leduc. Il y a aujourd’hui un certain niveau de maturité dans le domaine de la cybersécurité. Les acteurs de la cybersécurité s’adressent aujourd’hui à un marché plus large comme celui des PME et les ETI, car ces entreprises deviennent de plus en plus des cibles. Elles sont plus faciles à attaquer, plus vulnérables et souvent ne présentent pas le niveau d’hygiène numérique requis. Le cyber n’est plus l’apanage des grands acteurs industriels.
Quand les PME ont décidé de s’y mettre, elles s’en remettaient souvent aux sous-traitants d’un grand groupe. Mais la cybersécurité c’est plus simple qu’on ne le croit. Ce n’est pas une simple démarche “geek”. Les PME peuvent se lancer elles-mêmes, il suffit de placer le curseur au bon endroit. Bien sûr les coûts peuvent s’avérer importants mais la situation peut être bien plus dramatique en cas d’attaque. Il faut donc évaluer l’impact potentiel et prévoir quels moyens mettre en place pour assurer sa sécurité.
Une stratégie de cybersécurité, c’est avant tout une culture. Elle prend donc du temps à mettre à place et ce n’est pas en “one shot” qu’elle sera efficace. Il faut commencer par choisir une priorité et se faire accompagner tout le long du développement de la structure. Cela veut dire renforcer son infrastructure par des solutions de protection et sensibiliser les collaborateurs à une bonne hygiène numérique.
Mais le plus important reste la proximité : trouver des experts qui peuvent vous accompagner proche de chez vous. Et ensuite, penser à embarquer tout le monde : les collaborateurs, le Codir, le Comex… Une bonne sécurité ne pourra être mise en place efficacement si il n’y a pas un effort de sensibilisation et de formation en amont.
A lire aussi : FIC2020] Guillaume Tissier (CEIS) : « Les entreprises n’ont plus la maladie de la cybersécurité honteuse »
La Bretagne est aussi parfois qualifiée de “capitale européenne de la cyber”… pourquoi ?
Tiphaine Leduc. Nous sommes impliqués au niveau européen dans le cadre du programme Interreg Europe pour améliorer l’efficacité des politiques de développement régional dans le domaine de la cybersécurité. Le projet “Cyber” nous permet de mener des actions de lobbying pour porter la voix des PME sur la scène européenne. En partenariat avec The European Cyber Security Organisation (ECSO), nous sommes en contact avec une dizaine de régions (en Estonie, Toscane, Wallonie, Castilla Leone…) pour identifier leurs caractéristiques cyber propres et établir des complémentarités, des passerelles entre ces différents acteurs.
Par exemple, l’Estonie est spécialisée en réaction et offensive tandis que la Bretagne est orientée sur le préventif, l’identification et la protection. C’est un moyen de favoriser la coopération interrégionale et de construire un référentiel pour les industriels et les entreprises. Nous avons contribué avec ECSO au développement du radar européen de la cybersécurité pour permettre de faire le tri parmi les offres cyber.
Nous devons porter une vision européenne de la cybersécurité, distincte de celle portée par les États-Unis. Le Cyber Act par exemple marie extrêmement bien les besoins de souveraineté et de fonds et permet une meilleure coopération entre États et grandes entreprises.
Nous pourrons vous retrouver les 28, 29 et 30 janvier à Lille pour le FIC. Que venez-vous y montrer ?
Tiphaine Leduc. Au FIC, nous présenterons 17 nouvelles start-up cyber. C’est un moyen de montrer que le dynamisme de création de start-up est primordial pour enrichir l’écosystème de la cybersécurité. Parce que la nature même de la cybersécurité évolue : ce n’est plus simplement un aspect d’ordre technique mais aussi un enjeu de conseil, de gouvernance, de gestion de crise… Nous avons par exemple des start-up qui proposent de l’accompagnement juridique ou encore du développement d’intelligence artificielle pour le profilage de maillons faibles humains dans une organisation.
Tout est lié car la cybersécurité ne peut seulement être axée sur la détection. Une bonne sécurité c’est un bon compromis entre le soft et le hard, entre sécurité technique et accompagnement cyber. Par exemple, on retrouve des experts comptables qui peuvent être aptes à parler de cyber aux dirigeants d’entreprises ou encore des cabinets d’avocat qui travaillent avec des experts en cybersécurité pour renforcer leur travail d’audit.
C’est la sixième année que nous participons au FIC. Et la particularité pour cette année, c’est que des sociétés, qui faisaient partie de notre écosystème, auront leur propre stand sur le salon. Certaines de nos anciennes start-up ont signé avec des grosses industries et d’autres se sont lancées de manière autonome.