- 26/05/2025
Multiplication des attaques, montée en puissance des menaces, conséquences économiques lourdes… les industriels sont devenus des cibles de choix. Derrière les chaînes de production, c’est tout un territoire qui peut vaciller. Face à ce risque, quelles solutions concrètes ? Comment les acteurs locaux s’intègrent-ils dans cet écosystème de défense ?
Catégorie
🗞
NewsTranscription
00:00C'est parti pour un débrief un peu spécial parce qu'aujourd'hui nous sommes au Creusot.
00:08Pourquoi ? Parce que se joue la cybersécurité ici dans tout le territoire.
00:13C'est le premier forum in cyber qui se joue dans les territoires et donc qui se passe au Creusot où nous sommes avec David Marty.
00:19Bonjour. Bonjour. Je vous ai déjà reçu mais je vais vous représenter maire de la ville du Creusot.
00:23Vous êtes aussi président de la communauté urbaine Creusot-Monceau où est organisé cet événement exceptionnel.
00:29Unique même puisque c'est le premier du genre. On a délocalisé notre plateau pour l'occasion. Comment ça se passe déjà pour vous ? Vous êtes satisfait ?
00:38Écoutez après une première matinée très effervescente je vais dire avec beaucoup d'échanges, beaucoup d'interconnexions et une grande satisfaction visiblement.
00:49Ce que j'ai pu en tout cas percevoir à la fois des partenaires, à la fois des participants qui sont nombreux et donc une belle, belle, belle matinée.
00:59Vous sentez la mobilisation autour de ce sujet de la cybersécurité ?
01:03Mobilisation, prise de conscience et puis envie de travailler ensemble aussi. C'est ça qui est important.
01:09Avec nous également aujourd'hui Vincent Champin. Bonjour Vincent.
01:13Senior exécutif vice-président en charge du digital et de l'IT, membre du comité exécutif de Framatome, un acteur majeur évidemment du secteur nucléaire, filial du groupe EDF.
01:23Vincent vous êtes venu ici pour aller chercher quoi ? Des solutions ? Vous en avez déjà beaucoup chez Framatome j'imagine en matière de cybersécurité ?
01:32D'abord on est très attaché à la région. C'est une région dans laquelle on est présent depuis des décennies.
01:36On a le cœur du cœur des centrales nucléaires, ce qui se fait ici.
01:41Deuxième point, tout ce que David Marty organise, on est en général derrière parce qu'on sait que ça va marcher.
01:47Et puis troisième point, la cybersécurité c'est un domaine extrêmement important, particulièrement important pour les industries critiques.
01:54Les industries critiques c'est des industries dans lesquelles les risques vont coûter très cher.
01:58Et de plus en plus parmi ces risques, il y a des risques cyber.
02:02Et donc aujourd'hui assurer la sécurité d'un équipement nucléaire, c'est pas seulement avoir des gardes, avoir une cuve qui résiste à toutes les scénarios de pression.
02:12C'est aussi être sûr que les systèmes informatiques résistent à toutes les attaques.
02:16Et donc on est venu pour rencontrer notre écosystème, pour présenter nos solutions et puis aussi pour écouter ce que nos clients et nos partenaires ont à nous dire.
02:25Également autour de la table, Vincent Thomas, bonjour.
02:28Vous êtes président de l'université Bourgogne Europe ainsi que vice-président du conseil des moyens et des personnels de France Université.
02:37Les universités font partie des cibles aujourd'hui des cyberattaquants ?
02:41Ah oui, quotidiennement nous sommes attaqués avec un pic toujours avant les vacances de Noël.
02:47Sans doute, c'est le père Noël hacker qui nous attaque.
02:51Mais pour nous, la cybersécurité, je le considère comme une industrie du cerveau et de la compétence et des métiers, des futurs métiers.
02:59Et nous sommes évidemment comme toute entité un peu importante, extrêmement dépendants de systèmes cyber, on va dire, de qualité, résistants, résilients face aux attaques dont nous sommes les cibles.
03:16Et puis, puisque nous formons et que nous faisons de la recherche, eh bien oui, nous formons aussi nos étudiants à la cybersécurité.
03:22Et nous menons également des actions de recherche dans ce domaine.
03:25Et enfin, Nicolas Uaz est avec nous.
03:27Bonjour Nicolas.
03:28Bonjour.
03:29Vous êtes co-fondateur et CTO d'Interstice. D'ailleurs, je suis passée devant pour arriver jusque dans notre studio ici.
03:35Donc, entreprise de la région, entreprise française, lauréate d'un appel à Projet France 2030.
03:42Interstice est à la tête du consortium Hexagone qui développe une suite collaborative hautement sécurisée.
03:48Et puis, ce qu'on appelle aujourd'hui souveraine, alternative à Microsoft 365.
03:53Est-ce que là, au sein de l'écosystème, quand je dis ça, ça résonne ? Aujourd'hui, on cherche des alternatives ?
04:01Oui, vous avez tout à fait raison.
04:02Donc là, avec tout ce qui se passe sur le contexte géopolitique, je pense que la prise de conscience, elle est nécessaire.
04:08Elle est nécessaire au niveau des organisations, à la fois publique, privée et tout type d'organisation.
04:12Se poser la question, c'est mes données, est-ce qu'elles sont sécurisées ?
04:15Première question.
04:16Mais également, c'est sécurité en termes juridiques.
04:19Où est-ce qu'elles sont stockées ? Parce que si elles sont stockées sur le territoire français, européen ou extraterritorial, ce n'est pas du tout la même question juridique.
04:29Et donc, il y a une vraie dimension de sécurité derrière parce que mon information peut être ultra sécurisée.
04:34Mais si derrière, elle peut être lue par différentes personnes, sans mon consentement, quitte de la sécurité.
04:40Donc, il y a pour moi maintenant le mot souverain.
04:41En plus, ça peut être trompant parce qu'on peut être hébergé en France, mais pas forcément être soumis uniquement aux lois françaises.
04:47Alors, tout à fait. C'est pour ça que nous, de notre côté, dans ce consortium, on a pris le choix d'héberger nos données, mais également les données de nos clients,
04:54sur un hébergement souverain qui répond à la partie Secnum Cloud, donc cette certification qui est délivrée par l'ANSI.
05:04Et pour être tout à fait transparent, on travaille, on est partenaire de 3DS Outscale, qui est une filiale de Dassault Systèmes.
05:09Alors, notre sujet aujourd'hui, c'est la cybersécurité de manière générale, mais en particulier pour les collectivités.
05:19Qu'est-ce que ça veut dire, David Marty ?
05:22Alors, c'est les collectivités, bien entendu, mais c'est aussi les entreprises, comme on l'a dit.
05:26Mais les collectivités ne prenaient sans doute pas suffisamment conscience qu'elles étaient des cibles, également.
05:34Et nous avons eu de nombreux exemples de collectivités qui ont été attaquées, pas très loin d'ici, d'ailleurs.
05:42On en a eu quelques-unes. Nous sommes nous-mêmes attaqués régulièrement, avec peu de conséquences, parce que nous nous préparons.
05:49Mais il peut y avoir des conséquences fortes. Ça a été le cas, je vous dis, dans certaines villes autour de nous, des hôpitaux, également, publics.
05:58Et donc, il faut absolument que les collectivités, qui sont des acteurs, quelque part aussi économiques, de par leurs investissements, de par le service public qu'ils rendent,
06:08soient parfaitement armées pour contrer ces attaques.
06:12Ça veut dire, quel défi a relevé aujourd'hui ?
06:15Le défi, c'est d'abord la formation du personnel. Pas simplement du personnel au niveau DSI.
06:21C'est la formation de tout le personnel sur les gestes, sur les habitudes à prendre, sur les attentions particulières, de manière à détecter ce qui n'est pas normal.
06:32C'est aussi une affaire ressource humaine, bien entendu, c'est-à-dire de se doter de personnels qui sont en capacité, eux, de contrer les attaques et d'être en permanence en plus formés.
06:46Parce qu'on voit bien que c'est un secteur où les hackers, eux, vont très vite, se forment très vite aussi, aux nouvelles technologies, aux boucliers qui sont mis en place et arrivent à les contourner.
06:58Donc c'est une formation quasi permanente. Ça nécessite des moyens financiers. Mais c'est des moyens financiers qui sont obligatoires, faute de quoi on se retrouvera complètement paralysé.
07:12Vincent Champin, en termes de politique publique, comment vous avez vu les choses évoluer ? Parce que je dois rappeler quand même que vous avez débuté votre carrière dans la haute fonction publique.
07:21Vous étiez directeur du cabinet d'Éric Besson, qui était à l'époque le secrétaire d'État au numérique sous le gouvernement Fillon.
07:27Vous pensez qu'on a pris un peu de retard sur cette question cyber ?
07:32Deux choses. On a évolué. Il y a une vingtaine d'années, on avait créé l'ANSI. À l'époque, il n'y avait pas d'organisme central qui pouvait travailler à la fois sur les risques cyber internes à l'État, puis les risques externes.
07:47Mais la menace, elle a aussi beaucoup évolué. Je vais donner quelques chiffres.
07:50Aujourd'hui, le nombre de personnes qui travaillent au cyber escroquerie de toute nature, c'est des personnes qui vous envoient des faux SMS sur le compte de formation jusqu'au hacker, on estime que ça emploie entre 500 000 et 1 million de personnes dans le monde.
08:04C'est une force de frappe extrêmement forte. Aux États-Unis, le coût des cyber escroqueries, on estime que ça fait six fois le coût des vols de voitures.
08:14Ce n'est pas quelque chose de marginal du tout. Est-ce qu'on a pris du retard ? J'allais dire qu'on s'est amélioré.
08:19La menace a progressé, et surtout, elle a changé de nature.
08:23C'était vraiment des sujets d'hyper techniciens il y a 20 ans. La personne commune ne s'en occupait pas.
08:30Aujourd'hui, le principal maillon faible, c'est des maillons faibles, comme ça a été évoqué par David Marti, en termes de culture, de formation.
08:40Pour donner un exemple, vous allez dans une usine, quelqu'un qui ne porte pas ses gants ou son casque, tout de suite, on va le remarquer.
08:45Vous venez deux fois de suite dans la même usine, il y a toujours le même problème. Là, vous n'allez pas parler au patron d'usine.
08:50Maintenant, une entreprise dans laquelle, deux fois de suite, un salarié va cliquer sur un lien de phishing, est-ce qu'on va être aussi vigilant ? Peut-être pas.
08:58Pour rassurer, je pense que ce n'est pas très différent à dire dans le monde. Je pense qu'on a vraiment des talents, et ça a été évoqué aujourd'hui.
09:05On a une industrie qui se développe. Framatome fait des solutions, on développe des solutions souveraines.
09:11Mais je pense qu'on sous-estime, la force de frappe, c'est devenu une industrie qui, en termes de taille, est plus importante que l'industrie du cinéma au niveau mondial.
09:19Oui, il faut bien prendre conscience de ça, effectivement. Alors, vous nous l'avez dit, Vincent Thomas, à l'université, on a pris conscience de ces sujets.
09:27On a des formations aussi en matière de cybersécurité. Pour autant, il y a encore des choses à faire. Lesquelles ?
09:36Alors, les choses, elles sont à destination, effectivement, aussi des collaborateurs de l'université, des personnels de l'université.
09:46Et ne serait-ce que ce matin, je présidais le conseil du numérique de l'université Beauvoir Europe,
09:50et nous avons soumis la charte des bonnes pratiques que doivent suivre l'ensemble des personnels,
09:56de l'université, y compris le président, avec les mails, avec les sites sur lesquels nous allons,
10:04avec les sollicitations qu'on a, avec différentes formes de hacking qui sont assez courantes chez nous.
10:13Donc ça, c'est vraiment le premier aspect.
10:17Le deuxième aspect de notre activité, c'est de former nos jeunes.
10:21Juste avant de parler des jeunes, mais juste pour revenir sur l'université, c'est combien de personnes ?
10:28Alors, c'est 3 000 personnels.
10:31Alors, si on élargit, puisque nous sommes restructurés, on a un turnover qui est...
10:38On a plusieurs catégories de personnels, fonctionnaires et des contractuels.
10:41Chez les contractuels, il y a plus, évidemment, de turnover.
10:43Mais globalement, l'emploi est stable.
10:48Voilà. Et puis, c'est 35 000 étudiants qui sont des usagers de nos services informatiques,
10:55nos réseaux, qui ont tous des comptes, des boîtes mail, etc.
11:01Pour nous, la sécurité, c'est quelque chose...
11:04Si vous voulez, j'ai appris, au fur et à mesure de ma fonction de président,
11:08à devenir de plus en plus paranoïaque.
11:10Je peux vous l'assurer, au début, j'estimais que mes services numériques,
11:15ma direction numérique, exagéraient un peu.
11:18En réalité, pas du tout.
11:20Et donc, on parlait de matériel et de coût.
11:23Je sais ce que c'est un pare-feu à 800 000 euros, si vous voulez.
11:26Mais je sais aussi, et je rejoins le président Marty dans son propos de tout à l'heure,
11:31je sais aussi qu'aujourd'hui, de même qu'on ne peut pas travailler sans électricité,
11:35on ne peut pas travailler sans réseau numérique.
11:39C'est devenu totalement impossible, cela vous replongerait au temps des cavernes.
11:43Et il n'y a plus d'activité possible sans réseau.
11:46Alors, a fortiori dans le domaine économique, parce qu'il y a un résultat économique à avoir.
11:50Mais pour nous, l'absence de réseau qui fonctionne,
11:55c'est synonyme d'arrêt total de toute activité de recherche, de formation.
12:01On ne peut plus travailler.
12:02Alors, seuls les paranoïaques survivent, dit Andy Groove.
12:08On a parlé de la question de la souveraineté, qui fait partie de la sécurité.
12:14Mais j'ai aussi dit que ce sur quoi vous travaillez,
12:17c'était aussi la question de l'ultra-sécurisation de cette suite collaborative.
12:21Qu'est-ce que ça veut dire ? Qu'est-ce qu'on met derrière l'ultra-sécurité ?
12:24Déjà, je rejoins ce que vous disiez tout à l'heure.
12:27Il faut savoir que 80% des attaques cyber sont dues à l'humain.
12:30Donc, la sensibilisation, pour répondre clairement à votre question, elle est majeure.
12:35On a une personne, un RSSI, en fait, chez nous, en interne, qui ne fait que ça.
12:40Qui fait de la sensibilisation à la sécurité.
12:42Toute personne qui arrive chez Interstice, dirait que son premier jour,
12:44elle a une heure et demie de sensibilisation à la sécurité.
12:46Qu'est-ce que le phishing ?
12:47Quelles sont les bonnes pratiques ?
12:49Qu'est-ce qu'un coffre fornumé ?
12:50Que ça, ça, la base.
12:51Sans ça, comme je vous le répète, 80%.
12:53Donc, déjà, on élimine quand même beaucoup de choses.
12:55Première chose.
12:56Deuxième élément, ça passe par le personnel, mais également par la sécurisation des réseaux,
13:01comme vous l'avez indiqué, et donc des personnels formés.
13:04Formés, on va parler sensibiliser, mais là, je parle de formation technique,
13:07comme vous l'aviez évoqué tout à l'heure dans les parcours que vous proposez.
13:10D'où mon intérêt.
13:10Donc, c'est l'élément essentiel, et que ce soit, ce que vous disiez tout à l'heure, David,
13:16que ce soit du régulier.
13:17On ne se forme pas et après, c'est fini.
13:19Non, c'est une formation régulière pour se rappeler des choses.
13:23C'est comme un incendie, comme on disait tout à l'heure,
13:24des incendies ou des tests d'incendie se font régulièrement.
13:26C'est exactement la même chose.
13:28Troisième élément, c'est du chiffrement de la donnée.
13:31Ces éléments, cette donnée, elle ne peut pas être accessible,
13:34elle est chiffrée sur certaines normes et qui correspondent à des normes validées.
13:37Et bien évidemment, le stockage.
13:39Où est-ce que ma donnée est stockée ?
13:40Voilà les grandes lignes un petit peu sur lesquelles on travaille.
13:43Et ça, ce sont des arguments qui sont écoutés aujourd'hui par les clients ?
13:47De plus en plus.
13:49De plus en plus, je pense que, un, dans un premier temps,
13:52en tout cas, tout dirigeant, organisation publique ou privée,
13:55déjà doit se poser la question de la sécurité.
13:58Pour moi, ce n'est plus, ce qu'on disait tout à l'heure,
14:01quelque chose qui est à part, en fait, au fait, la sécurité.
14:04Non, ça doit être du quotidien.
14:06La sécurité, en tout cas chez nous, c'est du quotidien là-dessus.
14:08Tout ce qu'on fait, on se pose des questions de sécurité.
14:10Et donc, c'est où est ma donnée ?
14:12Et donc, où elle est stockée ?
14:14Comment les maîtriser ?
14:15Et donc, qui peut y accéder ?
14:17Mais ce n'est pas facile de s'y retrouver parmi la quantité d'offres,
14:21j'imagine, de cybersécurité que vous voyez.
14:23Ici, on en a beaucoup de représentants aussi.
14:26Comment est-ce qu'on fait son tri ?
14:27Comment est-ce qu'on fait son choix ?
14:29Quelles sont les priorités ?
14:31Qu'est-ce que vous regardez en premier ?
14:34Je voudrais rebondir sur ce qui vient d'être dit avant,
14:37si vous permettez, par rapport à la question que vous avez posée,
14:40en disant, mais est-ce que maintenant,
14:42vos clients sont sensibles à ça, etc.
14:45Ils le sont de plus en plus, je confirme.
14:47Mais n'oublions pas qu'il y a un caractère obligatoire
14:52qui va être imposé de manière législative
14:56puisque la déclinaison de la directive européenne NIS 2,
15:02transposée à la loi française,
15:04va obliger les chefs d'entreprise, les collectivités
15:08à se doter de moyens de sécurité
15:12et faute de quoi, il y aura des pénalités financières.
15:16Et c'est normal.
15:16Déjà aujourd'hui, on nous demande, nous, dans les collectivités,
15:21quelles sont les personnes qui ont accès au réseau.
15:24Et on est obligé de donner nominativement
15:27les personnes qui ont accès au réseau.
15:29Donc, il y a un caractère obligatoire
15:31pour un certain seuil de collectivité ou d'entreprise
15:34qui va être fixé.
15:36Sinon, on paiera des pénalités.
15:37Alors après, comment choisir ?
15:39Avec qui travailler ?
15:40Comment ?
15:41Eh bien, vous voyez, c'est tout l'objectif de ce forum.
15:44C'est pour ça qu'on a fait aussi ce forum in cyber
15:46sur les territoires parce que, ben oui,
15:49quand vous allez à Lille, à Tokyo, etc.,
15:52oui, vous avez là toute une catégorie de professionnels,
15:57d'experts.
15:58Dans les territoires, c'est moins évident.
16:01Et donc, l'intérêt de faire ce forum,
16:02c'est aussi qu'au plus près des territoires,
16:05les entreprises puissent avoir des interlocuteurs crédibles
16:10qui vont les aider, qui vont les accompagner.
16:14Et ça, c'est fondamental.
16:16C'est fondamental.
16:17Vous savez, dans une petite entreprise,
16:19un artisan qui se voit attaqué,
16:22il est seul.
16:23Il est démuni.
16:24Seul et démuni.
16:26J'ai des exemples.
16:27Seul et démuni.
16:28Eh bien, depuis que nous faisons ce travail
16:30avec le FIC, avec le général, etc.,
16:33ils ne sont plus seuls.
16:34Parce que dès que j'en ai la connaissance
16:36ou dès que quelqu'un dans mon entourage a la connaissance,
16:39qu'est-ce qu'on fait ?
16:39On téléphone.
16:41On passe un coup de fil.
16:41On dit, là, on a une entreprise.
16:43Comment on fait ?
16:44Et là, ça fonctionne tout de suite.
16:46Donc, l'objectif, c'est de développer ce réseau
16:49de manière à ce qu'on ne se sente plus seul
16:52et que dès qu'on est attaqué, à ce moment-là,
16:54il y ait tout un réseau qui se mette en place
16:57et qui agisse.
16:58Je vais faire la promotion du 17Cyber.
17:00On a eu cette initiative qui a été lancée
17:02par le groupement d'intérêt public ACIMA,
17:06la gendarmerie nationale, la police nationale
17:08qui est derrière, avec vraiment un point de contact unique.
17:12Voilà, si on a l'impression d'avoir été victime
17:15d'une cyberattaque, en tout cas,
17:16ça fait un point de contact important.
17:20Parce qu'on dit, c'est vrai qu'on est sorti du champ
17:23de la cybersécurité réservée aux techniciens,
17:25mais ça reste quand même un sujet pointu.
17:27quand on est à la tête d'un groupement universitaire,
17:31comment on s'y retrouve ?
17:32Comment on trouve les bons interlocuteurs ?
17:35On trouve les bonnes solutions ?
17:36On a des gens particulièrement compétents dans nos services
17:39qui sont de très haut niveau,
17:42qui ont souvent un doctorat en informatique,
17:44qui sont ingénieurs de recherche, ingénieurs d'études,
17:47et qui sont totalement à la pointe
17:51des évolutions technologiques,
17:54qui se forment, qui s'auto-forment parfois,
17:57qui se forment entre eux,
17:58et qui prennent aussi appui de l'expertise
18:01qu'on peut trouver ailleurs, à l'extérieur.
18:03Et vous avez cité l'un de ces tout à l'heure,
18:05nous avons une cyberattaque le jour où nous sommes passés,
18:07nous avons fait une transformation,
18:09nous sommes passés de l'université de Bourgogne
18:10à l'université Bourgogne Europe,
18:11le 7 janvier, le lendemain des vacances de Noël.
18:14À 16h le lundi, nous avons subi une attaque
18:19qui venait du Brésil et qui nous a immobilisés
18:23jusqu'au lendemain 11h du matin.
18:26Eh bien, nous sommes appuyés sur l'Annecy,
18:28c'était un peu notre 17 cyber, n'est-ce pas ?
18:32Et nous avons pu non seulement résister
18:34grâce au travail conjoint et à la compétence très pointue
18:37de nos agents, de travail conjoint,
18:41de nos agents et de l'Annecy,
18:44nous avons pu résister et rétablir l'intégralité
18:46de notre système en quelques heures.
18:48Voilà, réactivité, une mobilisation également
18:53parce qu'il y a de l'humain derrière.
18:55Président Marty, vous avez parfaitement raison.
18:57Nous avons une équipe de permanence,
19:0124 heures sur 24, 365 jours par an,
19:04enfin 4 ou 5, ça dépend des années bissextiles.
19:07Et donc, dimanche, jour férié, Noël,
19:12vraiment en permanence.
19:14Donc, être attentif, bien sûr,
19:16et puis être compétent.
19:18Je crois que la compétence dans ce domaine
19:19est absolument indispensable.
19:21Outre, évidemment, la nécessité,
19:23comme je le mentionnais tout à l'heure,
19:25de réaliser les investissements nécessaires
19:26parce qu'il n'y a pas que de la connaissance
19:29et du software, il y a aussi du hardware.
19:30Eh oui, d'investissement.
19:31Si on regarde plus précisément dans l'industrie,
19:37le niveau de la menace,
19:38les conséquences d'une cyberattaque,
19:41on comprend bien la criticité du sujet.
19:45Il y a ce défi aujourd'hui dans l'industrie
19:47de l'IT et de l'OTI.
19:49Comment est-ce qu'on va sécuriser tout ça ?
19:52Est-ce qu'il faut mettre justement des parois étanches
19:53entre son IT et son OTI ?
19:57Comment est-ce qu'on s'organise face aux nouvelles attaques
20:01parce que les attaques se renouvellent aussi
20:02avec l'arrivée de l'intelligence artificielle ?
20:06Il faut être créatif des deux côtés.
20:08Alors, les attaques se renouvellent
20:09à chaque nouvelle technologie.
20:11Chaque nouvelle technologique apporte des vulnérabilités.
20:14Premier point.
20:14Deuxième point, c'est infiniment plus facile
20:17d'attaquer que de se défendre.
20:18Celui qui attaque, il entre par une fenêtre.
20:20Celui qui doit se défendre,
20:21il doit regarder toutes les fenêtres possibles
20:22et la porte également.
20:24Alors, l'enjeu dans l'industrie par rapport à ça,
20:27c'est d'abord, comme on l'a dit tout à l'heure,
20:32on a à la fois des risques qui sont des risques économiques
20:35ou industriels ou de réputation.
20:37En gros, les risques pour nous, c'est le sabotage,
20:39le risque réputationnel, c'est-à-dire des documents
20:41qui devraient sortir et qui ne devraient pas sortir
20:43et qui sortent, l'image de l'entreprise,
20:46surtout quand elle est dans les domaines critiques,
20:47l'exfiltration de données confidentielles internes
20:52ou l'exfiltration de données à des clients.
20:54En fait, quand on est une grande entreprise,
20:55le premier risque, c'est ce qu'on appelle le risk supply chain,
20:58c'est-à-dire des fournisseurs qui vont être moins solides
21:01en cybersécurité que vous l'êtes vous-même.
21:02Et donc, il faut regarder tout le monde.
21:04Tout le monde, c'est compris le stagiaire que vous recrutez
21:06pour un mois ou même le stagiaire de seconde
21:10qui va venir pour trois semaines,
21:11qui ne va pas avoir une formation de cybersécurité.
21:13Et s'il a une machine, il y a un risque.
21:14Donc ça, c'est quelque chose auquel il faut faire attention.
21:17Deuxième point, on a coutume de dire
21:19que le logiciel mange le monde.
21:21C'est-à-dire qu'il y a de plus en plus de choses
21:22qui sont faites par des logiciels.
21:23Et donc, de plus en plus de problèmes
21:26à ce que les logiciels s'arrêtent.
21:28Avant le Covid, une panne réseau
21:31dans une entreprise, une université,
21:32ça n'avait aucune conséquence.
21:33Si elle durerait cinq minutes.
21:34Au jour d'aujourd'hui, immédiatement,
21:35tous ceux qui sont sur Teams vous appellent
21:37en disant qu'il y a un problème,
21:38est-ce que tu peux le réparer ?
21:39Donc, on est de plus en plus dépendant à la technologie.
21:42Et donc, du coup, il faut faire de plus en plus attention.
21:45Et puis, deuxième point,
21:46comme ça a été dit par le président Marty,
21:48les réglementations gagnent en maturité.
21:51Et donc, il faut à la fois se protéger économiquement
21:53et puis surtout être en règle
21:55par rapport à la réglementation.
21:57Et sur l'IT et OT, en fait, les deux convergent.
21:59C'est-à-dire qu'il y a 20 ans,
22:00on avait effectivement les systèmes informatiques
22:02des usines qui étaient coupés d'Internet
22:04et qui étaient dans une zone à part.
22:06Et les systèmes IT des gens dans les bureaux.
22:08Au jour d'aujourd'hui,
22:10c'est souvent les mêmes machines,
22:11les mêmes technologies.
22:12Tout est connecté.
22:13Donc, plus de risques.
22:15Plus de risques à tel point que Gartner,
22:16depuis 2023,
22:17n'utilise plus le terme OT,
22:18parce que pour eux, tout ça a convergé.
22:21Oui.
22:21Et avec cette pression quand même dans l'industrie,
22:24de passer à l'industrie 4.0,
22:26avec la 5G, la 6G,
22:27donc on augmente considérablement les surfaces d'attaque.
22:31On augmente considérablement les surfaces d'attaque.
22:33À moitié vide, pardon.
22:35Et si je compare d'ailleurs les méthodes
22:36qu'on a de gestion des risques dans la partie nucléaire,
22:38où on gère aussi des risques très sérieux,
22:40et dans la partie informatique,
22:41la partie informatique, la difficulté,
22:43c'est que vous devez articuler des milliers de briques légaux
22:46qui sont plus ou moins documentées,
22:49dont les comportements, quelquefois,
22:50peuvent avoir des défauts,
22:52alors que dans la partie nucléaire,
22:53la Q, vous la connaissez,
22:54vous l'avez faite,
22:55vous avez fait des études.
22:56Donc la partie informatique,
22:57elle pose des challenges en termes de gestion des risques
22:59qui sont d'une très, très grande complexité.
23:01On évoquait la question de l'investissement nécessaire.
23:06Quand on est du côté des fournitures,
23:09du service sécurisé,
23:11ça veut dire qu'il faut aussi mettre
23:13beaucoup d'investissement ?
23:15Oui, tout à fait.
23:16Que ce soit un investissement financier,
23:17déjà, un, au-delà de ça,
23:19c'est bien choisir ses partenaires.
23:20Je pense que c'est essentiel.
23:22Deux, c'est les contrôler et les maîtriser,
23:26bien évidemment.
23:27Et ensuite, effectivement,
23:28on parlait d'investissement,
23:29c'est investir dans ses partenaires
23:31et investir également dans l'humain
23:33qui est au sein de la société
23:35pour pouvoir, au bout du compte,
23:36capitaliser là-dessus
23:37et d'arriver à avoir un niveau d'excellence
23:39en termes de fonctionnalité,
23:41mais également conjointement
23:43en termes de sécurité.
23:44Pour moi, c'est lié.
23:45Et donc, on vend de la sécurité
23:46chez Interstice.
23:48Et donc, c'est d'arriver à avoir
23:49un haut niveau d'exigence à ce niveau-là.
23:51Et donc, forcément,
23:51ça part par de l'investissement.
23:55Pour faire simple,
23:56nous, on ne travaille que avec du Secnum Cloud,
23:57que je vous rappelle,
23:58une certification délivrée par l'ANSIC,
23:59un des plus hauts au niveau en France,
24:01eh bien, c'est 20% plus cher
24:03en termes d'hébergement
24:04qu'un hébergement standard
24:07que dans d'autres cloud providers.
24:08Donc, c'est un vrai investissement.
24:09Mais...
24:09Être sur une technologie souveraine,
24:11ça coûte plus cher.
24:14Souveraine et sécurisée.
24:15Donc, oui, ça coûte plus cher,
24:17mais la sécurité a un coût.
24:18On l'a dit tout à l'heure.
24:19Maintenant, pour moi,
24:21on est dans un monde
24:21où il n'y a plus de questions
24:23à avoir là-dessus.
24:24Bien évidemment,
24:25il y a des réflexions,
24:26il ne faut pas y aller n'importe comment.
24:26Mais la sécurité doit être prise en compte
24:29et elle a un coût.
24:30Oui, c'est vrai,
24:31qui n'est pas neutre,
24:32loin de là,
24:33mais elle est essentielle.
24:34Sinon, on ne pourra pas
24:35te faire de cyber.
24:36Ça, c'est sûr.
24:37Oui.
24:37Mais bon,
24:38c'est moins facile
24:38à vendre une solution onéreuse
24:40parce que les budgets
24:43sont contraints.
24:44Comment est-ce que les collectivités
24:48peuvent accompagner, justement,
24:51les universités,
24:53les hôpitaux
24:53à bien s'équiper,
24:55trouver les bonnes solutions,
24:56trouver le juste budget ?
24:58Les collectivités,
24:59elles accompagnent globalement
25:01tous les acteurs économiques,
25:03tous les acteurs institutionnels
25:04qui sont sur leur territoire.
25:06C'est ce que nous faisons
25:07à la communauté urbaine.
25:09L'université,
25:10on a des relations permanentes
25:11avec le président Vincent Thomas,
25:15avec ses équipes,
25:17ses vice-présidents.
25:18Et nous sommes là
25:20pour, justement,
25:22les aider
25:22en cas de besoin,
25:25bien entendu,
25:25avec nos propres ressources,
25:27comme ils peuvent nous aider
25:29avec leurs ressources,
25:30également.
25:31Et donc,
25:32c'est ce travail partenarial
25:33qui fait qu'on arrive
25:35à accompagner
25:36sur l'ensemble
25:38du développement,
25:39soit d'une entreprise,
25:40soit d'une institution.
25:42C'est notre rôle
25:43en tant que collectivité.
25:44En tout cas,
25:44c'est comme ça
25:45que nous avons voulu
25:46le faire ici.
25:47C'est ce qu'on appelle
25:48l'accompagnement 360
25:49sur tous les étages
25:51du développement.
25:53Et je ne dis pas
25:55qu'on arrive à tout faire,
25:56mais en tout cas,
25:57rien que le fait
25:58d'être aux côtés
26:00des acteurs,
26:01c'est déjà pour eux
26:02un soutien.
26:03Et puis,
26:05quand on parle de coût,
26:06parce qu'effectivement,
26:07ça coûte,
26:07ça nous coûte
26:08à toutes et à tous,
26:09mais quand on n'a pas
26:10le choix,
26:10de toute façon,
26:11il ne faut pas réfléchir
26:12parce qu'on n'a pas le choix.
26:13Vous savez,
26:13dans une entreprise,
26:14aujourd'hui,
26:15un chef d'entreprise,
26:16si je parle ici
26:17des entreprises
26:17sur notre territoire,
26:19les plus importantes,
26:21les chefs d'entreprise
26:21sont d'abord jugés
26:22sur la sécurité
26:23avant même
26:24le chiffre d'affaires.
26:25C'est-à-dire
26:26un chef de site
26:28dans une industrie
26:29où il y a
26:3015 accidents de travail
26:32dans l'année,
26:32il ne restera pas,
26:34même si le chiffre d'affaires
26:35est bon.
26:35je pense que
26:37ce sera de plus en plus
26:38comme ça
26:38et y compris
26:39sur les aspects
26:39cybersécurité,
26:40nous serons jugés,
26:41je parle des entreprises
26:42mais des collectivités
26:43également,
26:44sur les aspects
26:45de sécurité.
26:46Oui,
26:46parce que c'est le sujet
26:47de la confiance
26:47qui se retrouve
26:49au cœur de tout ça.
26:50Si vous aviez
26:51un conseil
26:52peut-être
26:52à partager
26:53avec une organisation
26:55qui cherche
26:55à mieux se protéger
26:57aujourd'hui ?
26:59Alors juste
26:59deux mots,
27:00culture et résilience.
27:01Culture,
27:02c'est de se dire
27:02que la sécurité
27:03cyber,
27:03c'est comme la sécurité
27:04des personnes,
27:05c'est une question
27:05de culture.
27:06Donc ça,
27:07ce n'est pas quelque chose
27:07qu'il faut laisser
27:08entre les mains
27:09d'un responsable cyber,
27:10c'est une question
27:10de culture.
27:11Et résilience,
27:12même si on est
27:13le meilleur au monde,
27:14il y aura forcément
27:14un jour où il y aura
27:15une attaque,
27:15donc il faut être prêt
27:16à réagir vite
27:17et à la stopper
27:18le plus vite possible.
27:19S'entraîner donc,
27:20il faut s'entraîner,
27:21faire des exercices cyber.
27:23Un conseil,
27:24juste rapidement ?
27:25Si j'avais un conseil,
27:26ce serait de se faire
27:28accompagner,
27:29de se faire aider,
27:31si possible,
27:31des acteurs locaux,
27:33mais de bien se faire
27:34accompagner par rapport
27:35à ça,
27:36de bien découvrir
27:37ce monde,
27:38si c'est un petit peu nouveau,
27:40et de bien comprendre
27:41aussi,
27:41ça c'est très essentiel,
27:43c'est les enjeux.
27:44Quels sont les risques
27:45et les enjeux derrière ?
27:46Il faut démocratiser
27:47la sécurité.
27:50Elle est essentielle,
27:50il faut qu'elle devienne
27:51régulière,
27:52ce n'est pas forcément
27:53quelque chose
27:53d'hyper contraignant,
27:54mais il faut
27:55que ça devienne
27:57normal et quotidien.
27:58Sans ça,
27:59ça va être compliqué.
28:01Un conseil pour vos pères ?
28:03Un conseil,
28:03j'en sais rien,
28:04un mot anticipation,
28:06anticipé sur les problèmes
28:08qu'on peut imaginer
28:09à venir de cybersécurité,
28:12il y a un mot
28:12qu'on n'a pas encore prononcé
28:13aujourd'hui,
28:14alors même qu'on le prononce
28:15à longueur de journée,
28:15c'est l'intelligence artificielle
28:16et comment donc se mettre
28:18à l'intelligence artificielle
28:19dans des conditions
28:19de sécurité optimales,
28:21ce qui commence déjà
28:22à être un objet de réflexion
28:24dans mon université,
28:25on en parlait ce matin.
28:26David Marti,
28:27juste très rapidement.
28:28Ah ben très rapidement,
28:29moi, je le dis,
28:31il faut parler,
28:32il faut dire,
28:35dénoncer,
28:36ne pas rester seul.
28:38Trop de,
28:39aujourd'hui,
28:40trop d'entreprises,
28:41voire de collectivités,
28:43quand elles sont attaquées,
28:44essayent de se débrouiller
28:44toutes seules,
28:45voire même de négocier
28:46avec les hackers.
28:48C'est la chose
28:48à ne pas faire,
28:50malheureusement,
28:50parce que ça dessert
28:51tout le monde.
28:51et donc,
28:52dès qu'on est attaqués,
28:54il faut tout de suite le dire,
28:55s'adresser à des professionnels
28:57de manière à pouvoir agir
28:59assez vite.
28:59Merci beaucoup à tous
29:01de nous avoir éclairés.
29:03Merci d'avoir partagé aussi
29:04vos retours d'expérience.
29:06C'était Smartech,
29:06merci à vous de nous suivre
29:08sur la chaîne
29:08Be Smart for Change.
29:09A très bientôt.
Recommandations
4:35
|
À suivre
6:14
13:21
17:12