00:00Good morning business, parole de patron.
00:04François Vériden, bonjour.
00:05Vous êtes fondateur et directeur général de Skyfall Protection.
00:08Vous avez signé une tribune dans le monde après les cyberattaques dont a été victime l'État,
00:13notamment ses données piratées à Bercy à l'Éducation Nationale
00:16et récemment la plateforme gouvernementale Zéro Logement Vacant.
00:20Pour vous, l'État est-il insuffisamment protégé ?
00:23L'État non seulement est insuffisamment protégé,
00:27mais il n'a pas pris la mesure de la menace depuis des années.
00:31À date, les prestataires privés pourraient aider l'État.
00:39Or, la Cour des Comptes a mis en lumière le fait qu'il y avait un empilement des entités
00:44et que ça s'embourbait dans le système.
00:47Mais vous le dites, c'est par un manque de prise de conscience ou c'est par négligence ?
00:54Je suis mal passé pour dire si c'est de la négligence ou pas.
00:58En tout cas, de la prise de conscience, je pense qu'elle est prise depuis très longtemps.
01:02Ce n'est pas la première fois qu'on a des cyberattaques en France, et partout ailleurs d'ailleurs.
01:07Cependant, la prise de conscience est trop tardive.
01:09On est dans le trop tard.
01:12Il y a quelques années, on disait, la question c'était, est-ce que, aujourd'hui c'est quand ?
01:17Il n'y a plus de doute.
01:17Quand est-ce qu'on sera attaqué ?
01:19Ça veut dire que ces données piratées à Bercy, à l'Éducation nationale,
01:22ça peut se reproduire demain, sans difficulté ?
01:25Oui, si le nécessaire n'est pas fait, oui, bien sûr.
01:28Le pire dans tout ça, c'est l'utilisation des données qui ont été collectées.
01:31C'est-à-dire que les hackers ont collecté plus de données que les services de renseignement étatiques
01:38et sont en capacité de pouvoir tout savoir sur votre vie
01:42et de pouvoir utiliser vos données personnelles.
01:44Avec quelles conséquences précises, concrètement ?
01:46Concrètement, vous pouvez demain vous voir, contre votre gré, souscrire un prêt
01:52et avoir une dette que vous n'avez absolument pas souscrite.
01:57C'est très dangereux.
02:00Aujourd'hui, on est dans un domaine de dangerosité élevé.
02:03Vous dénoncez le retard français dans la transposition de la directive européenne
02:09NIS2, Network and Information Security,
02:12donc la sécurité des réseaux de l'information.
02:14Ça changerait quoi si on l'avait transposé, cette directive ?
02:17En fait, aujourd'hui, il y a déjà la Nice qui est en place.
02:19Le problème, c'est que la Nice 2 étend le spectre de prise en charge
02:26des sociétés privées comme publiques,
02:29qui se sont privées en public.
02:31Aujourd'hui, il y a à peu près 350 sociétés qui sont dépendantes de cette norme.
02:35Et cette nouvelle évolution de la Nice pousse à quasiment 15 000 sociétés
02:43à devoir s'équiper et se mettre au même niveau de cyber que ces donneurs d'ordre ou prestataires, par
02:53exemple.
02:53Quel genre d'équipement faut-il ?
02:55Alors, dans toute norme, il y a deux aspects.
02:58Il y a l'aspect organisationnel, donc c'est faire des tests,
03:03mettre en place des personnes référentes, etc.
03:05Et après, effectivement, il y a ce qu'on appelle du hard et du soft.
03:08Donc, il y a un certain... il y a un pléthore de solutions.
03:12Nous, effectivement, on en propose une qui a le mérite de répondre à une partie technique.
03:18Mais il faut bien comprendre une chose, c'est un ensemble, une norme.
03:21Et si on n'applique pas cela,
03:25eh bien, ça continuera à engendrer les cyberattaques que l'on a.
03:28Après votre tribune dans le monde, vous avez eu un retour des garanties.
03:32Peut-être qu'il y ait donc une loi au Parlement pour transposer ces directs.
03:36Non, le problème, c'est que cette loi a déjà été votée et a accepté de mémoire au Parlement.
03:46Elle est bloquée dans les méandres de l'Assemblée nationale.
03:50De la navette parlementaire ?
03:51Voilà, de la navette parlementaire, absolument.
03:53C'est une catastrophe. Enfin, c'est vraiment une catastrophe.
03:55C'est une catastrophe, ça veut dire que c'est une question de souveraineté ?
03:57Ah, c'est une question de souveraineté.
03:59Il ne faut pas oublier une chose.
04:00Alors, il y a le public, bien évidemment.
04:02Mais ce qui paye le public, c'est le PIB.
04:04Et 82% du PIB, c'est quand même la TPE, PME, PMI qu'il produit.
04:09Et donc demain, si les attaques stoppent cette ressource,
04:15le public n'en aura plus non plus.
04:17Donc, il est temps de se réveiller.
04:20Il est temps de se mettre au travail, très sérieusement.
04:23L'État peut se débrouiller tout seul ?
04:25Il doit faire appel au privé en matière de cybersécurité ?
04:28Non, l'État aujourd'hui est dépassé.
04:32On a vu, M. Lecornu a mis en place,
04:37souhaite mettre en place une task force spécifique
04:39pour pouvoir intervenir en cas de cyberattaque
04:41dans les différents ministères.
04:42Mais en réalité, ça existe déjà.
04:44Philippe Latombe l'a déjà rappelé.
04:46Ça s'appelle un CERT.
04:48Et aujourd'hui, on empile,
04:49dès qu'il y a un problème, on empile une nouvelle entité.
04:52Mais en fait, les ressources ne sont pas distribuées
04:55et ne sont pas utilisées à bon escient.
04:57Mais ça existe, mais c'est mal utilisé, ce que vous dites.
05:00Absolument.
05:00Donc, on a les moyens de le faire,
05:02mais encore, faut-il le mettre en œuvre ?
05:03On a les moyens physiques, humains, à date, de pouvoir le faire.
05:08Financiers, à mon avis, on ne les a pas suffisamment mis en place.
05:11C'est une question d'argent aussi ?
05:12Bien sûr. Il faut des moyens pour mettre tout ça en place.
05:14Mais vous dites qu'on a les logiciels, finalement ?
05:17Alors, on a les moyens humains.
05:21Logiciellement parlant, on manque de souveraineté
05:23et le public n'a pas fait ou ne fait pas suffisamment confiance
05:26aux acteurs privés souverains qui créent des solutions.
05:29Il y en a plein qui existent.
05:31Voilà.
05:32Et c'est en cela que c'est dommage.
05:34Alors, les entreprises aussi sont victimes,
05:36pas que les entreprises publiques.
05:38Est-ce que vous avez un ordre de grandeur
05:40du nombre d'attaques recensées ?
05:41Alors, recensées, l'année dernière,
05:44on parlait d'un demi-million d'attaques.
05:46Ça représente une augmentation d'à peu près 78%
05:49sur la dernière année écoulée,
05:52entre l'année passée et l'année écoulée.
05:55Donc, c'est quand même...
05:56Et c'est seulement recensé,
05:57puisque tout le monde ne fait pas les déclarations,
06:00effectivement, d'une cyberattaque
06:01lorsqu'elle l'a subie pour des raisons réputationnelles.
06:05Absolument.
06:06Sauf qu'elle doit quand même prévenir ses clients.
06:08Quand elle le fait.
06:10Si on est abonné à Skyfall Protection, par exemple,
06:13est-ce qu'on est sûr de ne jamais être piraté ?
06:14Non.
06:15Alors, ça, c'est encore un...
06:18Si vous avez un prestataire demain qui vous dit
06:20avec ma solution, il ne vous arrivera jamais rien,
06:23fuyez-le tout de suite.
06:24N'y allez surtout pas.
06:26Nous, on apporte une réponse sur deux aspects.
06:29Le premier aspect, c'était de se dire...
06:31Un petit client, enfin une petite PME, PMI,
06:33se dit souvent, moi je suis trop petit,
06:36on ne cherchera pas à m'atteindre.
06:38Aujourd'hui, on peut difficilement dire
06:39que ça n'arrivera plus.
06:41Et le deuxième aspect, c'était le tarif.
06:44Aujourd'hui, pour être équipé à peu près correctement,
06:46il faut être mis sous surveillance sur ce qu'on appelle un SOC,
06:49Security Operation Center,
06:51qui est un genre de centre qui surveille l'ensemble
06:53de votre écosystème informatique.
06:54et ça coûte 18 000 euros en moyenne par an,
06:58en heures ouvrées et en jours ouvrés.
07:02Nous, on propose une alternative
07:06qui est de raccorder une box
07:08dans un centre de télésurveillance,
07:10et c'est pour ça qu'on parle de cybersurveillance,
07:12qui permet effectivement de faire remonter une alerte
07:1524h sur 24, c'est le jour sur 7,
07:16et de couper une connexion qui serait nocive.
07:20De cette manière-là, on circonstruit un risque
07:22et on stoppe une attaque.
07:25Tout en fait qu'on arrive à la détecter.
07:27Ça, c'est encore une autre histoire.
07:28En combien de temps vous arrivez à stopper une attaque ?
07:30Nous, on s'engage en 13 minutes
07:32à pouvoir stopper l'attaque.
07:33Et vous détectez quoi comme type d'attaque ?
07:35À peu près tout.
07:37En fait, on est une IA embarquée dans notre système
07:40qui permet d'apprendre des attaques des autres.
07:43On se base effectivement sur des annuaires mondiaux
07:46comme la MITRE ou l'UVD,
07:48qui est son homologue européenne.
07:51L'apprentissage de l'ensemble de l'écosystème
07:53fait grandir la base de données interne de Skyfall.
07:56Et donc, on devient de plus en plus efficace.
07:58Merci François Véridem d'avoir été notre invité ce matin
08:01dans Parole de Patron,
08:01fondateur et directeur général de Skyfall Protection.
08:05Une chronique à retrouver en podcast
08:07et en replay sur le site BFM Business.
08:10Merci François Véridem.
