- il y a 17 minutes
Samedi 19 septembre 2026, retrouvez Sara Bonomi (Juriste IA, Privacy et Cybersécurité, Harness) et Frédéric Duflot (CEO, Examin) dans LEX INSIDE, une émission présentée par Arnaud Dumourier.
Catégorie
🗞
NewsTranscription
00:09On poursuit avec notre débat, réglementation, contrat, gouvernance, assurance, prestataire,
00:17l'arsenal existe, on l'a vu à l'instant, mais est-il à la hauteur d'une menace de
00:22plus en plus
00:23sophistiquée ? On en parle tout de suite avec mes invités et je vais commencer avec vous,
00:28Sarah, pour voir vraiment comment ça se passe dans l'entreprise et de voir la nature de ce risque cyber.
00:37On a vu tout à l'heure les différentes formes de cyberattaques, concrètement quand une entreprise
00:44veut se mettre en ordre de marche face au risque cyber, par où elle doit commencer ?
00:49Alors la première étape sûrement essentielle c'est la cartographie, donc il faut comprendre quels sont
00:55les règlements qui s'appliquent, les règlements, les textes de loi qui s'appliquent en concret
00:59à notre entreprise et une fois avoir identifié les textes qui s'appliquent, il faut identifier
01:04en suivant les obligations qui vont être applicables aussi à notre cas.
01:11Normalement c'est le travail du juriste, du compliance officer ensemble, mais donc ça
01:17c'est vraiment la première étape.
01:18Si on ne connaît pas les règles, on ne peut pas derrière construire un système de
01:22conformité efficace.
01:24Donc une fois avoir identifié les différents textes et les différentes obligations qui
01:29dépendent souvent aussi de notre marché, de notre activité, etc.
01:34Il y a trois leviers aussi fondamentaux.
01:37Il y a avant tout, comme je disais tout à l'heure, la gouvernance.
01:40Donc il faut effectivement s'assurer que l'équipe dirigeante soit formée aux risques
01:46cyber, mais qu'ils soient également impliqués, donc qu'ils soient informés des risques
01:56auxquels l'entreprise peut faire face.
01:58Les différents types de risques.
01:59Exactement, qu'ils soient impliqués dans la décision de la stratégie cyber, qu'ils
02:03soient impliqués quand il y a des incidents et surtout que l'équipe dirigeante puisse
02:06aussi surveiller la mise en place de ces éléments parce que selon Nice et Dorin, en
02:11fait, les dirigeants sont aussi responsables de la mise en place.
02:14Donc il y a une responsabilité qui est administrative, pas pénale, heureusement, mais du coup, il
02:19y a cet élément de la responsabilité qui a été introduit qui a fait effectivement
02:23changer un peu la culture aussi autour de l'importance du risque cyber dans l'entreprise.
02:29Ensuite, il y a les volets sensibilisation pour toute l'entreprise, donc pas seulement l'équipe
02:35dirigeante, mais tous les employés parce que c'est essentiel que les employés adoptent
02:38aussi les bons risques et les bonnes pratiques concernant une hygiène cyber et qu'ils puissent
02:43reconnaître les risques d'attaque avant que ceci se produise.
02:48Et finalement, un élément essentiel qu'on a cité aussi dans l'introduction, c'est la
02:53maîtrise de la sous-traitance.
02:55Pourquoi c'est important la maîtrise de la sous-traitance ?
02:58Eh bien parce que très souvent, comme justement Frédéric le disait parfaitement, alors
03:01les grandes entreprises, surtout aujourd'hui, sont assez prêtes, elles sont préparées,
03:05elles ont les équipes, elles ont formé l'expérience pour faire face aux cyberattaques.
03:10Les problèmes, ce que les rapports aussi de l'enzyme est en évidence, est surtout
03:15un risque qui va attaquer plutôt les PME.
03:19Donc on voit que c'est souvent plutôt les PME qui ne sont pas vraiment toujours prêtes
03:24devant les risques cyber et donc c'est plus réaliste, c'est plus possible qu'une
03:33cyberattaque arrive de la part d'un sous-traitant plutôt qu'une attaque frontale vers la grande
03:39entreprise.
03:51D'accord.
04:02Alors je voudrais revenir sur un point qui me semble important, c'est la nécessité
04:07de sensibiliser les équipes et notamment le board.
04:11Est-ce que c'est véritablement un sujet majeur de l'entreprise ou c'est vu encore
04:16comme un sujet IT ?
04:18Alors je pense que la culture est en train de changer, mais effectivement on part de
04:24loin dans le sens que la NIS2, DORA, les règlements qui s'appliquent aujourd'hui veulent
04:30vraiment dans leur esprit changer effectivement la culture de la cyber, veulent que les sujets
04:36cyber ne soient plus un sujet relégué uniquement à l'IT, au RSSI, à la DCI, etc.
04:41Mais qui deviennent un sujet d'entreprise autant que la conformité financière ou réglementaire.
04:46Donc l'idée c'est vraiment de pouvoir faire en sorte que les équipes et évidemment
04:51aussi les équipes dirigeantes s'approprient du sujet.
04:54Après comment faire ça ? Comme on disait à travers la sensibilisation, les formations.
04:59Donc déjà c'est une obligation pour les dirigeants d'être formés au moins une fois
05:03par an.
05:03Mais la formation aussi ne doit pas être tout simplement un e-learning pour cocher une case
05:08formalement. Ça doit être vraiment quelque chose qui permet aux équipes de connaître
05:14effectivement et de savoir reconnaître les risques cyber, les enjeux pour l'entreprise
05:18et comment y faire face.
05:19Ça peut être une mise en situation, simuler une attaque par exemple ?
05:22Exactement. Ça c'est une des choses que je conseille à chaque fois. Ce sont ce qu'on appelle
05:26en anglais les tabletop exercises. Donc on fait des simulations pratiques.
05:29et on a justement un cas qui va être tailored, qui va être construit un peu sur le cas
05:39de l'entreprise. Donc quelque chose qui soit approprié pour l'entreprise en elle-même
05:43et qui va aider les entreprises à se mettre un peu dans le jeu, à comprendre un peu comment
05:51réagir dans les cas de stress parce que c'est souvent des situations très stressantes.
05:55et va aussi nous permettre de tester du coup les politiques de gestion des crises
06:01qu'on doit mettre toujours en place selon les textes des lois qu'on a cités.
06:06Et en plus de ça du coup je dirais que l'autre élément que je remarque aussi souvent
06:13qui est très important c'est l'effet que souvent manque un pont entre les techniques
06:19et l'élément de surtout les niveaux de la direction. Et ça c'est souvent le cas
06:24quand on n'arrive pas à traduire des sujets techniques à un langage plus opérationnel
06:31et financier. Donc moi je préconise ça et je le conseille à chaque fois, pas seulement
06:35pour la cybersécurité mais aussi par exemple dans les rapports de DPO ou dans d'autres rapports
06:40juridiques quand on parle de contentieux etc. De traduire les chiffres, de ne pas arriver
06:45tout simplement avec un rapport trimestriel avec plein de données techniques et des chiffres
06:50mais de le traduire vraiment en un langage plus financier dans le sens de dire
06:55si on est impacté, si on est touché par ces cyberattaques, les risques en termes de perte
07:01de chiffre d'affaires vont être de X, les coûts directs vont être de Y, les coûts d'une amende
07:09peut être entre 1 million et 5 millions. Si on met en place ces mesures préventives,
07:16les coûts vont être de ça et donc sur la base quand les équipes...
07:20On fait différents scénarios c'est ça ?
07:22Exactement et surtout on donne des chiffres. C'est ce qui permet les plus aux équipes
07:26qui ont l'habitude de décider rapidement sur des nombres de faits concrets
07:30de prendre des décisions plus avisées. Et c'est ça effectivement ce que le règlement et les directives
07:35veulent. Ils veulent aussi des prises des connaissances qui soient basées sur des faits concrets.
07:41Et donc ça, ça permet effectivement de traduire un peu et de démystifier,
07:45de rendre la cyber plus compréhensible aussi pour les non-experts.
07:50Frédéric, je vais revenir à vous sur... On a parlé d'empilement des textes tout à l'heure avec Sarah.
07:56Est-ce que cet empilement de textes a suffi à protéger l'entreprise selon vous ?
08:01Non. L'empilement, il donne un cadre. Entre guillemets. Ou les textes juridiques donnent un cadre.
08:06Ils ne sécurisent pas en tant que tel. Derrière, il faut mettre en place des actions.
08:09C'est d'ailleurs ce que préconisent tous ces textes. C'est de mettre en place des analyses de risque,
08:14des homologations, des mesures techniques, mais pas que effectivement de la sensibilisation, etc.
08:19Et c'est après que vous pourrez être en sécurité. C'est après avoir mis tout ça.
08:23Donc la conformité, c'est que le début. Effectivement, on va cartographier les textes.
08:27On va cartographier également son système d'information pour savoir sur quoi on va faire reposer ces règles.
08:33Et après, derrière, on va mettre en place de la sécurité. On va vérifier que c'est bien fait.
08:36On va revenir un an plus tard pour vérifier que ça n'a pas divergé, etc.
08:40Ça veut dire que c'est tout un processus ?
08:41On a l'habitude en cybersécurité de parler d'amélioration continue.
08:45C'est-à-dire que c'est un cercle. Et quand on a fini le cercle, on repart pour un
08:49tour, etc.
08:50Pourquoi ? Parce que la menace, elle évolue. La menace d'il y a cinq ans, ce n'est pas
08:54celle d'il y a dix ans et ce n'est pas celle d'aujourd'hui.
08:56Et ce ne sera pas celle de demain. Donc on met en place des nouveaux outils, on met en place
09:00des nouveaux process.
09:01Hier, c'était les ransomware qui étaient très à la mode, on va dire.
09:05Aujourd'hui, un petit peu moins. On assiste à un petit peu moins de ransomware, un peu plus d'exfiltration
09:08de données.
09:10Demain, ça sera peut-être autre chose. On a eu la grande époque des changements de site Internet, du defacing,
09:16des attaques en déni de service. Là, il y en a peut-être un peu moins en termes de masse.
09:21Mais voilà. Donc ça évolue tout le temps. Les outils évoluent, les usages évoluent, nos systèmes évoluent.
09:26Ça veut dire qu'il faut se former régulièrement ?
09:28Il faut se former et surtout, il faut maintenir une bonne connaissance de son entreprise et de son système d
09:33'information.
09:34Sarah a parlé tout à l'heure de sous-traitance. Aujourd'hui, n'importe quel PME a plus de 30
09:40à 40 sous-traitants.
09:41Toutes les applications web que vous avez en SaaS pour gérer vos tâches, pour faire les RH, etc.,
09:48ce sont des sous-traitants qui eux-mêmes sont exposés à des attaques et qui vous mettent en danger.
09:53Donc si vous en avez 30 à 40, il faut gérer 30 à 40 sous-traitants sur la partie cyber.
09:57Ça veut dire qu'il faut les auditer régulièrement et voir avec eux les process ?
10:01Alors, oui, dans l'idéal, mais on n'a pas tous ni le temps, ni l'argent, ni non plus
10:06la capacité à imposer à des grands sous-traitants
10:08type Amazon, etc., ou même un peu plus petits, de le faire.
10:12Ce qui est essentiel, et je reboucle un peu avec ce que disait Sarah, la cartographie, savoir ce qu'on
10:17a dans l'entreprise
10:18et surtout ce qui est critique, et mettre son effort sur les éléments les plus critiques.
10:23C'est ça qui est important.
10:24On laisse de côté ce qui l'est un peu moins, par contre, sur les aspects critiques,
10:28là, oui, on peut se permettre de mettre un peu plus d'argent, un peu plus d'efforts, un peu
10:31plus de ressources.
10:32Sans ça, vous êtes perdus déjà de base.
10:35Si on revient au texte juridique, parfois, le juridique est vu par les opérationnels comme un frein.
10:45Est-ce que le problème, c'est véritablement le texte juridique en lui-même ?
10:51Est-ce que c'est un problème, d'ailleurs ?
10:54Le problème, c'est l'empilement.
10:55Si on en fait un pas de côté, on prend un peu de recul et on se dit, du point
11:01de vue de l'utilisateur,
11:01du point de vue de l'entreprise, qu'est-ce qui lui arrive dessus ?
11:05Effectivement, il lui arrive peut-être du NIS2, du DORA, du RGPD.
11:08Donc déjà, il en a trois, qu'il doit appliquer de manière directe.
11:11Mais il y a aussi tous ces clients qui lui imposent de respecter des règles, des questionnaires de sécurité.
11:17Donc là, il va en recevoir 1, 2, 10, 20.
11:21Et tous ces clients, ils ne demandent pas forcément exactement ce que demande la norme.
11:25Ils peuvent demander quelque chose qui est relatif à leur politique de sécurité.
11:28Donc au final, l'entreprise cliente ou le fournisseur, il se retrouve avec 20 questionnaires de sécurité à gérer.
11:34Donc ça veut dire quoi ? 20 promesses de sécurité avec ses clients.
11:37Il doit aussi faire plaisir à l'ANSI, aux autorités, à la CNIL, etc.
11:43Donc au bout d'un moment, lui, il fait des choix.
11:45Il n'a pas forcément un million d'euros à mettre dans la cybersécurité.
11:48Donc ce qui se passe, c'est qu'il va dire, ok, ça je prends, ça je ne prends pas.
11:52Et puis de temps en temps, il restera des trous.
11:54D'accord. Vous semblez partager cet avis, Sarah ?
11:58Oui, c'est clairement le cas, je pense, surtout pour les petites ou moyennes entreprises.
12:03Dans le sens...
12:04Et c'est dans ce sens-là que le Digital Omnibus va beaucoup aider.
12:08Pourquoi ?
12:08Parce que l'idée, c'est vraiment de s'amplifier et d'essayer de rationaliser un peu.
12:12D'un point de vue de la protection des données, on a l'RGPD, on a un texte principal.
12:17Dans la cyber, on en a plusieurs.
12:19Justement, comme Frédéric disait, si on a aujourd'hui une entreprise qui est active dans les secteurs financiers
12:24et qui en plus a un produit numérique qui produit elle-même et qui met sur les marchés une application,
12:32etc.,
12:32elle devra être en conformité avec l'RGPD, avec Nice 2 quand il sera en vigueur,
12:38avec Dora, avec Cera.
12:40Et puis, il y a tout un autre volet, toute une autre liste de lois en plus.
12:45Donc, ça fait beaucoup, effectivement.
12:47Donc, moi, je suis d'accord avec Frédéric.
12:50Et je pense, côté fournisseur, si je peux rajouter aussi un conseil,
12:55c'est celui d'investir dans les certifications.
12:59Certifications genre ISO 27001.
13:02Pourquoi c'est important ?
13:04Parce que c'est vraiment un actif commercial énorme.
13:07Donc, d'un côté, ça peut aider à prouver, ça c'est aussi prévu dans l'RGPD,
13:11il y a un article, l'article 32, qui dit que les mécanismes de certification constituent une preuve
13:17que l'entreprise a mis en place des mesures de sécurité appropriées.
13:21Après, ça ne signifie pas que la CNIL perd son pouvoir de sanction.
13:26Elle peut quand même, évidemment, décider de réaliser une audite
13:31ou sanctionner l'entreprise qui s'est quand même certifiée.
13:34Ça, ça n'exclut pas, un n'exclut pas l'autre.
13:36Mais l'effet d'avoir mis en place, d'avoir obtenu une certification de cybersécurité
13:41est quand même une preuve de défense recevable.
13:44Et il s'agit aussi quand même, il faut le dire,
13:46toutes ces certifications sont des standards internationaux,
13:50surtout les certifications ISO.
13:52Elles sont délivrées par des organismes certifiants indépendants et tiers
13:58avec une durée définie.
14:01Donc, normalement, ISO, c'est trois ans.
14:02Et puis, si on veut la garder, on doit refaire tous les processus d'audit
14:07et remontrer en fait patte blanche, disons comme ça.
14:10Et du coup, de l'autre côté, c'est aussi un lévier commercial énorme
14:14parce qu'en tant que fournisseur, prestataire,
14:16ça nous permet de clôturer vraiment un deal plus rapidement
14:19parce que ça permet de répondre à beaucoup de questions
14:22qui sont dans les questionnaires clients.
14:24Ça permet de rassurer énormément les clients.
14:27Souvent, on va sur les sites internet des fournisseurs GDPR Compliant,
14:31ça ne veut pas dire grand-chose.
14:32Mais quand on a la certification ISO 27001,
14:35Là, ça correspond à quelque chose.
14:36Exactement.
14:37Et donc, ça rassure et ça permet aussi, beaucoup de fois,
14:40de répondre automatiquement à beaucoup de questions
14:44et en fait, de les sauter directement.
14:46Donc, ça permet aussi, du coup, de sécuriser des contrats plus rapidement et plus facilement.
14:52Frédéric, vous pensez quoi de ces aspects ?
14:55Non, les certifications, c'est une jolie marque
14:58parce que ça rassure, effectivement.
15:00De temps en temps, ça peut un peu cacher la misère
15:03parce que la question, c'est vraiment la question du périmètre.
15:06Ce n'est pas parce qu'on a une certification qu'elle vaut pour toute l'entreprise
15:09ou pour tous les produits, ce genre de choses.
15:12Mais c'est un bon début.
15:13C'est un bon début parce que ça montre qu'on est capable,
15:15la plupart du temps, un, d'avoir entamé une démarche de cybersécurité,
15:19mais également qu'on est capable de suivre quelque chose en long cours.
15:21Ce que dit Sarah, effectivement, une certification ISO 27001,
15:25ce n'est pas sur un an et puis après, on repart.
15:28On va faire des audits de surveillance, des audits de renouvellement, etc.
15:31Donc, quand on s'engage sur une 27001, on s'engage sur 5, 10 ans.
15:35Ça, ça rassure beaucoup et ça permet de créer une culture.
15:39Parce qu'on est véritablement dans une démarche au long cours, comme tu dis.
15:42Exactement, comme de la qualité 9001 que beaucoup d'entreprises connaissent,
15:46on est sur une démarche au long cours avec des ressources,
15:48avec des moyens, avec des compétences qui vont se générer.
15:51Il n'y a rien de pire qu'une entreprise
15:52où on ne sait pas par quel bout commencer pour la cyber
15:55parce qu'on ne s'est pas posé les questions.
15:58Confiez ça à un prestataire qui va nous expliquer les choses,
16:00mais sans même qu'on puisse comprendre ce qu'il dit.
16:02Par exemple, ce n'est pas super efficace.
16:04Donc, la certification permet d'engager vraiment des ressources,
16:08des moyens, des personnes
16:09et permet, in fine, de vraiment monter en compétences.
16:14Puisque c'est ça qui compte.
16:15Il faut réagir et au début de la réaction,
16:18quand il y a une crise, on est tout seul.
16:19Bien sûr.
16:21Et justement, pour bien réagir,
16:23c'est bien d'avoir un plan de gestion de crise.
16:27Sarah, c'est quoi un bon plan de gestion de crise ?
16:31Avant tout, ce n'est pas un document théorique de 200 pages
16:35que personne ne lit.
16:36Donc, ça doit être un plan concret
16:38qui a été construit par rapport aux exigences
16:42et aux caractéristiques concrètes de l'entreprise.
16:45Parce qu'il faut aussi dire avant tout
16:47que la plupart des incidents arrivent souvent
16:50dans des moments qui ne sont pas du tout pratiques.
16:52Donc, d'habitude, pour mon expérience personnelle,
16:55c'est le vendredi soir, c'est pendant les week-ends,
16:59c'est la nuit, ou c'est pendant les jours fériés.
17:02Donc, vraiment, mais c'est fait exprès.
17:04Des moments où on n'y attend pas.
17:05Exactement, c'est fait exprès.
17:06Donc, c'est encore plus important d'avoir un bon plan.
17:08Un bon plan commence avant tout
17:09par une sorte d'annuaire de crise.
17:12Donc, on doit identifier qui sont les acteurs
17:15à l'intérieur de l'entreprise qui vont être impliqués,
17:17qui va faire quoi.
17:19Donc, les juridiques qui vont s'occuper
17:20de la plante pénale et des notifications aux autorités,
17:24les DPO qui vont s'occuper de la notification à la CNIL,
17:27la communication qui va rédiger un plan de communication
17:30si nécessaire, évidemment, l'équipe cybersécurité
17:33qui va être impliquée dès le début,
17:35c'est même le premier acteur qui va intervenir,
17:38et l'équipe dirigeante,
17:40et éventuellement aussi des équipes RH,
17:42s'il y a une application pour les données des salariés.
17:45Donc, moi, ce que je conseille aussi souvent,
17:47c'est d'identifier les personnes compétentes
17:51à l'intérieur de l'équipe.
17:52Évidemment, c'est un document,
17:53les plans de crise, ce sont des documents vivants.
17:57Qui doivent être mis à jour.
17:59Exactement.
18:00Donc, on identifie quand même les personnes
18:02qui sont compétentes.
18:03Ça, c'est important aussi, surtout dans les grands groupes,
18:05où on a une difficulté peut-être à connaître tout le monde,
18:08il y a un turnover, on a différents pays.
18:10Donc, c'est très utile avec l'identification aussi,
18:14vraiment de données de contact mail, etc.
18:16Donc, les boîtes mail de l'équipe.
18:18Une fois qu'on a ça,
18:20une autre chose que je conseille à chaque fois,
18:21c'est d'avoir les templates de notifications
18:23qui sont précomplétés,
18:25as much as possible.
18:27Donc, les plus possibles.
18:28D'accord.
18:28Donc, toutes les autorités mettent à disposition
18:31soit les templates de notifications en PDF sur leur site,
18:34soit, si on va notifier sur leur plateforme,
18:37on peut quand même créer les templates nous-mêmes,
18:39en téléchargeant les questions,
18:40en les mettant dans un document Word.
18:42Et moi, ce que je conseille,
18:44c'est déjà de compléter les champs invariables.
18:46Donc, l'identification de l'entreprise,
18:49l'adresse, les nombres de DPO,
18:51les données de contact de dirigeants,
18:54les représentatives,
18:56les adresses mail, etc.
18:58Comme ça, les moments venus,
18:59on devra compléter uniquement
19:01les détails qui sont vraiment spécifiques à l'incident.
19:04Parce que c'est important de le rappeler,
19:06peut-être, c'est qu'il faut réagir vite à ces data.
19:07Exactement, exactement.
19:09Dans la plupart des cas,
19:10dans la plupart des règlements qu'on a cités,
19:12on a 24 heures pour la première notification.
19:15On a 72 heures pour la notification à la CNIL,
19:17s'il y a aussi des données personnelles qui sont appliquées,
19:20ce qui est presque,
19:22presque exactement,
19:23je dirais au moins la moitié des fois,
19:24c'est le cas.
19:25Il y a aussi la planche pénale pour activer la cyberassurance.
19:28Donc, il y a quand même beaucoup de délais
19:30qui vont s'activer
19:31et qui vont s'échevaucher,
19:36disons comme ça.
19:37Donc, à part ça,
19:39les derniers points,
19:40du coup, c'est,
19:40alors, on a dit annuaire des crises,
19:42on a dit les templates précomplétés
19:44et le dernier élément très essentiel,
19:46c'est de détester les plans.
19:48Comme on disait tout à l'heure avec les exercices,
19:50c'est vraiment les moments,
19:52moi, je dirais d'en faire au moins un par an,
19:54c'est le minimum.
19:55C'est aussi demandé par les règlements,
19:57mais vraiment,
19:58moi, ce que je conseille aussi,
20:00c'est d'en faire plusieurs par an
20:02avec des personnes différentes
20:03de même équipe qui vont être impliquées.
20:05Donc, différentes personnes
20:06de l'équipe juridique,
20:07différentes personnes de l'équipe privacy,
20:09s'il y a plus que le...
20:10Pour que tout le monde soit impliqué.
20:12Exactement.
20:12Et ça permet vraiment qu'on teste
20:14de se rendre compte
20:15si les systèmes qu'on a mis en place marchent.
20:18Si les gens vont effectivement répondre,
20:20comment, effectivement,
20:21quels sont les canals des communications
20:24qui sont les meilleures,
20:26ça permet aussi de sortir un peu
20:28de sa tour dorée en tant que juriste.
20:30Moi, la première fois que j'ai fait ces tests,
20:32j'ai bombardé mes collègues de la cybersécurité
20:34en disant,
20:35oui, mais vous devez me donner les infos
20:37sur les données personnelles,
20:38il y a la CNIL, il y a l'RGPD.
20:40Et il me disait justement,
20:42attends, on est dans la première heure,
20:44on doit comprendre avant tout ce qui s'est passé.
20:46Et puis, on pourra te fournir plus d'informations
20:49et tu pourras faire ton travail de juriste, justement.
20:52Donc, c'est très bien aussi, je pense,
20:54c'est ces exercices.
20:55Et ça permet, après, quand on le fait,
20:57on a les leçons apprises,
20:59on a identifié des lacunes
21:01et on peut améliorer.
21:02Et justement, c'est toujours dans l'idée
21:04de l'amélioration, on continue.
21:05Bien sûr.
21:07Frédéric, on avait vu la nécessité
21:08d'avoir un bon plan de gestion de crise.
21:12Au niveau des ressources institutionnelles,
21:14sur quoi l'entreprise peut s'appuyer ?
21:17Avant de répondre à la question,
21:18je vais rebondir sur ce que dit Sarah.
21:21Plan de gestion de crise, c'est bien,
21:22mais là, on est déjà dans quelque chose d'organisé,
21:24avec des sociétés qui ont déjà des structures.
21:26Ça peut être encore plus simple que ça.
21:29Un numéro de téléphone,
21:30celui du prestataire qui s'occupe de l'informatique,
21:32et un ordinateur dans lequel on a
21:34tous les templates, le plan d'action, tout ça.
21:36Et tout ça, c'est au coffre.
21:37Et tout le monde sait,
21:39quand il y a une crise,
21:40on a le code du coffre,
21:41on l'ouvre,
21:41on vient récupérer l'ordinateur,
21:43regarder ce qu'il faut faire,
21:44appeler le prestataire,
21:45et ça suffit.
21:46Pour une TPE, ça suffit déjà.
21:48En tout cas, c'est un premier pas.
21:50C'est le premier réflexe à avoir ?
21:51Le premier réflexe,
21:52c'est savoir qui appeler
21:53pour se faire dépanner.
21:56Il y a des experts cyber,
21:58il y a maintenant le 17 cyber
21:59en Ile-de-France
22:00qui permet d'appeler,
22:02d'avoir une hotline, etc.
22:03Il y a plein d'organismes.
22:04Mais encore faut-il les connaître
22:05et s'en souvenir quand arrive la crise.
22:07Ce qui permet de rebondir
22:08justement sur la partie institutionnelle.
22:10Aujourd'hui, on a pas mal de choses.
22:11Sarah a déjà cité
22:12les guides de l'ANSI.
22:14Il y a aussi l'ACNIL
22:15qui sort des guides en cybersécurité,
22:17un peu plus orientés
22:18aux données personnelles,
22:19mais néanmoins,
22:20il y a des bonnes pratiques.
22:21On a le 17 cyber
22:22puisqu'on a une hotline
22:24qui est ouverte en Ile-de-France,
22:27notamment,
22:28qui permet de répondre
22:29à ces premiers éléments.
22:30Et puis, on a cybermalveillance.gouv.fr
22:32qui fournit énormément de guides
22:34de bas et de moyen niveau,
22:36je veux dire,
22:36accessibles à tout le monde
22:38et qui permet vraiment,
22:39un, de connaître l'état de la menace,
22:40mais deux, également,
22:41savoir comment réagir.
22:42Donc, on conseille la lecture
22:44de ces guides
22:45à nos téléspectateurs.
22:46C'est ça, tout à fait.
22:47En plus, ils sont plutôt bien faits,
22:49assez joliment réalisés.
22:50Donc, c'est vraiment
22:51un plaisir de le dire.
22:52On va passer maintenant
22:53aux aspects contractuels.
22:55Sarah,
22:56quelles sont justement
22:58les choses
22:59qu'il faut avoir en tête
23:00au niveau contractuel ?
23:01Alors, il y a quelques clauses
23:03qui sont très importantes.
23:04Souvent, ce ne sont pas
23:05les clauses sur lesquelles
23:06on se concentre le plus
23:07quand on négocie
23:08avec nos prestataires.
23:09Souvent, au côté business,
23:10ce n'est pas les centres,
23:11les cœurs du deal,
23:12mais elles sont vraiment importantes,
23:14surtout quand, après,
23:15on se retrouve
23:15dans une situation
23:17de cyberattaque.
23:18Alors, avant tout,
23:20je dirais qu'il faut
23:21se concentrer sur la clause
23:22qui contient
23:23les délais de notification
23:24et, en tout cas,
23:25l'obligation de notification.
23:26Donc, les sous-traitants
23:27doivent notifier les clients
23:28quand il y a
23:29un cyberincident.
23:30La définition va être contenue
23:33dans les contrats,
23:35mais ce qui est très important
23:36est l'effet de pouvoir
23:39inclure un délai précis
23:42qui varie normalement
23:43entre 4 heures
23:44si le client a de la chance
23:46et il arrive à imposer ça
23:47à son prestataire
23:48et 72 heures.
23:50D'accord.
23:50La moyenne est 48 heures
23:51dans les contrats
23:52que je revois
23:52et, en gros,
23:55ça doit être
23:56un délai
23:57qui permet,
23:58effectivement,
23:58au client
23:58de répondre
23:59aux exigences
24:01des notifications
24:02qui sont prévues
24:02dans les textes de loi.
24:03Donc, ça,
24:04c'est le premier élément.
24:06Deuxième élément,
24:07c'est la mention,
24:08c'est la partie
24:09concernant les droits d'audit.
24:11Donc, ça,
24:12c'est quelque chose
24:12qui est prévu
24:13par Dora NS2.
24:14Donc, comme on a dit,
24:15les clients,
24:17les responsables
24:17du traitement
24:18sont responsables aussi
24:20également
24:20de la chaîne
24:21d'approvisionnement
24:22et il doit s'assurer
24:23que ses prestataires
24:25mettent en place
24:26des mesures de sécurité
24:27qui sont appropriées
24:28et ça passe aussi
24:31par la possibilité
24:32d'auditer
24:32ces sous-traitants.
24:33Alors, comme Frédéric le disait,
24:35quand il s'agit
24:36des gros fournisseurs
24:37comme Google,
24:38Amazon,
24:39Microsoft...
24:39On ne peut pas
24:40en poser des choses.
24:41Voilà,
24:41on a leurs contrats standards
24:42sur leur site Internet
24:43et on ne peut rien négocier.
24:45Donc, qu'est-ce qu'on va faire ?
24:46C'est que souvent,
24:47ces gros fournisseurs
24:49dans leur clause d'audit
24:50ne vont pas donner
24:52la possibilité
24:52de réaliser des audits
24:53mais ils vont mettre
24:54à disposition
24:55les rapports de certification.
24:57Ce qu'on disait tout à l'heure,
24:58les rapports ISO 27001,
25:0027701
25:01pour la partie
25:02données personnelles,
25:03l'ESOC 2
25:03qui est plutôt
25:04style américain.
25:05Donc, si on a quand même
25:06la référence
25:07et la possibilité
25:07d'avoir accès
25:08à ces documents,
25:09c'est une alternative
25:11acceptable aussi.
25:12Et c'est aussi
25:13une piste de négociation
25:14du coup
25:14avec d'autres prestataires
25:16plus petits s'ils refusent
25:17de rajouter
25:18une clause d'audit.
25:19Troisième point,
25:20c'est l'effet
25:21de prévoir justement
25:23que les prestataires
25:24mettent en place
25:25des mesures de sécurité.
25:27Moi, je dirais
25:28ne pas avoir,
25:29ne pas accepter
25:30une définition
25:32trop vague
25:32justement
25:33des mesures
25:33de sécurité appropriées
25:35mais faire référence
25:36à nouveau
25:37aux certifications.
25:38Ça, c'est toujours
25:38un bon standard.
25:39Ça passe bien
25:40dans les négociations
25:41parce que tout le monde
25:41les connaît.
25:42c'est vraiment
25:42un standard
25:43du marché.
25:45Donc, bien veiller
25:45à cette clause
25:46dans le contrat.
25:47Exactement.
25:48Puis, la partie aussi
25:50concernant
25:51la sous-traitance,
25:53donc les sous-traitants
25:53de nos sous-traitants.
25:55Donc là,
25:55il faut aussi prévoir
25:56que les fournisseurs
25:57s'engagent
25:58à imposer
25:59les mêmes obligations
26:00ou des obligations
26:01équivalentes
26:01à ses propres sous-traitants.
26:03Et ça se passe aussi
26:04par les droits
26:05que les clients
26:06doivent avoir
26:07d'informations préalables
26:08par rapport au changement
26:09des sous-traitants.
26:10Parce que c'est important
26:12d'avoir le même niveau
26:13de sécurité, c'est ça ?
26:14Exactement.
26:15Dans toute la chaîne.
26:16Exactement.
26:16Et aussi pouvoir dire non.
26:18Effectivement,
26:19si par exemple,
26:19mon sous-traitant
26:20change de fournisseur cloud
26:23et va choisir
26:24un nouveau fournisseur
26:25en Chine ou en Inde,
26:26c'est important
26:27que moi,
26:28je puisse être informé
26:29et éventuellement
26:29que je puisse m'opposer
26:30parce que ça peut
26:31me créer des problèmes
26:31avec la réglementation
26:33en vigueur
26:33en Europe
26:34ou en France,
26:34par exemple.
26:35Donc,
26:36c'est aussi la possibilité
26:37de s'opposer
26:38et aussi le fait
26:39de prévoir
26:40que notre fournisseur
26:42en tant que client
26:43reste finalement
26:44responsable
26:45pour le manquement
26:46de ses fournisseurs.
26:47Donc,
26:47ça,
26:47c'est quelque chose
26:48qui est déjà prévu
26:49par le RGPD
26:49mais dans les cas
26:51des autres règlements
26:52qu'il ne prévoit pas,
26:53c'est quand même bien
26:54de le rajouter
26:54dans le contrat.
26:55Dernier point,
26:56je dirais stratégie
26:57de sortie.
26:58Stratégie de sortie
26:59pour les clients
26:59en cas de défaillance
27:01qui peut être
27:02une défaillance technique
27:02en cyberattaque
27:03ou aussi
27:04de résolution
27:05des contrats
27:06pour manquement contractuel.
27:07DORA,
27:08donc pour les institutions
27:09financières,
27:10prévoit que
27:11les clients,
27:12la banque,
27:12l'assurance,
27:13a le droit
27:13d'obtenir
27:14ces données
27:15et de les avoir
27:16transférées
27:17dans un format
27:18exploitable
27:18à un autre fournisseur
27:20sans discontinuité
27:22de services.
27:22Donc,
27:23ça,
27:23évidemment,
27:23c'est pour assurer
27:24la résilience
27:25des institutions
27:25financières
27:26de nos nations.
27:28Mais du coup,
27:29dans les contrats,
27:30qu'est-ce que ça veut dire ?
27:30Qu'il faudra rajouter
27:32des clauses concernant
27:34ou des annexes
27:35qui prévoient
27:36quel est le format exploitable,
27:38quel type d'assurance
27:39et d'assistance
27:40on demande aux fournisseurs
27:41pendant la migration,
27:42combien de temps
27:42ça va durer
27:43et à quel moment,
27:44après combien de temps,
27:45il faudra
27:46que les fournisseurs
27:47détruisent nos données.
27:48Bon,
27:49on voit qu'il faut être vigilant
27:50sur ces aspects contractuels.
27:52Je voudrais aborder
27:52un autre point
27:53avec vous,
27:54Frédéric,
27:55sur la notion
27:56d'entreprise étendue
27:57que vous avez développée.
27:58De quoi s'agit-il ?
28:01Ça reprend un peu
28:01ce qu'on a dit tout à l'heure,
28:02c'est-à-dire sur le fait
28:04qu'aujourd'hui,
28:05une entreprise
28:06ne peut être conforme
28:07que si elle s'assure
28:08de la conformité
28:08de ses propres sous-traitants,
28:09de ses propres clients,
28:11le cas échéant
28:11et de ses intermédiaires.
28:12C'est-à-dire qu'aujourd'hui,
28:13on n'est pas conforme tout seul.
28:14Il faut vérifier
28:15par la voie contractuelle
28:16ou par d'autres voies
28:17que tous ceux
28:18qui gravitent autour de nous
28:19sont également conformes
28:20et nous permettent,
28:21nous,
28:21de ne pas être responsable
28:22et de devoir
28:24payer des amendes,
28:25etc.
28:26C'était effectivement
28:27les sous-traitants ultérieurs
28:28qu'on évoque à l'ORGPD,
28:29mais on a également ça
28:30dans Dora
28:31avec tout ce qui est
28:33vérification
28:33sur les fournisseurs techniques,
28:34les fournisseurs
28:35de services informatiques,
28:37etc.
28:38Ça veut dire
28:39que l'entreprise,
28:40elle n'est pas simplement
28:41responsable
28:42de sa propre conformité,
28:44mais aussi de la conformité
28:45de ses sous-traitants,
28:46c'est ça ?
28:46Pas tout à fait.
28:47Elle est responsable
28:47de sa conformité,
28:48mais sa conformité
28:49n'est pleine et entière
28:50que si son écosystème
28:51l'est aussi.
28:52D'accord.
28:52C'est vraiment une question
28:53de toile d'araignée.
28:54Vous,
28:55vous êtes au centre,
28:55mais il faut que vous vous assuriez
28:56que tous les petits fils
28:57qui partent du centre
28:58soient également conformes.
29:00C'est pour ça que derrière,
29:01il y a les questionnaires
29:02de sécurité
29:02qu'on évoquait tout à l'heure,
29:03etc.
29:04Donc,
29:05c'est pour ça aussi
29:05que vous avez deux entreprises,
29:07vous avez un questionnaire
29:07de sécurité,
29:08vous avez trois entreprises,
29:10vous avez deux questionnaires
29:11et vous avez mille entreprises,
29:12vous avez potentiellement
29:14un million de questionnaires
29:15à remplir.
29:16Voilà.
29:16Alors,
29:17on a abordé
29:18les aspects de conformité,
29:19les aspects contractuels.
29:21Maintenant,
29:21j'aimerais aborder
29:22les aspects assurantiels.
29:24De votre point de vue
29:25juriste,
29:26Sarah,
29:27quels sont les points
29:28de vigilance contractuels
29:29à avoir en tête
29:30au niveau de l'assurance ?
29:32Alors,
29:33assurance,
29:33moi je parlerais
29:34cyberassurance.
29:35Donc,
29:35c'est un produit spécifique
29:37d'assurance
29:37qui s'applique vraiment
29:38aux pertes financières
29:40et non,
29:41aux pertes qui sont
29:42conséquentes,
29:43qui sont causées
29:44par une cyberattaque.
29:46Donc,
29:46la cyberassurance,
29:47différemment
29:47d'une assurance classique
29:50qui couvre le matériel,
29:51va vraiment couvrir
29:52les conséquences
29:54de l'attaque
29:54sur les finances
29:56de l'entreprise,
29:57ses données
29:58et la responsabilité
29:59vis-à-vis des tiers.
30:00Donc,
30:01la cyberassurance,
30:02après,
30:02il faudra évidemment
30:03négocier avec ses courriers,
30:05mais les points principaux
30:06qui d'habitude couvrent
30:08sont les dépenses
30:09liées à la mitigation
30:11à la réaction
30:11à l'incident,
30:13les coûts liés
30:14à la gestion aussi
30:16judiciaire,
30:17à la communication
30:18envers les sujets
30:19qui sont les personnes
30:20qui sont impactées
30:21et potentiellement
30:22aussi les rinçons,
30:23les paiements
30:23de la rinçon.
30:26Donc,
30:26ça dépend évidemment
30:27à nouveau
30:28des assurances
30:28qu'on souscrit,
30:29mais c'est aussi possible.
30:31La condition,
30:31par contre,
30:32pour activer
30:32la cyberassurance
30:33est le fait
30:34d'avoir déposé
30:35la plante
30:35dans les 72 heures.
30:36Ah, d'accord.
30:37Donc,
30:37bien veiller à le faire,
30:39à respecter le délai.
30:39Exactement.
30:40C'est pour ça
30:40que c'est à nouveau
30:41un autre délai,
30:42et c'est pour ça
30:43que les juristes
30:44ont quand même
30:45un rôle à jouer
30:46en tout ça,
30:48mais c'est la condition
30:50sine qua non
30:50pour pouvoir activer
30:51ensuite tout le reste.
30:53Et après,
30:53il y a quand même
30:54des choses
30:54qui sont exclues
30:55de l'assurance,
30:56dans le sens
30:56des cyberattaques
30:58au niveau étatique.
30:58donc, justement,
31:01on en voit beaucoup.
31:03Les défaillances,
31:04les problèmes
31:05d'épanne
31:05d'un cloud provider
31:07majeur,
31:08et aussi
31:09les manquements
31:12de la part
31:12de l'entreprise
31:13même,
31:14dans le sens
31:14qui est,
31:15si au moment
31:15de la souscription,
31:16on a déclaré
31:19qu'on mettait en place
31:21certaines mesures
31:21de sécurité,
31:23et qu'après,
31:24au moment
31:24de l'incident
31:25et donc
31:25de la déclaration,
31:28on n'arrive pas
31:28à prouver,
31:29on découvre
31:30qu'en fait,
31:31l'assurance découvre
31:31qu'en fait,
31:32ces mesures
31:32n'ont jamais été
31:33mises en place,
31:34et bien,
31:34à ce moment-là,
31:35l'assureur peut se refuser
31:36de dédommager les clients,
31:38donc de rembourser.
31:40Mais,
31:41à part ça,
31:42moi,
31:42je trouve quand même
31:42que l'exercice,
31:43quand même,
31:44comme pour toute assurance,
31:45avant de pouvoir
31:46conclure les contrats,
31:47effectivement,
31:48on doit toujours
31:48faire une sorte
31:49d'audit,
31:50des questionnaires
31:51où on doit
31:51effectivement préciser
31:52quelle est la situation
31:54actuelle,
31:55en fait,
31:55un état des lieux
31:55des mesures cyber
31:57de l'entreprise,
31:58et ça permet aussi,
31:59effectivement,
32:00de faire une sorte
32:01d'audit interne
32:04de soi-même,
32:05de l'entreprise,
32:06donc de comprendre
32:06quels sont un peu
32:07les standards du marché,
32:08qu'est-ce que ça se fait
32:10aujourd'hui
32:11pour avoir
32:12un certain niveau
32:13de maturité
32:13qui assure une bonne
32:14protection aussi
32:15d'un point de vue
32:15d'assurance,
32:16et éventuellement
32:17de pouvoir aussi
32:18remédier derrière.
32:19Donc,
32:20je pense qu'en tout cas,
32:20c'est un exercice aussi
32:21à faire intéressant.
32:23D'accord.
32:24Petite précision,
32:26effectivement,
32:26c'est dépôt de plainte
32:28dans les 72 heures,
32:30attention,
32:30la pré-plainte en ligne
32:31n'est pas considérée
32:32comme une plainte,
32:33donc il faut vraiment
32:34déposer la plainte
32:34soit en commissariat,
32:35en gendarmerie,
32:36où on oublie un petit peu
32:38mais la lettre plainte
32:39au procureur
32:39marche aussi.
32:40Et là,
32:40ça vous assure effectivement
32:41un juriste,
32:42il fait ça très bien,
32:43il envoie ça
32:44dans les 72 heures,
32:45dans les 48 heures
32:45et avec la date certaine,
32:47là,
32:48vous n'aurez pas
32:48de problème d'indemnisation.
32:49En tout cas,
32:51sur ce point,
32:52du point de vue du délai.
32:54On a l'impression,
32:55Frédéric,
32:55que le juriste est présent
32:56et est omniprésent
32:57partout pour tout contrôler,
32:59une véritable tour de contrôle.
33:00Quelle est sa véritable place
33:02selon vous ?
33:03Alors,
33:03ça va dépendre déjà
33:04de la taille de l'entreprise
33:05mais le juriste
33:06peut avoir plusieurs places,
33:07effectivement.
33:07Sa place de prédilection,
33:08c'est sur la partie contractuelle.
33:11Maintenant,
33:12le juriste,
33:14il peut avoir
33:15plusieurs autres missions.
33:17La première chose,
33:18c'est,
33:19je pense que la profession juridique
33:21a un recul,
33:22entre guillemets,
33:22que d'autres professions
33:23n'ont pas,
33:24notamment en cas de crise
33:25parce qu'ils ne sont pas
33:26forcément dans la crise.
33:27Ils sont un petit peu à côté.
33:29Donc,
33:29ils peuvent aussi observer
33:30ce qu'il faut faire,
33:31garder un peu le sang-froid
33:32qu'un technicien informatique
33:33peut perdre
33:34parce que lui,
33:34il est dedans.
33:35Il a ces informations
33:39qui sont exfiltrées,
33:40etc.
33:41Le juriste,
33:42il est un petit peu à côté.
33:43Il peut servir
33:44justement de tour de contrôle,
33:46de vérification
33:47que les choses sont bien faites,
33:48entre guillemets,
33:50d'informations des collègues,
33:51de l'urtre aussi.
33:52Ça,
33:52c'est très important.
33:53Lier la direction
33:54parce qu'il parle aussi
33:55le langage de la direction,
33:56lier les techniciens
33:57parce qu'il sait parler
33:58normalement aussi
33:58le langage des techniciens,
33:59etc.
34:01Donc,
34:01le juriste,
34:01il est un peu au centre
34:02de tout ça.
34:03Il ne faut pas qu'il écrase tout.
34:04Ça,
34:04c'est sûr.
34:05Mais par contre,
34:06derrière,
34:06en tant que facilitateur,
34:07en tant qu'huile un peu
34:09dans les rouages,
34:10il a toute sa place.
34:11Sarah,
34:12vous partagez
34:13ce que vient de dire Frédéric ?
34:14Oui,
34:14tout à fait.
34:15Alors,
34:16je précise quand même,
34:17je pense que,
34:18justement,
34:19un peu comme vous le disiez aussi,
34:20on ne va pas être impliqué,
34:22on n'est pas seulement
34:24sur la partie contractuelle,
34:25mais justement,
34:26dans la relation aussi
34:27avec les différentes équipes,
34:29je pense aussi
34:29dans la relation
34:32avec les autorités,
34:33quand il faut notifier,
34:34quand il faut répondre,
34:35etc.
34:36Et aussi,
34:37dans tout ce qui est
34:38un peu
34:39identification,
34:40interprétation de la loi
34:41pour comprendre justement
34:42qu'est-ce qui s'applique,
34:44qu'est-ce qui ne s'applique pas,
34:45etc.
34:45Donc,
34:46mais je pense aussi,
34:47toujours dans l'idée
34:48et ce que je vois aussi
34:50dans mon expérience,
34:51juriste de plus en plus,
34:52par contre,
34:52compétente aussi
34:53avec des connaissances techniques,
34:55cyber.
34:56ce qui n'enlève pas
34:57les rôles essentiels
34:58par contre
34:59de la cybersécurité.
35:02Donc,
35:02pour moi,
35:03quand même,
35:03on travaille main dans la main
35:05dans ces cas.
35:06Ça,
35:07c'est vraiment essentiel.
35:07Aujourd'hui,
35:08le juriste,
35:08il n'est pas seulement
35:09un technicien juridique,
35:10c'est aussi quelqu'un
35:11qui comprend le métier,
35:13qui comprend les systèmes
35:14d'information,
35:14en tout cas pour celui
35:15qui va,
35:16le juriste un peu
35:16en droit du numérique,
35:18parce que sinon,
35:18il peut faire des contresens.
35:20S'il ne sait pas
35:20ce que c'est qu'un EDR,
35:21s'il ne sait pas
35:22ce que c'est qu'un antivirus,
35:23ce que c'est qu'une attaque cyber,
35:25il ne va pas pouvoir qualifier.
35:27C'est quand même
35:27le premier travail du juriste,
35:28de qualifier,
35:29de mettre dans la bonne case.
35:30Et là,
35:30s'il se trouve sur la qualification,
35:32là,
35:32il peut emporter son entreprise
35:33dans des problèmes,
35:34comment dire,
35:35post-crise,
35:36qui seront au moins aussi
35:37importants que la crise.
35:38Donc,
35:38on voit que le juriste,
35:39il ne se contende pas
35:40aux aspects juridiques,
35:41il doit avoir une vision
35:42vraiment transversale
35:43du sujet.
35:44Transversale,
35:44on l'évoquait tout à l'heure,
35:45il doit pouvoir gérer
35:46ses sous-traitants,
35:47l'audit,
35:48il doit pouvoir gérer
35:49la réversibilité,
35:50c'est-à-dire anticiper
35:51la fin du contrat
35:52en cas de problème.
35:53Il doit pouvoir
35:55maîtriser
35:56la cartographie
35:58des textes juridiques,
35:59mais aussi la cartographie
36:00de l'entreprise.
36:01Est-ce que les serveurs,
36:02ils sont situés en France ?
36:03Pas en France.
36:04Je trouve,
36:05question de souveraineté
36:05et de résilience,
36:07est-ce que derrière,
36:09comment dire,
36:10où sont situées
36:11les personnes
36:12qui vont les opérer,
36:13etc., etc.
36:14On va conclure
36:15cette partie là-dessus.
36:16On rentre tout de suite
36:17dans le concret
36:17avec notre cas pratique.
Commentaires