Transcription

• Diane CANTAN

  Bonjour et bienvenue sur Markoeur, le podcast 100% marketing durable, car je suis convaincue que le marketing durable est le marqueur de la bonne santé des entreprises. Je m'appelle Diane Cantan et après plus de 25 ans en marketing et communication et 10 ans de RSE, j'ai décidé de partager ces convictions en réalisant des épisodes en solo ou avec des invités, où j'aborde les différents sujets de marketing durable, communication responsable, numérique responsable et plus largement des enjeux liés à la RSE et au management. Alors chaque jour ou presque, une nouvelle cyberattaque fait la une de l'actualité. On en parlera, mais ces derniers jours ou cet été furent aussi assez chargés. Une collectivité qui va être paralysée, un hôpital qui peut être bloqué, une PME qui va être victime d'une rançon JCL ou d'un rançon JCL. Des données clients revendues sur le DERC web. Bref, la liste peut être longue et pourtant, on a encore beaucoup de dirigeants qui comptent de penser que cela n'arrive qu'aux autres. Nous sommes trop petits, nous n'avons rien d'intéressant à voler, nous avons un antivirus, nous sommes protégés. Ce n'est que les institutions ou la France ou l'État qui est visé. Donc, nous, peu importe. Mais ce sont des idées reçues qui sont très répandues. Et pourtant, la cyber, cybersécurité, n'est plus seulement un sujet informatique, mais c'est aussi un enjeu de gouvernance, de gestion des risques au sens large, de continuité d'activité, de business évidemment, et donc de pérennité de l'entreprise. Alors, comment savoir si mon entreprise est réellement exposée ou si votre entreprise est exposée ? Quels sont les comportements qui augmentent ces risques ? Comment prévenir une attaque plutôt que de la subir ? Et puis, si malgré tout, elle arrive, comment réagir sans perdre un temps précieux ? Pour répondre à toutes ces questions, je reçois aujourd'hui Christophe Haubreux, qui est consultant chez Cybermaker, expert en cybersécurité, gestion des risques et gouvernance. L'analyse des risques, clairement, ça fait partie des marqueurs de bascule qui doivent vous faire prendre les bonnes décisions. Alors, quelles sont les décisions qu'on va prendre ? On va découvrir tout ça ensemble. Bonjour Christophe.

• Christophe Haubreux

  Bonjour Diane.

• Diane CANTAN

  Bienvenue chez Markoeur. Ravi de t'accueillir aujourd'hui.

• Christophe Haubreux

  Merci beaucoup pour l'invitation.

• Diane CANTAN

  Et puis d'aborder un sujet qui, pour moi, est un sujet que je souhaitais traiter depuis longtemps dans mon univers ou dans ma famille, des épisodes autour du numérique. Mais ce n'est pas qu'un épisode sur le numérique. Pour moi, ça va vraiment au-delà. Je le disais dans mon intro, on est sur un côté gouvernance et vision à long terme aux pérennités de l'entreprise. Donc c'est aussi ton expertise sur ce volet-là depuis un certain nombre d'années. Alors avant que tu nous racontes un peu quel est ton parcours, peut-être si on rentre dans le vide du sujet et que tu nous cites une cyberattaque qui t'a particulièrement marquée, tu as le droit de citer où ? pas de citer le nom de l'entreprise en fonction de tes expériences, de ton vécu ?

• Christophe Haubreux

  Alors, c'est très personnel parce que c'est une attaque qui est assez ancienne. Mais aujourd'hui, j'évolue plutôt dans le domaine de la gouvernance. Donc, on n'est plus au quotidien dans l'action, on est plus dans la préparation. Et donc, celle qui m'a marqué, c'était WannaCry. C'était déjà assez ancien. Mais ce qui était intéressant pour moi et ce qui m'avait marqué, c'est qu'à l'époque, j'avais des responsabilités très opérationnelles. Et on avait dû se mobiliser à tous les niveaux de l'entreprise, par contre je vais éteindre le nom, pour pouvoir corriger rapidement les vulnérabilités sur les serveurs qui étaient exploitées par ce rançon JCL. Et donc dans ce cadre-là, on avait dû mobiliser toutes les équipes qui étaient disponibles pour patcher, c'est-à-dire mettre à jour rapidement les différents équipements pour éviter que la société en question Je suis également victime de l'attaque qui avait fonctionné dans beaucoup de sociétés dans le monde. Et donc il y avait cet esprit d'urgence, de devoir nécessiter toutes les équipes, de devoir les sortir, qui étaient des gens qui étaient sur d'autres activités, et les piloter, on n'avait que quelques jours, ça s'est duré en deux jours je pense pour patcher tous les serveurs critiques. Et encore une fois avec une approche risque, comme tu le disais dans ton introduction, c'est-à-dire que avant d'agir, on s'était dit, mais Quels sont vraiment les serveurs les plus sensibles, les plus exposés, ceux sur lesquels les fonctions métiers de l'entreprise sont les plus importants. Et une fois qu'on avait pris un peu ce temps quand même, malgré l'urgence de réfléchir, pouvoir agir très rapidement. en mobilisant les équipes et en corrigeant les vulnérabilités qui diminuaient la vraisemblance de l'efficacité de l'attaque.

• Diane CANTAN

  Alors peut-être que je t'arrêterai de temps en temps s'il y a une terminologie un peu trop technique pour nos audépris, ces auditeurs, ou moi-même, qui ne suis pas experte sur le sujet, de dire attention, là, vocabulaire est acronyme, parce que je sais qu'il y en a plein. Alors il y en a partout, dans tous les sujets, dans tous les domaines, mais là particulièrement.

• Christophe Haubreux

  Pas de soucis.

• Diane CANTAN

  Il y en a pléthore. Donc, on verra pour être sûr de perdre personne et que ça reste un discours clair et facile. Je ne dis pas pour s'adapter à un enfant de 8 ans, comme des fois on peut l'avoir dans un côté pédagogie simplifié, mais plutôt une équipe de dirigeants, une manager ou de collaborateurs d'entreprise autre que de la DSI. Ça marche. Donc ça, c'était une cyberattaque qui était il y a assez longtemps et c'est d'une envergure et d'une ampleur assez conséquentes qui t'a marqué. Donc il y avait un certain nombre de réflexes. Tu as parlé des serveurs, de vérifications, etc. Mais peut-être qu'il y a des choses qu'il va falloir un peu anticiper. Et avant qu'on aborde ça, j'aimerais bien que tu nous parles un peu de toi.

• Christophe Haubreux

  Oui, avec plaisir. Je suis originaire du nord de la France, j'ai un parcours assez classique en fait. J'ai fait une classe préparatoire et ensuite je suis parti en école d'ingénieur à Dimoges, ça s'appelait 3e. Je me destinais plutôt à faire du réseau et du système embarqué. Et puis c'est les rencontres qui font que mon tuteur de stage au bout de la deuxième semaine m'a dit « je quitte mes fonctions au réseau » . Je pars comme responsable de la sécurité dans l'entreprise. Est-ce que tu veux me suivre ? Si c'est le cas, on met à jour ta convention et tu viens avec moi faire de la cybersécurité. J'ai dit banco. Et puis c'est comme ça que je suis rentré dans le monde de la cyber, un peu par hasard. Et en fait, on devait faire des kits justement d'analyse de risque, on revient tout le temps là, pour une grosse entreprise. Et l'idée, c'était de faire des kits qui soient formateurs. Pour les directeurs de sites, c'est un site industriel, pour qu'ils puissent adapter la méthode qui était à l'époque déjà la méthode des BIOS, pour dire un mot, donc c'est une méthode d'analyse de risque dans le monde de la cyber, de la simplifier pour qu'au niveau des sites industriels, la direction puisse s'approprier les éléments et faire les fondamentaux de se poser les bonnes questions en termes de risque cyber dans leur entreprise.

• Diane CANTAN

  Puisque ça c'est un point clé, c'est en même temps de se dire Est-ce que les équipes sont suffisamment formées ? Pas que les équipes de la DSI, la Direction des systèmes d'information, mais là tu citais des sites où quand il y a des antennes ou une entreprise avec plusieurs antennes en France ou à l'étranger, les vulnérabilités peuvent venir de partout.

• Christophe Haubreux

  Exactement. En plus, c'était il y a maintenant une quinzaine d'années, donc on n'avait pas aujourd'hui cet aspect maturité, communication. Aujourd'hui, on en parle beaucoup des cyber.

• Diane CANTAN

  J'ai l'impression que c'est presque toutes les semaines ou tous les deux jours. La France est le deuxième pays le plus attaqué après les États-Unis. Donc c'est un truc hallucinant.

• Christophe Haubreux

  Il y a 15 ans, on n'avait pas cette presse et la promotion. C'était assez confidentiel en fait, la cybersécurité, c'était les débuts. Et donc vraiment, l'idée c'était dès le début de marquer le management en disant que ce serait un sujet de préoccupation. Et donc il fallait les aider à y aller en fait, tout simplement. Surtout que c'était un monde industriel, ce n'était pas forcément les plus porteurs en termes de cyber. Ça a été souvent le monde de la défense, le monde bancaire qui était quand même en avance sur les sujets cyber. Donc il y avait du travail à faire en termes d'images et de promotion de ces solutions.

• Diane CANTAN

  Alors justement, j'aimerais rebondir sur les deux secteurs d'activité que tu as cités, la défense et le bancaire. En fait, dans les top 10 des risques mondiaux, établie par des experts, la cybersécurité est le troisième risque après le changement climatique et l'instabilité géopolitique. Mais du coup, on imagine que ça va être seulement les grandes entreprises ou seulement certains secteurs d'activité qui vont être concernés par ces cyberattaques. Est-ce que... Voilà, toi t'en penses quoi par rapport à ces secteurs ou ces tailles d'entreprises ?

• Christophe Haubreux

  Effectivement, c'est des grosses sociétés qui manipulent beaucoup d'argent, vont être visées. Par contre, aujourd'hui, tout le monde est touché en termes de cyberattaque, notamment pour des questions de facilité. C'est-à-dire que les attaquants vont préférer voir large et attaquer plusieurs sociétés qui sont moins robustes, tout ce qui va être le tissu PME par exemple, soit pour essayer de gagner de l'argent en envoyant des phishings et en essayant de lancer des rançons officielles, c'est-à-dire de chiffrer les données d'entreprise pour demander une rançon. Donc c'est plus facile dans les petites structures qui n'ont pas les budgets comme les grands groupes du CAC 40 pour se protéger. Donc ça c'est vraiment de l'opportunité. Et puis il y a quelque chose de plus vicieux aussi, c'est que les petites structures se font attaquer parce qu'elles travaillent pour les grosses entreprises. Et aujourd'hui, c'est les attaques par l'écosystème qui deviennent de plus en plus faciles à utiliser pour les attaquants pour rentrer dans les grands groupes. Les grands groupes se sont renforcés, ils ont réussi à avoir un niveau important, même s'ils se font encore attaquer directement. Mais de ce fait, les attaquants vont privilégier de passer par le tissu de l'écosystème de l'entreprise. ça peut être des cabinets d'architecture, ça peut être tout et n'importe quoi, ça peut être des cabinets de notaire, pour ensuite profiter de flux qui peuvent être mis entre les grandes structures et ces petites structures pour faciliter l'attaque, puisqu'ils ont déjà un pas dedans dans la grande entreprise. Donc aujourd'hui, tout le monde est touché, que ce soit de manière non ciblée, parce qu'on veut gagner de l'argent, soit de manière très ciblée, parce que dans votre carnet de clients, vous avez un industriel de la défense, et que donc l'entreprise va le voir et vouloir vous attaquer pour atteindre cet industriel-là.

• Diane CANTAN

  Alors, tu as dit un des exemples en attaque de phishing. Est-ce que tu veux expliquer un peu plus ce que c'est ?

• Christophe Haubreux

  Alors oui, avec plaisir, surtout que ça permet aussi à titre personnel d'être très vigilant. Donc le phishing, ça va être d'envoyer un email avec dans cet email-là soit un fichier qui va être piégé, soit un lien qui va vous envoyer sur un faux site. qui peut être un site qui ressemble relativement bien au site légitime. Donc ça, c'est quelque chose qu'il faut être vigilant, même à titre personnel. Vous voyez, il y a des gens qui reçoivent des mails de leurs banquiers leur disant « on a détecté un problématique de fraude sur votre compte, vite, connectez-vous sur votre site pour vérifier qu'il n'y ait pas d'opération frauduleuse. » Vous allez cliquer sur le lien. Vous allez ouvrir un site qui peut ressembler à votre banque, surtout quand vous êtes stressé. Vous allez mettre votre identifiant, votre mot de passe, et en fait, c'est trop tard. Vous leur avez donné vos identifiants, vos mots de passe. Heureusement, aujourd'hui, les banques, vous avez l'authentification, ce qu'on appelle l'authentification forte.

• Diane CANTAN

  Oui, la double authentification.

• Christophe Haubreux

  C'est-à-dire qu'on va vous demander en plus d'un mot de passe, par exemple, de vérifier sur votre téléphone, en mettant un code complémentaire ou votre empreinte sur le téléphone, pour bloquer ce genre d'attaque. Mais encore une fois, si le mail, c'est pour payer l'eau, par exemple, vous avez une relance pour l'eau, Vous voulez éviter la majoration, c'est bête, vous allez peut-être mettre des identifiants. Oui, ou les amendes,

• Diane CANTAN

  on reçoit tout le temps en texto aussi, alors c'est pas forcément par mail mais en SMS, soit pour payer une amende, soit en perso parce qu'on a un colis et qu'il manque un euro pour la livraison. J'ai même entendu cet été pour les collégiens, les lycéens, pour connaître leur numéro de classe, Il devait payer 1 euro pour se connecter. Du coup, il y a aussi une fuite de données.

• Christophe Haubreux

  Et puis là, c'est les retours de vacances. Donc, il y a aussi les péages à flux libre.

• Diane CANTAN

  Oui.

• Christophe Haubreux

  Et donc, il y a aussi des SMS. N'oubliez pas de payer votre péage à flux libre parce que sinon, vous allez avoir la majoration. Pareil, en fait.

• Diane CANTAN

  C'est beaucoup d'arnaques. Donc, il y a de la vigilance.

• Christophe Haubreux

  Vigilance. Donc, ce qui se passe, si on n'est pas vigilant, c'est qu'on peut télécharger la charge virale, soit donner ses informations. soit télécharger une charge virale pour une entreprise, et ça peut être le déclencheur d'un cryptolocker.

• Diane CANTAN

  Et alors celui qui clique le collaborateur, qui, pas de bol, a cliqué sur le lien ou a ouvert la pièce jointe, et en fait il se rend compte que ce n'était pas ce qu'il fallait faire. Son premier réflexe, ça doit être quoi ? Il contacte son manager, il contacte le service informatique pour peu qu'il sache qui c'est ?

• Christophe Haubreux

  Alors déjà la question qui doit se poser c'est que s'il ne sait pas à qui doit s'adresser. C'est bien si demain, il prend le réflexe de poser la question à qui il doit s'adresser. Parce que c'est un peu lié à la culture de l'entreprise. Il y a peut-être un correspondant de cybersécurité qu'il peut connaître. S'il ne le connaît pas, c'est ça être son manager. Par contre, le tout, c'est de le savoir. Déjà, s'il ne le sait pas en écoutant le podcast, il peut se poser la question et se renseigner.

• Diane CANTAN

  On va se dire, au final, on le sait pour le RGPD, il y a le DPO. pour cas de harcèlement au travail ou un risque. On sait potentiellement qu'on va contacter quelqu'un au niveau des RH ou une autre personne au niveau du juridique. Mais c'est vrai que si ça n'a pas encore été déterminé, il faut se dire dans les actions à prévoir sur les prochaines semaines ou au prochain code d'IR qui est responsable.

• Christophe Haubreux

  Exactement. Il y a un porteur qui doit être nommé au niveau de la direction. Après, il faut s'adapter en fonction de la structure. Une PME où ils sont dits, on ne va pas nommer un RSSI, donc responsable de la sécurité du système d'information qui va être dédié. Par contre, il faut que l'interlocuteur soit connu. Ça, ça fait partie des fondamentaux de l'entreprise. Oui,

• Diane CANTAN

  parce que c'est la vitesse de réaction qui importe quand il y a une attaque.

• Christophe Haubreux

  Exactement, et ça rassure les gens de savoir qu'ils ont un interlocuteur. Également, il faut promouvoir le droit à l'erreur, malheureusement. C'est-à-dire qu'il faut mieux qu'ils le disent, même s'il a fait des bêtises, qu'ils ne le disent pas parce qu'il a peur. Donc ça, c'est vraiment, il faut le déclarer. Et il faut tout de suite, ce qu'on va dire, isoler son poste de travail. C'est-à-dire, si vous êtes connecté, enfilé à un réseau, il faut que vous vous débranchez. Il faut vous assurer que votre wifi, votre bluetooth, il soit coupé. L'idée, c'est que si vous avez le virus qui est venu sur votre PC, il ne se déploie pas sur le reste du réseau d'entreprise. Et également, dans la mesure du possible, ne pas l'éteindre, puisqu'au redémarrage, vous risquez soit de lancer le surmont de votre disque dur, mais également de dépasser les traces du virus. Donc on recommande de ne pas éteindre tout de suite le poste. Par contre, si on l'a éteint, on ne le redémarre pas exprès.

• Diane CANTAN

  On le laisse dans les mains.

• Christophe Haubreux

  Il faut surtout que l'importance soit qu'il soit isolé et de déclin. Donc, ne pas hésiter à dire aux gens dans les entreprises, j'ai fait une erreur, mais je t'assume. Plutôt que de dire, je vais me faire...

• Diane CANTAN

  Le risque sera encore plus grand.

• Christophe Haubreux

  Encore une fois, comme tu disais, c'est le temps, c'est l'ennemi. Surtout, on le verra sûrement par la suite, mais avec l'IA aujourd'hui, le temps est de moins en moins disponible.

• Diane CANTAN

  C'est ça. Écoute, tu en parles de l'IA. en même temps il y a un côté très positif pour un certain nombre de points et de sujets d'avancée, de gain de temps, de productivité etc. Mais forcément quand on se dit que c'est dans le but ou dans les mains d'un cyber hacker, alors là ça fait des catastrophes.

• Christophe Haubreux

  Alors oui

• Diane CANTAN

  Qu'est-ce que tu as pu constater comme tu es dans le milieu depuis un certain nombre de temps ? Là, depuis ces 2-3 dernières années, où l'IA expose ?

• Christophe Haubreux

  Alors, les gros sujets en termes d'IA, il y a les mauvais comportements. Donc ça, c'est un outil qui est formidable, il faut vivre avec, sinon on va avoir du retard et je pense qu'il faut vraiment l'utiliser. Par contre, comme toutes les nouveautés, il faut déjà prendre le temps de l'absorber et le cadrer. Parce qu'aujourd'hui, l'IA c'est top parce que ça peut aider les petites structures. à mettre en place leur démarche cybersécurité, parce que ça peut donner des informations très utiles sur les fondamentaux. Par contre, il y a les mauvais comportements. C'est-à-dire qu'on va travailler sur des données sensibles dans l'entreprise et on va demander à l'IA, parce qu'on n'est pas très à l'aise pour la mettre en forme, de mettre en forme mon email où je vais envoyer à un client un schéma qui pourrait être très concurrentiel. Là, vous pouvez même se rappeler qu'on envoie de la donnée de l'entreprise dans un dispositif qui, lui, mange de la donnée pour vous aider. Donc, il faut être vigilant, il faut cadrer. Il faut peut-être soit développer sur des grosses structures des modèles locaux, soit expliquer aux gens, je dis les gens mais c'est les collaborateurs, quelles sont les bonnes pratiques à avoir. Il ne faut pas devenir paranoïaque, de manière générale dans la cybersécurité, il ne faut pas être paranoïaque mais il faut être vigilant. J'aime bien cette distinction. Et également ce qu'on va retrouver, c'est sur des mémoires, moi j'ai eu le cas chez certains clients, En fait, des apprentis sont très contents de nous faire relire leur mémoire pour avoir l'avis cybersécurité pour ensuite le transmettre à leur école. Et en fait, en le regardant, on se rend compte que l'IA est déjà passée dessus et que ce n'était pas forcément l'IA de l'entreprise. Donc on veut bien caviarder ce qui est sensible, sachant que c'est déjà parti dans les moteurs d'IA. Donc ça, il faut être vraiment vigilant.

• Diane CANTAN

  On n'y pense pas forcément toujours, les stagiaires et les alternants, alors qu'il y a une mine d'or d'informations de l'entreprise. Et parfois,

• Christophe Haubreux

  indirectement, c'est-à-dire que les infos qui vont être dans ces rapports-là vont permettre peut-être à un attaquant de faciliter lui son attaque, parce qu'il va mettre un organigramme, donc il va pouvoir faire des mails beaucoup plus ciblés. en s'adressant à une personne avec un email d'un manager. Donc il y a vraiment de l'information indirecte qui peut être travaillée, et donc il faut être vigilant sur ça, les stagiaires, sur leur communication qu'ils font aussi. Au-delà de l'IA, je fais un petit aparté, mais ils sont très contents de mettre sur LinkedIn tout ce qu'ils ont fait, donc pas hésiter à regarder aussi, parce que parfois il faut être discret. Et donc ça, c'est le côté, on va dire, usage. Et puis l'IA, ça permet aussi de faciliter l'exploitation des vulnérabilités. Et ce qui fait qu'aujourd'hui, on avait d'habitude dans nos métiers de catégoriser des vulnérabilités du système avec des grilles de sévérité, en se disant qu'une vulnérabilité sur un système qui est exposé, relativement critique, il faut qu'on la corrige rapidement, mais on avait peut-être de la souplesse. Aujourd'hui, avec l'IA, ces vulnérabilités peuvent être exprimées. La notion, c'est la minute, presque.

• Diane CANTAN

  C'est ça qui est super dur aujourd'hui.

• Christophe Haubreux

  Oui, il y a très vite. Et ça, ça remet en cause des principes qu'on avait, des procédures, puisque les délais qui sont impartis à ça sont en train de se réduire de manière significative. Et on revoit tous ces modèles de correction, dans les fondamentaux aujourd'hui de la cybersécurité, c'est d'être vigilant, vraiment avoir une vision forte. de son niveau de sécurité sur les composants exposés. Voir si on est à jour des correctifs, les éditeurs, quand vous utilisez des produits au quotidien, par exemple Microsoft ou Word, Excel, quand il y a une anomalie qui est détectée en termes de vulnérabilité, ces grandes sociétés vont publier ce qu'on appelle des correctifs.

• Diane CANTAN

  Des mises à jour. Des mises à jour. Des logiciels qu'il faut forcément faire.

• Christophe Haubreux

  Qu'il faut forcément passer. Alors, parfois c'est facile, on met en automatique et puis ça met à jour. Mais dans le monde de l'entreprise, parfois il peut y avoir des... Comment dire ? des problématiques avec d'autres composants plus spécifiques qui ne vont pas tolérer les mêmes fréquences de mise à jour. Donc dans certains cas, avant on acceptait qu'il y ait des délais avant que ça soit mis à jour automatiquement ou manuellement. Maintenant, ces sujets-là, ils sont très sensibles.

• Diane CANTAN

  Oui, ça fait partie, tu citais l'alternance. C'était mon cas, en tout cas, avec mes différents alternants que j'ai eus. Une fiche que j'avais... récupéré auprès de l'ANSI, du site de l'ANSI, avec quelques règles clés de sécurité informatique, et notamment sur les mises à jour. C'était de se dire, voilà, l'ordinateur régulièrement va demander une mise à jour, il ne faut pas attendre trois jours, cinq jours, ou le laisser un mois. Il faut mettre à jour l'ordinateur et les logiciels régulièrement, parce que souvent, c'est l'identification d'évolution, et notamment en termes de cyber. Ou de sécurité, en tout cas.

• Christophe Haubreux

  Et puis, c'est souvent, c'est comme les catastrophes, en fait. C'est une multitude de petites erreurs qui vont faire qu'on va avoir l'incident de sécurité. Typiquement, on peut prendre ce cas-là, vous avez un petit parc informatique, vous avez un... Je ne vais pas encore dire un stagiaire, parce qu'on va dire qu'on ne parle que de ça, mais un nouveau collaborateur qui arrive. Vous avez mal prévu le stock. Vous allez ressortir un ordinateur qui est un ancien ordinateur qui n'a pas été utilisé depuis longtemps. Vous allez lui donner, sans faire les mises à jour qui s'imposaient. Il est content, il va avoir sa messagerie. Puis pas de chance, c'était une ancienne configuration, il a des droits d'administration sur son poste. Il va utiliser sa messagerie, il n'est pas encore sensibilisé, il reçoit un phishing. Il va télécharger le fichier, l'antivirus n'est pas à jour, il exécute. Droit d'administration, le virus va prendre le pouvoir sur le poste, soit il va se mettre dans la messagerie pour envoyer aux petits collègues le même virus, directement se latéraliser, c'est un terme, se diffuser sur le réseau pour ensuite faire une coupure très forte. Alors que si l'ordinateur avait été mis à jour avant, l'antivirus aurait peut-être bloqué, ou aurait peut-être limité le déploiement sur le reste de l'entreprise. Et c'est souvent comme ça, des petites anomalies, mais qui sont mises les unes après les autres. qui font que vous allez avoir un incident de sécurité dans votre structure.

• Diane CANTAN

  Ça, c'est effectivement ce que notre invité du podcast, c'était dans l'épisode 56 avec Nathalie Bordeaux, où elle disait que la plus grande faille en termes de sécurité, c'était l'humain. Et là, tu viens de le citer, c'est à tous les niveaux. On parle d'usagiaires, de l'alternant jusqu'au dirigeant de l'entreprise. Les managers vont être particulièrement ciblés aussi. les commerciaux avec coordonnées clients. Tout le monde peut être une cible, il ne faut pas se dire je suis une petite entreprise et en plus j'ai un poste qui n'a pas trop d'importance stratégique. En fait, tout le monde est concerné.

• Christophe Haubreux

  Ah oui, et puis on le voit au niveau des analyses de risque. Il y a une méthode qui est assez reconnue, qui est utilisée par l'administration. C'est la méthode EBIOS, j'en ai déjà parlé. Aujourd'hui, c'est EBIOS Risk Manager, ça s'appelle. Si les gens sont intéressés, c'est gratuit, vous pouvez regarder la méthode sur le site de l'ANSI, vous retrouverez la documentation pour essayer de vous poser des bonnes questions. Dans ces méthodes-là, on voit que l'écosystème, c'est-à-dire les sociétés, les parties prenantes, peut-être les fournisseurs et petits fournisseurs, sont... vraiment, comment dire, étudié dans le cadre des analyses de risque, parce que facteur de risque. Et également, il y a BPI France qui fait la publicité d'un diagnostic pour les PME, les petites structures, pour avoir un état des lieux rapide et un plan d'action de l'essentiel pour augmenter son niveau de sécurité, et également pour avoir un niveau de sécurité qui est homogène. Un des risques... quand on veut se lancer trop rapidement dans la cybersécurité, c'est qu'on va vouloir sécuriser beaucoup sur un composant de son système d'information et malheureusement, on va délaisser peut-être d'autres sujets, la sensibilisation, la fréquence de mise à jour, des choses qui vont être mal équilibrées. Et dans la cybersécurité, votre niveau de sécurité, ce n'est pas la moyenne de votre sécurisation, c'est le plus plus bas, je prends souvent l'exemple, vous pouvez avoir une maison, si vous mettez des portes blindées partout, des alarmes, etc. Mais qu'il y a une fenêtre que vous n'avez pas changée, qui n'est pas sous alarme et qui est à moitié cassée, l'attaquant il va passer par là, en fait. Donc vous aurez vous dépenser une fortune. Il va passer par là, c'est la faille, c'est le mineur. Un attaquant, il va toujours là où c'est plus facile et où c'est plus difficile. Donc il faut garder ça en tête et il faut parfois prendre du recul en disant, non, ça ne sert à rien qu'on mette des nouveaux dispositifs. sur ce périmètre-là. Parce qu'en fait, sur la téléphonie, du parc téléphonique qu'on a donné à nos collaborateurs, on a mis zéro sécurité. Si un attaquant va rentrer, il va passer par les téléphones.

• Diane CANTAN

  Oui, c'est tous les devices, tous les appareils sont concernés.

• Christophe Haubreux

  Oui.

• Diane CANTAN

  Il n'y a pas que le serveur ou que le mail ou l'ordinateur, le téléphone, enfin tout.

• Christophe Haubreux

  Même parfois...

• Diane CANTAN

  Les portes d'entrée ou les fenêtres. Oui,

• Christophe Haubreux

  évidemment. cas concrets. de la demande retour de congé, mise en place d'une nouvelle caméra de sécurité sur le réseau de l'entreprise. Et en fait, la caméra de sécurité, elle vient d'où, en fait ? Comment on s'assure qu'elle est fiable ? Est-ce qu'on a cloisonné le système de vidéosurveillance ? Surtout qu'on a peut-être un lien direct avec un téléopérateur. Donc il faut être vigilant que le téléopérateur, avec le lien qu'il a pour monitorer les caméras, il ne puisse pas par rebond sur le réseau. Arriver sur mon système métier. Donc, il faut penser aussi à ces petites choses qui sont banales.

• Diane CANTAN

  C'est tous ces réflexes-là. Alors, depuis le démarrage, tu cites pas mal d'exemples en disant, voilà, ou avec un de mes clients, mais peut-être qu'il est temps que tu expliques un peu ce que tu fais justement aujourd'hui.

• Christophe Haubreux

  Alors, moi, je travaille dans tout ce qui est gouvernance de la cybersécurité. Donc, je suis détaché chez des clients. Ça peut être sur des missions diverses, mais toujours liées de la gouvernance. donc tu parlais de l'analyse de risque c'est quelque chose qu'on fait beaucoup puisque soit on peut faire une analyse de risque très macroscopique sur l'entreprise risque cyber encore une fois soit on va faire des focus plus poussés sur des applications ou des systèmes d'information sur des sous-ensembles du système d'information du client parce que c'est un nouveau système qu'il va développer donc je vais accompagner ces clients-là sur ces problématiques-là J'ai une expérience assez forte sur ce qu'on appelle de l'homologation système d'information. C'est intéressant pour se poser des bonnes questions et voir l'approche risquée. L'homologation, c'est-à-dire on a un système d'information. C'est quoi le besoin métier qui est associé à ce système d'information ? Quels sont les enjeux métiers ? Et par rapport à ce système, quels vont être les risques et ces si qui vont exister ? Est-ce que... On parle beaucoup des risques, on dit toujours qu'il faut corriger, il faut aller vite, etc. Mais la notion de risque, elle est de facto associée à une opportunité. Et parfois, il faut se poser la question, je suis une entreprise, je suis un artisan, je veux faire un site internet pour me donner plus de visibilité, je n'ai pas les moyens de sur-sécuriser ce site internet. Par contre, ne pas le faire, je vais réduire mon exposition, et donc ma possibilité de croître plus facilement. Et donc on se pose la question, quel est le risque, quel est le bénéfice ? Et nous, notre travail, en tant que consultant, c'est de fournir aux dirigeants, ou à l'autorité, ce qu'on appelle l'autorité d'homologation, les informations sur le risque qu'il va prendre si jamais il veut lancer le système. Et c'est à lui de peser en disant, ben voilà... Christophe, tu m'as montré qu'on avait tel risque de confidentialité, on a tel risque de disponibilité. Par contre, moi, j'ai besoin, pour mon business plan, de lancer le système. Donc, ce qu'on va faire, c'est que je vais prendre le risque à l'instant T d'ouvrir le système dans ces conditions, mais en face, je vais mettre un plan d'action, et puis dans trois mois, on va se revoir, et puis on va se dire, est-ce qu'on a pu corriger ces vulnérabilités ? Et l'idée, vraiment, c'est d'éclairer la direction sur les risques. au meilleur lieu, lui, au regard de ses opportunités. Donc ça, c'est un gros travail. C'est très cadré. Il y a des sujets, notamment dans le secteur de la défense, où c'est réglementé, c'est surveillé par l'État. Donc on ne peut pas faire n'importe quoi. L'autorité d'homologation, elle est limitée dans ce qu'elle a le droit d'autoriser. Parce que forcément, il peut y avoir des données qui sont très sensibles. Mais la doctrine, c'est celle-ci. C'est vraiment de dire, vous avez des risques, mais vous pouvez décider de les prendre temporairement, partiellement. Ou alors de les partager avec une assurance. Donc nous, dans le monde de la cyber, on est sur trois facteurs qui sont... Il y en a d'autres, mais les trois primordiaux, c'est la disponibilité. Est-ce qu'un attaquant pourrait faire, entre guillemets, en tant que tombé de système ? Ça va être l'intégrité. Notamment, on va avoir des machines-outils, on construit des voitures. Il y a des paramètres qui sont très stricts pour avoir un niveau de qualité qui est attendu. Imaginons que ces paramètres machine se modifient que de quelques dixièmes de millimètre. Ça peut vous mettre une production out. C'est-à-dire que vous allez produire quelque chose qui n'est pas bon, que vous allez devoir retravailler derrière. Donc quel est l'impact à chaque fois ? On parle toujours des impacts. Qu'est-ce qui se passe ?

• Diane CANTAN

  Impact financier, impact humain, impact commerciaux.

• Christophe Haubreux

  Images.

• Diane CANTAN

  Impact de l'image.

• Christophe Haubreux

  Et malheureusement, parfois aussi, tu es réglementaire. Parce que si vous perdez, donc là c'est la confidentialité, là si on perd une donnée, Qu'est-ce qui se passe quand on perd les données bancaires des clients ? Là, la CNIL peut venir et vous mettre une grande amende. Aujourd'hui, c'est assez dissuasif, justement, parce que sinon, les dirigeants vont se dire « C'est quoi la risque ? C'est que je perde des données personnelles ? » Bon, ce n'est pas très grave. Au pire, les clients, on va les indemniser. Par contre, si on sait qu'on va perdre plusieurs pourcentages du chiffre d'affaires, on n'a pas la même décision derrière.

• Diane CANTAN

  Oui, la même proportion. Donc,

• Christophe Haubreux

  on est sur du réglementaire. Donc,

• Diane CANTAN

  c'est toujours ce côté balance bénéfice risque.

• Christophe Haubreux

  Oui.

• Diane CANTAN

  Donc, toi, tu apportes cet éclairage-là. Tu l'as cité, tu travailles avec des entreprises de tailles différentes, aussi bien pour le gouvernement, la défense...

• Christophe Haubreux

  Que pour les petites PME.

• Diane CANTAN

  Que pour d'autres secteurs et tailles d'entreprises. Est-ce qu'il y a un budget défini pour une entreprise ? De se dire, quel budget j'imagine mettre pour faire en sorte que tout soit à peu près carré ?

• Christophe Haubreux

  Alors, en fait, on parle souvent des budgets par rapport à la DSI, c'est-à-dire qu'on ne dimensionne pas par rapport au budget même de l'entreprise, parce qu'une entreprise n'a pas forcément le même besoin informatique entre les différents secteurs. Par contre, en termes de DSI, une fois que vous avez réfléchi à votre positionnement sur le volume de votre système d'information, vous avez alloué le budget, là, en termes de DSI... Il ne faut pas hésiter à taper 15-20% de votre budget DSI vraiment sur des sujets uniquement dédiés cyber. On peut même aller assez vite au-delà en fonction du dimensionnement et encore une fois, de votre exposition sur Internet. Mais moi, j'aime bien l'idée de Pareto. Commencez petit et pas à pas. Faites les fondamentaux. Parce qu'encore une fois, si vous ne vous posez pas les questions, vous partez acheter des produits. ça n'a pas forcément marché. D'où l'idée aussi...

• Diane CANTAN

  Ça évolue vite aussi, donc il y a besoin d'être au courant, en veille permanente.

• Christophe Haubreux

  Oui, mais ça fait partie de l'activité. C'est-à-dire que nous, dans nos domaines aussi...

• Diane CANTAN

  En tant que consultant ?

• Christophe Haubreux

  Oui, c'est maintenir le niveau dans le temps. Parce que ce qui peut se passer, c'est que vous êtes... C'est pour ça que l'homologation, elle a une durée délimitée dans le temps. C'est-à-dire que régulièrement, il faut se reposer les questions. Parce que sinon, vous mettez les moyens. Ça arrive souvent aussi pour les... Je fais un autre exemple de ce qu'on peut faire, c'est qu'on accompagne les entreprises qui veulent être certifiées. Dans notre domaine, on a une norme ISO.

• Diane CANTAN

  La 27001.

• Christophe Haubreux

  La 27001. Donc, il y a des sociétés qui veulent être certifiées. Donc, on les accompagne, on part de zéro. On ne les fait pas à pas. Et puis, ce qu'on voit aussi de temps en temps, c'est des sociétés qui viennent nous voir en disant « Bon, on a un certificat ISO 27001. » On avait mis les moyens il y a une époque pour avoir le certificat, et puis on a un petit peu baissé les moyens pour des raisons qui sont souvent légitimes.

• Diane CANTAN

  Oui, ou un collaborateur qui gérait, qui est parti.

• Christophe Haubreux

  Il y a eu des difficultés dans l'entreprise, il y a eu des débats. Est-ce que vous pouvez nous aider à nous remettre à niveau ? Et donc là, on refait un état des lieux, un audit à blanc. Je leur dis, nous, par rapport au travail... On peut vous aider, on leur donne des scénarios. Soit vous travaillez avec nous et puis ça coûte tant, soit vous nous demandez de le faire et ça va coûter tant. Et donc, on les remet à niveau. Mais ça coûte plus cher de se remettre à niveau comme ça quand on a arrêté que quand on reste stable.

• Diane CANTAN

  Que de continuer en permanence.

• Christophe Haubreux

  Forcément, au dernier moment, on essaie de tout rattraper.

• Diane CANTAN

  Tu parlais de réglementation tout à l'heure. J'ai entendu des noms comme Dora, Nice 2. Des choses comme ça, est-ce que tu veux expliquer ?

• Christophe Haubreux

  Ça c'est une réaction qui est plutôt positive, c'est-à-dire qu'on n'est plus qu'au niveau national maintenant, en termes de réaction, en termes de réglementation. Maintenant on a vraiment une préoccupation, soit au niveau européen, soit même au niveau international, et aussi par secteur. Et encore une fois, donc l'IS2 par exemple, qui fait suite à l'IS. En fait, ça va concerner plus d'entreprises qu'avant. C'est-à-dire que l'idée, c'est que sur les entreprises qui sont sensibles pour l'État, on va leur imposer des éléments de sécurisation, de préparation et de se préparer aussi sur la capacité d'alerte et de redémarrage. Là, vraiment, on voit qu'on prépare les choses dans la gouvernance. Malheureusement, on sait que quand on regarde les statistiques d'incidents, ça va arriver un jour où on va se faire attaquer, ça va réussir. Donc, au-delà de se protéger, il y a... Voilà, ça y est, on a un incident. Comment on peut redémarrer dans des bonnes conditions le plus facilement possible ? Et également, comment on est en capacité de détecter l'incident ? Parce que plus vite on va le détecter, plus vite on va pouvoir le juguler. Et donc, limiter la casse, en fait, entre guillemets. Et ensuite, je rajoute aussi qu'on va avoir des éléments par secteur, et en plus, on peut avoir dans le niveau bancaire, où on va encore rajouter des couches de réglementation. Donc, ça... coûte aussi de l'argent aux entreprises d'être conformes.

• Diane CANTAN

  Je le vois bien sur un ISO, quel qu'il soit, c'est un certain budget, donc j'imagine que quand tu remets les couches en ISO 2 ou DORA ou etc...

• Christophe Haubreux

  Et puis pour les banques en groupe aussi, ils vont avoir aussi toutes les réglementations nationales, quand ils sont internationales, sur lesquelles ils doivent se conformer. Encore une fois, sur ces approches-là, il faut y aller pas à pas. De toute façon, les sociétés qui sont sujettes à Nice 2, je pense qu'elles le savent déjà aujourd'hui. Donc elles ont pu anticiper un peu. Voilà, c'est des sociétés sensibles. C'est ce qu'on peut retrouver aussi avant ce qu'on avait en France au niveau local, ce qu'on avait avec la LPM, la loi de programmation militaire, qui avait aussi défini des secteurs où les sociétés, elles devaient prouver leur conformité sous peine d'avoir des petits problèmes.

• Diane CANTAN

  Ou des amendes.

• Christophe Haubreux

  Voilà. Pour la LPM, c'était ce qu'on appelait les organismes d'importance vitaux. Donc, disant que l'État, pour fonctionner, il y a certains secteurs, le transport, l'énergie, etc. La santé. La santé. Ils doivent constamment être OK, ou au moins fonctionner en mode dégradé. Mais on s'est posé la question, c'est quoi le mode dégradé ? Et ces sociétés-là, elles ont des obligations de se mettre en conformité avec ces réglementations. Il y a eu des délais qui ont été donnés historiquement, notamment sur l'APM, sur l'application des choses. L'État reste assez souple, il essaie d'être constructif, même si maintenant, malheureusement, on se rend compte que la souplesse peut conduire à des incidents. Et l'année 2026, on parle de la NTS, notamment, qui a été très durement touchée.

• Diane CANTAN

  Parce que c'est des millions de données qui sont parties, qui peuvent être recoupées avec d'autres données qui avaient été volées. En parallèle, derrière c'est l'usurpation d'identité, c'est la récupération de données des entreprises. Ça peut carrément bloquer l'activité.

• Christophe Haubreux

  En fait c'est assez vaste tout ce qu'on peut faire avec les données. Il y a un marché en fonction de ce que vous voulez en faire. Et du coup je pense que là il y avait des... comment dire... On avait parfois le sentiment qu'il y avait des... On avait le terme d'ayatollah qui voulait en faire trop. Et maintenant, on se rend compte qu'en fait, non, ils n'avaient rien.

• Diane CANTAN

  On n'en fait jamais assez.

• Christophe Haubreux

  Et malgré tout ce qu'on fait, ça pourrait arriver. D'où l'idée aujourd'hui de ne plus vouloir seulement se limiter à protéger.

• Diane CANTAN

  Mais d'être capable d'agir et d'anticiper. Donc c'est là peut-être où on parle du PCA, du plan de continuité d'activité. C'est de se dire, maintenant que j'ai évalué les risques, je sais que ça peut arriver. Mais le jour où ça arrive, je fais quoi ? Comment, tu le citais, je peux continuer à travailler en mode dégradé ? C'est un peu aussi ce que j'évoque avec mes clients quand je les accompagne sur la partie RSE au sens large. On évoque évidemment ce sujet de cyber, mais sans être une experte, donc au sens large également. Il y a ce côté de se dire, et si demain, dans la chaîne de production, dans la chaîne de valeur. Il y a un des fournisseurs principaux qui, lui, est bloqué pour une raison X ou Y. Qu'est-ce qui se passe ? On a en tête, moi j'ai le souvenir du serveur d'OVH qui avait brûlé dans l'Est de la France. J'avais un client à l'époque, pendant presque une semaine ou dix jours, les données bloquées parce qu'il n'y avait pas de sauvegarde ou de double sauvegarde. Alors qu'on pense qu'en fait, dans le contrat, il y a la double sauvegarde qui est faite. Et puis en fait, non, on n'a pas coché la petite ligne. qui mettait un coût supplémentaire, mais parce qu'on n'a pas forcément l'impact, ou tout ce côté bénéfice-risque, en fait, le coût et le risque en face. Et donc, il y a besoin de ce plan de continuité d'activité et d'essayer d'anticiper. Alors, comment tu fais ? Ou qu'est-ce que tu racontes à tes clients ?

• Christophe Haubreux

  Déjà, il faut avoir un état des lieux de ce qui est sensible pour l'entreprise. C'est-à-dire, la continuité, c'est qu'est-ce qu'on veut ? qui puisse continuer à marcher, ou qu'est-ce qu'on veut pouvoir faire redémarrer rapidement.

• Diane CANTAN

  Donc ça va être une usine, la fabrication de produits ? Ça va être une usine,

• Christophe Haubreux

  une ligne de production spécifique.

• Diane CANTAN

  Un logiciel ?

• Christophe Haubreux

  Il faut qu'on puisse classifier tous ces différents composants du système d'information. On appelle ça les BIA, Business Impact Analysis, c'est l'acronyme. Quand on se pose les questions, on a tel type d'applicatif, quels sont les impacts ? Si jamais on venait à les perdre. Ça va nous permettre de se dire, tel et tel état d'actif sont critiques. C'est eux qu'on va sécuriser en priorité. Donc on regarde ça, on va prévoir à la fois de la technique, c'est-à-dire qu'il faut que les données, comme tu le disais, soient sauvegardées, suffisamment sauvegardées, qu'on s'assure que les sauvegardes soient bien effectuées, parce qu'on peut également être très confiant sur la technique, je veux dire, tout est sauvegardé, je suis OK. En fait, on ne vérifie pas si les sauvegardes sont OK, en fait. Là, vous avez un tableau de bord de ce qui se passe et ce qui ne se passe pas. Ça tombe, la sauvegarde du vendredi, elle est en erreur. Vous êtes parti très content au week-end, et vous avez l'incident sur le week-end, vous ne repartez pas de vendredi, vous repartez de vendredi d'avant, parce qu'il y a une sauvegarde qui n'a pas été faite. Donc il faut les monitorer, c'est très important. On va organiser le dispositif de sauvegarde en fonction de la criticité des applications. Ça c'est la technique. Il faut être en capacité de les récupérer et de les rejouer. Là on parle de la donnée, mais est-ce qu'on a aussi le matériel pour le faire redémarrer ? Est-ce qu'on a des serveurs de secours ? Est-ce qu'on a des équipements ? Et puis aussi, on a l'humain. C'est-à-dire que souvent, on peut redémarrer avec les données, il faut avoir les équipements, mais il faut les configurer, les équipements. Est-ce qu'on sait qui peut les configurer ? Est-ce qu'on a bien documenté comment on doit les configurer ? Donc ça, c'est pareil, ça fait partie des questions qu'on se pose pour un plan de continuité ou de reprise. PCA, plan de continuité, PRA, plan de reprise d'activité. Et ensuite, il y a les personnes. C'est-à-dire qu'on va imaginer... qui doit être mobilisé en fonction du type d'erreur ou du type de problème. C'est la cellule de crise notamment. On va se poser des bonnes questions et qui a le droit de décider ? En cas concret, on est une banque, on se rend compte que l'application du site web de la banque est en train de se faire attaquer. Qui peut décider de couper le site internet de la banque pour éviter que l'attaquant puisse voler les données ?

• Diane CANTAN

  Tu te fais une liste de plein de questions et plein de niveaux, c'est ça ? Ah non.

• Christophe Haubreux

  Sur les responsabilités, c'est important d'avoir qui peut faire quoi. Et après, on ne va pas détailler. Ça va être aussi, il faut laisser le bon sens des personnes. Simplement, il faut qu'il y ait une notion d'arbitrage. En gros, en cyber, quand on a un doute, c'est forcément qu'il faut peut-être passer au niveau d'au-dessus. Donc ça, ça doit être cadré. C'est des procédures. On appelle ça aussi des mallettes de crise. Et puis aussi, quand il y a des gens, il faut savoir où on les met. Donc il faut que les personnes puissent s'appeler tout le temps, en fait. Donc penser à avoir des téléphones, est-ce qu'on peut les joindre ? Donc ça c'est important. Et donc on peut faire aussi des tests. Tout à l'heure tu parlais des sauvegardes. Donc on va prévoir un plan de continuité, un plan de reprise d'activité. Et pour être sûr que ça fonctionne, c'est comme pour tout, il faut s'entraîner. Donc on peut aussi accompagner nos clients sur réaliser des exercices de crise avec des scénarios. Où là on va voir concrètement ce qui se passe. Est-ce qu'on a des choses bêtes ? Je parle des téléphones. Il n'y a pas de réseau dans la salle qu'on a prévu pour faire la réunion de crise, parce que c'est dans une zone du bâtiment où c'est isolé. On ne s'inquiète pas. C'est quelque chose, le jour où ça va mal se passer, on n'a peut-être pas vouloir perdre un quart d'heure pour retrouver une autre salle. Donc là, ça permet de mettre vraiment en état le dispositif. Et également, il faut tester. Les sauvegardes, comme je disais, en fait, on peut être confiant des sauvegardes et le jour où on veut les utiliser, on peut pas les récupérer. Peut-être qu'elles sont trop hautes, on arrive à les faire passer, on n'arrive pas à les faire revenir. Je n'en sais rien, tu parlais de, surtout quand on a contractualisé des offres de services, il faut s'assurer qu'on soit en capacité de les récupérer facilement. Et très concrètement, donc il faut le jouer, il faut en récupérer, il faut les réinstaller. Et voir si, alors pas sur tout forcément tout le système d'information, ça on réfléchit, mais bien bah. On va isoler.

• Diane CANTAN

  Ce qui est le plus urgent ou ce qui est le plus stratégique.

• Christophe Haubreux

  Voilà. Et parfois, pour les tests, on ne peut pas être au réel réel parce qu'on ne va pas se causer nous-mêmes une indispos dans le cadre d'un exercice. Donc là, on va peut-être faire l'inverse. On va peut-être mettre en défaut une application mineure pour récupérer des données, pour vérifier que cette application mineure, on peut la faire redémarrer. Et si on ne peut pas la faire redémarrer, on se dit qu'on a bien fait de ne pas la faire sur la majeure. Et tout ça, c'est encore une fois de bénéfice-risque, même pour les tests.

• Diane CANTAN

  En fait, on a l'habitude d'avoir des alertes incendies régulièrement. Évidemment, ça tombait toujours. Quand j'étais salariée, ça tombait toujours le jour où je recevais soit un client, soit un fournisseur et qu'il fallait qu'on passe une heure ou une demi-heure dehors, dans le froid, ou au contraire, dans la grosse chaleur. Mais on est habitué de se dire que le jour où il y a un incendie, on le sait. Finalement, sur les thèses de phishing, on commence à en avoir de plus en plus en mode « Ah, dommage, tu as cliqué, heureusement, c'était qu'un exercice. » Et donc, c'est une forme aussi de pédagogie, de formation qui doit y avoir régulièrement.

• Christophe Haubreux

  Absolument, et il faut que ça devienne un réflexe pour les personnes. C'est comme verrouiller sa session.

• Diane CANTAN

  Oui, ça c'est être croissanté.

• Christophe Haubreux

  Voilà, ça doit être automatique.

• Diane CANTAN

  Je ne sais pas si nos auditeurs ou nos auditrices connaissent ce petit système, mais chaque collègue qui part, ne serait-ce que pour aller dans la bureau d'à côté ou pour aller se reprendre un café, un verre d'eau, qui laisse le poste ouvert, on peut aller sur le site. On s'est fait croissanter, un truc comme ça. Et du coup, on doit offrir un croissant ou un pain au chocolat à l'équipe le lendemain. donc ça c'est c'est C'est hyper important de verrouiller son poste informatique, mais il y a aussi éviter d'avoir des téléchargements. Moi, je l'ai appris avec un de mes clients quand on est sur son navigateur web et son moteur de recherche classique, de faire en sorte, pour chaque téléchargement de document, de demander où il va l'installer, sur notre drive ou sur quel répertoire, plutôt que de le mettre d'office dans le téléchargement. Au moins, ça nous met au courant qu'il y a un fichier qui doit être téléchargé. De se dire, celui-là, je ne l'ai pas vu.

• Christophe Haubreux

  Il faut être vigilant. C'est vraiment la notion du réflexe. Aujourd'hui, quand on monte dans une voiture, on met sa ceinture, on n'y pense pas. Et dans le monde de l'informatique, ce serait bien qu'on arrive aussi à avoir sur certains sujets des points de vigilance. Alors, je parlais de la session. L'idée, c'est qu'on ne puisse pas utiliser votre poste informatique quand vous n'êtes pas devant. Vous êtes responsable de ce qui est fait avec votre poste informatique. Il y a la vigilance quand on reçoit un mail. C'est quoi l'élément assez simple pour voir que c'est un mail de fichier ?

• Diane CANTAN

  Vérifier l'adresse.

• Christophe Haubreux

  Toujours vérifier le lien. Sans cliquer, vous mettez votre flèche sur le lien hypertexte. Il va vous faire apparaître là où il va vous envoyer. Si ce n'est pas cohérent, c'est que ce n'est probablement pas bon. Il y a souvent aussi des aspects psychologiques qui sont tournés dans les mails de fichier pour vous mettre la pression.

• Diane CANTAN

  L'urgence. L'urgence.

• Christophe Haubreux

  Ou alors ça peut être quelque chose de social, c'est la fin dans le monde, une association pour les petits chiens. Et là aussi, il faut être vigilant sur votre vie sociale, exposée sur Internet. Parce que si je veux vous envoyer un mail de fichier ciblé, je regarde votre Facebook par exemple, je vois que vous adorez les animaux, vous êtes inscrit à la SPA, vous êtes dans une association. Donc si je veux vous faire un fichier, SPA, on est au bord de la faillite. Vite, aidez-nous.

• Diane CANTAN

  Mal deux euros.

• Christophe Haubreux

  Et en fait, on va cibler. Donc, caractère d'urgence, pression, le management. Quand on a les organigrammes, on en reparlait tout à l'heure. Je vais dire, j'ai reçu un mail du directeur. Vite, fais ça. D'être un caractère d'urgence inhabituel, il faut avoir un doute et prendre du temps. Et ne pas hésiter quand on a le doute. Souvent, on a plutôt...

• Diane CANTAN

  Une bonne intuition.

• Christophe Haubreux

  L'intuition est plutôt bonne. Il faut valider les éléments avec un autre moyen de communication. Vous recevez un mail bizarre de votre responsable qui vous demande de faire un paiement à un fondisseur, qui a changé de rive. Passez un coup de fil à votre directeur. C'est bien toi qui m'as envoyé le mail. C'est toi, ça me paraît bizarre. Et alors, vous n'allez pas forcément tout déjouer, mais en fait, vous allez en déjouer 95%. Vous allez diminuer la précision. Oui,

• Diane CANTAN

  ou sur des signatures de documents. À chaque fois, je revois ou on reçoit régulièrement des mails où il faut re-signer un document, etc. Comme tout se fait maintenant à distance. C'est de se dire « Attends, ça vient d'où ? C'était quoi ? Est-ce que j'avais vraiment un contrat à signer ? » Qui ? Et puis au pire, comme tu dis, c'est pareil, le réflexe de rappeler. Je dois bien signer un document là ? C'est normal ? Ou j'impose ma signature ?

• Christophe Haubreux

  Par contre, ce qu'il ne faut pas faire, c'est le transférer à d'autres collègues en disant qu'est-ce que je fais ? Parce que lui-même, il pourrait s'en regarder et cliquer dessus.

• Diane CANTAN

  Donc vigilance là-dessus. Est-ce que tu as d'autres types d'attaques que tu aimerais évoquer ?

• Christophe Haubreux

  Il y a pas mal d'attaques, notamment pour faire tomber des sites, ce qu'on appelle des attaques DDoS. L'objectif de l'attaquant, ça va être de faire tomber votre site internet.

• Diane CANTAN

  Notamment en e-commerce.

• Christophe Haubreux

  Exactement. Ça peut être fait par des attaquants qui veulent se faire de l'expérience. On a différents types d'attaquants. Il va y avoir des institutionnels, il peut y avoir du crime organisé, il peut y avoir aussi des amateurs. qui cherchent à se faire plaisir et donc qui vont vous ennuyer.

• Diane CANTAN

  Ou qui cherchent à se faire embaucher après dans d'autres entreprises.

• Christophe Haubreux

  Potentiellement, ça peut être un stéréo.

• Diane CANTAN

  C'est là où le côté tous les consultants en cyber, est-ce qu'ils sont sur le bon côté ou sur le dark side ? Tu sais, c'est une version, c'est-à-dire à quel moment...

• Christophe Haubreux

  Je pense qu'ils sont, les consultants, ils sont toujours du bon côté, mais malheureusement, et on reparle encore de l'IA, aujourd'hui avec l'IA, en fait, vous pouvez facilement Hum. Essayez d'attaquer des scripts qui vont être mis à disposition par l'IA. Théoriquement, les IA ne vont pas vous aider à être malveillants, mais vous lui dites que c'est dans le cadre d'un projet d'études, parce que vous êtes étudiant en troisième année de l'école d'ingénieurs, vous avez besoin... De se faire la langue. Directement, elle va réussir à vous aider à vous donner des infos.

• Diane CANTAN

  C'est là où il faut être hyper vigilant.

• Christophe Haubreux

  Après, il y a des choses assez... qui peuvent être amusantes, enfin amusantes, mais non, notamment, il ne faut jamais brancher quelque chose qui n'est pas connu sur votre poste informatique.

• Diane CANTAN

  Oui, une clé USB.

• Christophe Haubreux

  Une clé USB, c'est l'exemple très concret, puisqu'il peut y avoir un virus dessus, il peut y avoir une charge électrique qui va vous détruire le matériel, et c'est vrai sur votre poste professionnel, mais c'est aussi vrai sur n'importe quel outil informatique que vous avez, même à titre privé. Il faut toujours maîtriser ce qu'on veut connecter.

• Diane CANTAN

  C'est là où on le voit sur recharger son téléphone dans une gare, dans un aéroport. Potentiellement, quelqu'un a pu trafiquer l'entrée d'accès. Et du coup, on pense recharger son téléphone, mais nos données sont en train d'être aspirées.

• Christophe Haubreux

  Les QR codes, aujourd'hui, on les a fait sur un salon. Vous avez un QR code, vous le scannez. En fait, c'est quelque chose de malveillant. Quelqu'un est venu coller la fiche et on est très vigilant. Encore une fois, il faut être vigilant, pas paranoïaque, mais vigilant. Et dès qu'il y a un doute, c'est que...

• Diane CANTAN

  C'est que c'est bon. Mais en fait, c'était aussi la raison pour laquelle je voulais faire cet épisode sur ce thème-là. C'est de se dire, plus on en parle, plus on est conscient des risques. Et du coup, plus, comme tu le disais, on a cette notion de réflexe. C'est de se dire, voilà, attention, ah, warning, est-ce qu'il y a un piège ou pas un piège ? Est-ce qu'on a envie de récupérer les données ou pas ? Parce que demain, sans Internet, sans ordinateur, sans données, aujourd'hui, on n'a plus beaucoup de papier, on n'a plus les coordonnées des clients sur un répertoire papier, tout est dans le CRM ou dans le RP ou les fournisseurs et pareil. Ça devient un peu plus bloquant. J'aimerais peut-être aborder ma séquence marqueur de bascule. C'est-à-dire à partir du moment où on passe de l'intention à l'action. C'est-à-dire avec quelques questions et réponses flash, comment on peut aider le dirigeant ou les collaborateurs. Alors, ma première question, c'est lorsque tu rencontres un dirigeant pour la première fois, est-ce qu'il y a trois questions, quatre, deux, je ne sais pas, que tu poses quand tu abordes ce sujet pour savoir où ils en sont ?

• Christophe Haubreux

  La première question, c'est déjà, est-ce qu'il a déjà entendu parler de cybersécurité ? Qu'est-ce que ça lui évoque pour lui ? La deuxième question, c'est est-ce qu'il a dans son entreprise un porteur du sujet ou une équipe ?

• Diane CANTAN

  Un responsable.

• Christophe Haubreux

  Un responsable. Donc déjà, ça va être un deuxième niveau de maturité. Et ensuite, par rapport à ce qui lui a remonté, ce qu'il peut me dire, les top 5 des informations qui lui sont remontées par son étude de sécurité. Et en fonction de ces infos-là, on peut voir un peu...

• Diane CANTAN

  Son degré de maturité.

• Christophe Haubreux

  Son intérêt, lui-même, sur ces sujets-là. C'est comme tous les sujets, on a des dirigeants qui sont déjà personnels. Oui, oui. Oui,

• Diane CANTAN

  parce que ça peut être un dada. Ah oui,

• Christophe Haubreux

  exactement.

• Diane CANTAN

  Ou quand on regarde les news, on creuse le sujet et on se dit, tiens, au fait, l'ANSSI, est-ce que tout le monde connaît ? Tout le monde ne connaît pas, je ne sais pas.

• Christophe Haubreux

  C'est bluffant. Parfois, il y a des dirigeants et ils sont très au fait de ce qui se passe. Soit on leur montre bien l'information, mais je pense aussi d'eux-mêmes, ils sont curieux.

• Diane CANTAN

  Oui, parce que le dirigeant lui-même peut être une cible. Là, on parlait des ordinateurs, des serveurs. du téléphone, mais personnellement, le dirigeant peut être aussi une cible première.

• Christophe Haubreux

  Évidemment.

• Diane CANTAN

  Parce que c'est lui qui a tous les codes, les accès...

• Christophe Haubreux

  Nous, on fait de l'analyse de risque pour dimensionner la protection en fonction de la sensibilité de l'information. Mais l'attaquant, il fait pareil. Lui, il sait qui doit attaquer par facilité, pour avoir beaucoup d'informations, parce que ça va être plus facile pour lui de l'attaquer. Typiquement, les commerciaux, tant qu'on est tout à l'heure, ils voyagent beaucoup. Quand on voit le nombre d'ordinateurs qui sont perdus ou volés dans les aéroports, forcément, c'est des cibles assez faciles, des commerciaux. Les dirigeants vont avoir beaucoup d'informations. Il y en a qui sont très au fait de la culture de cyber, mais il y en a aussi qui, malheureusement, conservent tout en local sur leur PC. Un jour, on en vole leur PC, vous avez des années de comptabilité, de plans. Donc, il faut être vigilant.

• Diane CANTAN

  Il y a un audit qui est proposé comme ça aux dirigeants ou une simili-analyse de qu'est-ce qu'on sait de lui ou qu'est-ce qu'on peut trouver ? Alors, je ne sais pas, sur le Dark Web ou en tout cas, qu'est-ce qu'on est potentiellement ?

• Christophe Haubreux

  On peut faire ce type de prestation. Oui,

• Diane CANTAN

  sur un individu, donc.

• Christophe Haubreux

  Alors, il faut son autorisation, mais dans le cas des... Quand on va préparer un audit de manière assez large, des gros audits, on va, il y a une phase où on va faire de la reconnaissance. Donc, on va voir aussi plus largement combien il y a d'employés. qui sont, on va dire, à donner des infos sur Internet. Et ça peut être pour avoir des infos perso sur eux, pour faire des mails très ciblés, pour avoir plus d'infos. Mais aussi, parfois, en l'indicteur, c'est parce qu'il y a... Comment dire ? Parfois, sur des réseaux professionnels, même, on va expliquer sur quels technos on parle, sur quels technos on travaille au quotidien, etc. Donc, si on fait le rapprochement que telle personne qui travaille pour telle entreprise, elle travaille pour tel techno, on peut aller regarder ce qu'il y a comme vulnérabilité sur ces technos-là. et se documenter pour essayer d'attaquer. Et donc dans des phases de pré-études dans le cadre d'un audit qu'on va faire, ça peut être un pen-test ou même un audit très complet, architecture, inclusion, etc. On va regarder ça.

• Diane CANTAN

  Oui, tout peut être...

• Christophe Haubreux

  Après, on se limite, nous l'idée c'est de faire un état des lieux. Et il y a même des sujets, on parlait de la défense, où il y a des formations spécifiques, où on va expliquer et rappeler qu'on doit être... très discret sur ses activités professionnelles.

• Diane CANTAN

  Oui, ça c'est une notion de confidentialité aussi. C'est-à-dire, est-ce que je suis présent sur le réseau ou pas ? Qu'est-ce que je raconte ? Ça peut être aussi des limites données par l'entreprise.

• Christophe Haubreux

  Exactement. Et aussi, bien se rappeler que beaucoup d'entreprises, elles permettent un usage raisonné des moyens informatiques professionnels à titre privé. Par contre, il faut être vigilant avec ça, parce que moi j'aime bien l'idée, pro c'est pro. Parce qu'il faut cloisonner quand même. Il y a des fois, il y a des urgences. On a besoin d'avoir une information. C'est tout, l'entreprise, elle le tolère. C'est légitime, on ne peut que l'accepter. Mais il faut quand même, quand on commence à avoir ça, redoubler de vigilance. On ne s'inscrit pas sur des choses personnelles avec son adresse professionnelle. Ça se fait malheureusement. Vous mettez en plusieurs niveaux des sites qui ne sont pas forcément tous recommandables. Il faut sourire. Si on retrouve qu'il y a une fuite d'informations du site et qu'on voit qu'il y a l'entreprise qui ressort 100 fois avec arrobas de nombre d'entreprises, c'est pas sérieux.

• Diane CANTAN

  C'est pas terrible, effectivement. En termes d'images, il y a mieux. On imagine bien qu'elle cite « Chacun se fera son… » Donc ça, c'est la première question. La deuxième question, est-ce qu'il y a des réflexes qui coûtent le moins d'efforts, mais qui réduisent le plus de risques ? Alors là, pareil, est-ce que tu as deux, trois, quatre, cinq réflexes ? Je ne sais pas.

• Christophe Haubreux

  Oui, déjà, c'est regarder les fondamentaux. J'invite les dirigeants à aller sur le site de Nancy. Ce que tu avais fait, c'est de prendre la fiche, de voir si les notions, elles vous parlent. Et sinon, se renseigner pour que ça vous parle.

• Diane CANTAN

  Former ses collaborateurs.

• Christophe Haubreux

  Former ses collaborateurs, mettre les fondamentaux techniques. Il faut un antivirus, il faut regarder comment on va sauvegarder les données. Il faut regarder comment on va protéger les flux qui vont partir de l'entreprise à l'extérieur. Donc ça, c'est vraiment se protéger un peu comme une maison. C'est les mêmes réflexes. On va expliquer à ses enfants, s'il y a le feu, il faut faire ça et sortir. Faire le 18, prévenir. S'il y a une intrusion, il faut se protéger. Et peut-être qu'il faut fermer les volets quand on n'est pas à surveiller. Le week-end, il faut sécuriser un peu plus. Donc c'est un peu le même esprit. Et il faut aussi, je ne dis pas qu'il faut rentrer dans des détails très poussés, mais se poser la logique du risque en fait. Qu'est-ce que je veux protéger ? Pourquoi je veux le protéger ? Et déjà de se poser des questions, on va peut-être se rendre compte qu'on va se tromper dans l'idée. initiales qu'on voulait faire en termes de protection. Et ça va permettre aussi de mieux maîtriser le coût associé parce qu'on va vraiment sécuriser sur les objectifs rationnels. Donc il ne faut pas se lancer trop vite à un effet de buzz. Il faut se poser. C'est quoi la cible à atteindre ? Faisons les fondamentaux. Faisons bien les fondamentaux. Et dans le temps. Encore une fois, la stabilité,

• Diane CANTAN

  c'est hyper important,

• Christophe Haubreux

  même à vélo, c'est plus facile de maintenir le rythme que de freiner, se relancer, freiner, se relancer, c'est assez facile à avoir. Et donc l'impact aussi sur les personnes, ça ne sert à rien d'avoir beaucoup de systèmes de sécurité, si au final vous laissez vos collaborateurs les droits pour enlever l'antivirus sur leur système d'information, et de mettre tout et n'importe quoi sur une clé USB, vous allez tous sécuriser. Là, vous allez vous faire toper. Et à l'inverse aussi de la fuite de données. Vos collaborateurs pourraient perdre des documents. Donc les fondamentaux, c'est ça. Se caler sur le minimum requis en termes de technique, déjà. Est-ce qu'on a les équipements ? Est-ce qu'on a l'antivirus ? Est-ce qu'on a configuré au minimum nos postes ? Et l'aspect humain, est-ce qu'on les a sensibilisés au phishing ? Là, on en a parlé très rapidement, les bons réflexes. Il faut le faire régulièrement pour ne pas qu'on oublie. Ça devient un réflexe. et également avoir un porteur du sujet qui soit connu dans l'entreprise et reconnu dans l'entreprise.

• Diane CANTAN

  Avec toutes les attaques qu'il y a eu en France ces derniers jours, ces dernières semaines, on a aussi cité le cas du pays de l'Estonie qui a subi une attaque il y a quelques années et qui avait mis le pays KO pendant quelques semaines. Et du coup, c'est a priori le pays le plus préparé. Est-ce que nous en France, on est... suffisamment préparé ou il faut bagayer et encore ramer et ramer pour informer, sensibiliser ?

• Christophe Haubreux

  Je pense qu'il y a encore beaucoup de travail parce que le niveau n'est pas homogène entre les différentes structures, par leur culture l'historique. On va avoir vraiment des sociétés qui vont être à la pointe, qui vont être moteurs dans des sujets qui vont le promouvoir. On voit, il y a des cercles de réflexion sur la cybersécurité où il y a beaucoup d'acteurs de grand rôle qui vont mettre les moyens à la recherche et développement. On a des pépites aussi françaises qui jouent sur la cybersécurité. Par contre, à l'inverse, je pense qu'il y a quand même aussi une queue de potons qui faut avancer, donc c'est difficile d'avoir une vue globale. Je pense qu'aujourd'hui, la France, ça se donne les moyens d'être efficace. de mettre la cible à atteindre. Maintenant, malheureusement, il y a aussi des questions financières. Ça coûte de l'argent.

• Diane CANTAN

  Oui, c'est un budget qu'il faut accepter.

• Christophe Haubreux

  Et parfois, quand on n'a pas les moyens, parce que la situation n'est pas folle, ou économiquement, elle va se fêter un petit peu en dessous, elle va faire des arbitrages qui vont malheureusement pas être toujours en faveur de la cybersécurité. Il y a aussi des effets, comment dire, des effets de, je ne vais pas dire de mode, mais on vient que l'IA, ça a fait beaucoup parler d'elle, et que les entreprises, légitimement, elles ont peut-être attribué des budgets cyber sur de l'IA. temporairement et on est en train de le ressentir aujourd'hui peut-être en termes d'impact.

• Diane CANTAN

  En tout cas c'est potentiellement ce que tu peux voir ou échanger toi avec tes collègues chez CyberMaker en autres consultants tu sens qu'il y a une...

• Christophe Haubreux

  Oui, entre anciens collègues de sociétés et même en province, nous on n'a pas précisé, CyberMaker on est quand même très axé sur la région parisienne avec quelques antennes en province mais En parlant avec des collègues du secteur, on voit que c'est normal, il y a une nouveauté, on va y aller. Et les dirigeants veulent être de l'IA, et donc il n'y a plus à voir des budgets qui ont été ralloués. Il faut être vigilant parce que, comme je l'ai dit encore plusieurs fois, quand on coupe et qu'ensuite on doit remettre, au final ça coûte plus cher que si on était constant.

• Diane CANTAN

  On note tout ça.

• Christophe Haubreux

  Après il y a l'argent. Il y aura un expert de l'IA qui va venir et va dire « mais si on met tout sur l'IA, c'est l'avenir » . C'est des choix, malheureusement.

• Diane CANTAN

  C'est comme ça, évidemment. Est-ce qu'il y a d'autres sujets que tu aimerais aborder, qu'on n'a pas encore évoqués ou des points d'attention, avant que j'enchaîne sur ma dernière séquence ?

• Christophe Haubreux

  Peut-être quand même rappeler aux dirigeants et aux responsables de la sécurité. Dans nos domaines, on est souvent vu pour des empêcheurs de tourner en rond. Et donc il faut être en capacité quand on va mettre des sécurisations, des barrières aux personnes, aussi de montrer qu'on veut aussi le faire pour l'entreprise, et que ça peut aider les collaborateurs sur d'autres sujets et qu'on les protège aussi. En fait, c'est un peu comme quand on parle de l'environnement, il ne faut pas que ce soit punitif. La cyber, on l'est un petit peu. Donc, ne pas hésiter à avoir de la bonne humeur et aussi d'aider les gens sur leurs problématiques et bien s'assurer. On a pris en compte leurs contraintes dans le cadre de nos mesures de sécurité. Et qu'on a bien réfléchi que malgré leurs contraintes, on leur demande de faire ça. Parce que ce qui peut se passer, c'est que si ce n'est pas accepté par les équipes, les mesures de sécurité, typiquement, je ne t'autorise plus à utiliser deux clés USB, tu ne vas pas être content. Du coup, tu vas peut-être envoyer de la donnée en utilisant une autre application ou en t'envoyant des emails directement. Et en fait, la notion du contournement, elle est très dangereuse. Parce qu'on va donner l'illusion aux dirigeants qu'on est sécurisés.

• Diane CANTAN

  En fait, non. Pas du tout.

• Christophe Haubreux

  En fait, comme on a voulu aller trop loin, le système, il fait qu'il contourne.

• Diane CANTAN

  Ça, c'est typiquement l'exemple, c'était l'été dernier avec l'application WeTransfer qui a changé de condition générale de vente et qui permettait d'avoir un accès aux fichiers qui étaient transmis. Donc, ça a fait un tollé complet, évidemment. Les autres acteurs, y compris des acteurs français ou européens, s'en sont engouffrés pour dire « utilisez nos systèmes, parce que justement, nous, on ne récupère pas vos données, c'est juste une sorte de boîte aux lettres, mais on ne regarde pas ce qui est envoyé. » Et sur ces systèmes de plateformes-là, en fait, il y a des dizaines, des centaines de milliers de fichiers qui sont envoyés, je ne dirais pas quotidiennement, mais pas loin. par toutes les entreprises qui doivent échanger avec des clients, des fournisseurs. Donc, à chaque fois, quand je travaille avec un client, c'est une de mes premières questions. C'est-à-dire, créez-moi un répertoire dans votre univers où j'ai juste l'accès ici, mais au moins, je n'envoie pas de fichiers par mail, je n'envoie pas de fichiers autrement avec des plateformes d'envoi. J'ai un canal qui est bien défini, qui est sécurisé de votre côté et je m'y astreins. Et c'est comme ça qu'on échange nos fichiers, qu'on peut écrire dessus, être en documents partagés, etc.

• Christophe Haubreux

  C'est fondamental, l'intention d'information. Et on donne cet exemple-là, mais il peut y en avoir d'autres aussi sur les composants du système d'information. Mais vraiment, ce que j'appelle le métier, c'est l'activité prioritaire de l'entreprise. En fait, elle a vraiment des contraintes fortes qui font qu'ils ne peuvent pas vraiment sécuriser comme vous le voudriez. Il faut aussi savoir s'adapter à trouver d'autres solutions. Parce que sinon... Vous les avez empêchés de travailler de manière trop forte.

• Diane CANTAN

  Oui, et de toute façon, on trouve, ça c'est aussi bien français, dans les stéréotypes clés, c'est de se dire comment on peut contourner une loi, une réglementation, un petit article ou une nouvelle procédure qui vient de tomber par le juridique ou par la DSI. Ça nous casse bien les pieds, comment on peut faire autrement ? C'est à chaque fois de montrer l'enjeu qui est derrière. c'est pas juste pour... être un empêcheur de tourner en haut pour emmerder tout le monde.

• Christophe Haubreux

  Exactement, on peut pas dire aussi directement.

• Diane CANTAN

  Bah si, disons-le directement. Mais oui, on est souvent dans cette démarche-là, il vaut mieux prévenir que guérir.

• Christophe Haubreux

  Exactement.

• Diane CANTAN

  Ok, est-ce qu'il y a d'autres points que tu veux tu voulais citer ?

• Christophe Haubreux

  Non, non, ça me paraissait vraiment... Il faut être à l'écoute des collaborateurs aussi parce que Quand ils ont confiance en vous, ils vont peut-être aussi vous parler de vulnérabilité que vous n'avez pas vue. Ils vont alors se confier, ils vont avouer des choses sur leur métier, sur des difficultés. Je pense vraiment qu'on ne doit pas être là que pour donner des consignes ou des verrous. Il faut vraiment peut-être même faire l'effort de s'approprier un peu le métier de chacun. On n'a pas leur expertise, mais quand on fait de l'audit... Non,

• Diane CANTAN

  mais à force, là, tu commences à connaître un peu.

• Christophe Haubreux

  Oui, quand on fait de l'audit, on doit comprendre ce qu'ils font assez rapidement. et je pense qu'il faut qu'on ait... Cette logique-là, positif, comprendre leur métier, leurs activités, pour vraiment pouvoir bien cibler. Et quand il y a des alertes en disant « c'est bloquant » , il faut aussi savoir les écouter. Toujours la bonne humeur. Ça passe mieux que le sourire quand on empêche quelque chose.

• Diane CANTAN

  Mais ça passe partout. Le sourire, ça passe mieux partout. Dans tous les métiers et avec toutes les parties prenantes, quelles qu'elles soient. C'est important. Client interne, client externe, on en a besoin. Sinon, le monde serait quand même beaucoup plus triste. Oui,

• Christophe Haubreux

  je suis d'accord.

• Diane CANTAN

  Dernière séquence, que j'ai l'habitude de faire avec tous mes invités. La première question, c'est en lien avec le nom de mon podcast, Markoeur, de savoir si ça t'inspire ou pas. Markoeur, parce que je suis convaincue que le marketing durable est le marqueur de la bonne santé des entreprises. Même si dans mon podcast, je n'aborde pas que le market, mais on est sur plein d'autres sujets en tant que tel. Mais du coup, j'aborde aussi cette notion de marqueur de bascule. Et parce que aussi, quand on embarque les gens avec le cœur, forcément, on va plus loin.

• Christophe Haubreux

  Alors, moi, quand j'ai vu le marqueur pour la première fois, ce qui m'a vraiment... Ce à quoi ça m'a fait penser, c'est l'idée du marqueur au sens... On va mettre en visibilité ce qui est essentiel. En fait, c'est un peu le feutre, le fluo. Quand on met quelque chose au marqueur, c'est quelque chose qui pour nous a de la valeur. C'est quelque chose qu'on veut montrer. Et c'est quelque chose qu'on veut retrouver facilement, avoir une continuité dans le temps. Donc, marqueur, ça m'a fait penser à ça, en fait. Et surtout, dans ces problématiques-là aussi, c'est toujours important de savoir qu'il y a des notions, il y a des choses. il faut qu'on les voit facilement qu'on les retrouve et que ça nous permette de suivre dans le temps et de les garder en tête et c'est l'essentiel qu'on va marquer si tout est marqué dans un livre on va en rien se rappeler et ça démontre une réflexion à avoir et c'est vraiment ce qu'on veut mettre en avant l'aspect comme ça marqueur là tu as sur le livre que je suis en train d'écrire sur les marqueurs de bascule

• Diane CANTAN

  J'en ai 12. Le premier grand chapitre est autour de l'analyse des risques. Et mon premier marqueur, c'est la sécurité. Et je commence volontairement par celui-ci. Où dans la sécurité, il y aura évidemment cette notion de cyber. Donc je verrai, tu vois, quels extraits tu as évoqués, je pourrais mettre dans cette partie-là. Mais oui, la sécurité est un point. Cruciel en premier, c'est évident. Merci pour ces belles phrases de marqueur et de savoir ce que l'on veut valoriser, mettre en avant et retenir. C'est aussi ça qui est derrière cette notion pour moi de marqueur. Une deuxième question, ça peut être un éco-geste pro ou perso que tu as envie de partager ?

• Christophe Haubreux

  Oui, je suis très attentif, c'est tout ce qui est lié à l'eau. Donc je suis radin sur l'eau, mais j'étais très vigilant et j'aime pas les robinets qui coulent, les gens qui vont brosser les dents robinoubiennes. Je pense qu'on a eu de la démonstration que l'eau c'est quelque chose de primordial, qui va devenir, je vais citer le président, c'est la fin de l'abondance peut-être, sur ces problématiques-là. Moi c'est un peu mon dada, c'est d'être vigilant sur la consommation d'eau, soit au bureau, mais surtout au titre personnel quand même. pour minimiser, alors sans me priver, mais c'est pas de perte inutile en fait. Pas arroser des fleurs en plein soleil. Il faut vraiment se raisonner sur ces problématiques-là, parce que je pense que c'est quelque chose qu'on va...

• Diane CANTAN

  Commettre de plus en plus. Ouais, c'est difficile. Et pas que à l'autre bout de la planète, mais potentiellement près de chez nous, où on va être concerné. Il y a des régions qui le sont déjà.

• Christophe Haubreux

  Et sans eau, il y a plein de systèmes qui fonctionnent moins bien. Même les centrales et l'énergie, etc.

• Diane CANTAN

  Notamment les data centers qui ont besoin d'eau pour refroidir. Avec toute cette IA en puissance multipliée ces derniers mois, ou en projection sur ces prochaines années, il y aura une vraie problématique liée à l'eau pour refroidir les data centers ou l'eau à utiliser pour les populations locales.

• Christophe Haubreux

  Vous êtes bien vigilant aussi à la tête perso. Il y a une déperdition assez forte sur le réseau. J'en profite, je fais une promotion. Dans le réseau d'alimentation d'eau, il y a beaucoup de pertes. Donc, n'hésitez pas, petit message perso, s'il y a des lubidités ou des signes de fuite chez vous, n'hésitez pas à aller faire...

• Diane CANTAN

  Un petit diagnostic. Un autre audit. Et là, tu te déplaces avec ta petite routine ? Non, je ne fais pas ça.

• Christophe Haubreux

  Mais voilà. C'est mon petit côté, mon petit débat avec vos responsables.

• Diane CANTAN

  Ok, très bien. L'eau, c'est hyper important. Est-ce que tu as une campagne de... pub comme ça qui t'a marqué ?

• Christophe Haubreux

  Moi j'ai beaucoup les publicités, je te l'ai déjà avoué, sur une grande marque de distribution sur le loup qui m'a marqué parce que je pense qu'elle rappelle à des notions de l'enfance. Et puis c'est aussi...

• Diane CANTAN

  La pub d'intermarché. Si jamais vous n'aviez pas suivi Le Loup, on en a déjà parlé dans d'autres épisodes.

• Christophe Haubreux

  Parce que ça donne des notions assez mignonnes aussi, de la mise à l'écart et d'intégrer des a priori, tout simplement.

• Diane CANTAN

  Il y avait beaucoup de messages sur cette pub.

• Christophe Haubreux

  Donc c'était pour moi très beau à regarder et très marquant.

• Diane CANTAN

  Il y avait cette notion d'inclusion, comme tu citais, cette notion aussi de manger moins de viande. que certains n'ont peut-être pas vus. Il y a l'aspect famille et sociétal, de pouvoir être intégré malgré les chances. Et donc ça aussi, c'était des beaux messages. En tout cas, sur la période de Noël, c'était une belle pub réussie.

• Christophe Haubreux

  Oui, c'est bien tombé, en plus, dans cette période.

• Diane CANTAN

  C'est ça. On en a besoin. On va voir ce qui va nous sortir, là, dans quelques mois. Parce que là, on enregistre, on est l'été 2026. Ils sont peut-être déjà en train de plancher sur la pub de Noël 2026. Donc là,

• Christophe Haubreux

  je pense que les autres vont essayer aussi de challenger celle-ci.

• Diane CANTAN

  Forcément.

• Christophe Haubreux

  Ça va être une belle compétition.

• Diane CANTAN

  Et c'était une pub qui n'était pas faite par LIA. Et je pense que l'année dernière, c'était aussi le petit élément de Cocorico. L'homme est encore capable de faire des choses. Et la créativité a un bel avenir.

• Christophe Haubreux

  Avec une belle musique.

• Diane CANTAN

  C'est ça, il y avait la totale. Est-ce que tu penses à quelqu'un pour un futur invité qui viendrait devant le micro de Markoeur ?

• Christophe Haubreux

  Alors, je ne pense pas à quelqu'un en particulier. Je ne peux pas donner de nom. Par contre, quelque chose qui m'intéresserait, ce n'est peut-être pas un invité, c'est plusieurs en même temps, mais qui n'ont pas les mêmes expériences ou générations sur des sujets. Aujourd'hui, je te donne ma vision sur la cyber. J'ai 15 ans d'ancienneté dans la cyber sécurité. J'aurais été curieux de savoir, quelqu'un qui a été à l'émergence, déjà expert de la cyber sur des problématiques crypto, etc., qui a 10 ou 20 ans de plus que moi, quelles auraient été ses priorités, en fait. Et voilà, je pense à ça. Ça pourrait être sympa d'avoir trois visions différentes.

• Diane CANTAN

  Avec générationnel.

• Christophe Haubreux

  Mais pas générationnel forcément sur la personne, mais sur l'expérience et sur les technologies qu'ils ont eu à aborder. On doit s'ancrer sur des réflexes à avoir en fonction de la technologie. Mais les réflexes que j'ai, l'expérience que j'ai fondée sur mon début de carrière, c'est là où on fait beaucoup. Je serais curieux de savoir quelqu'un qui va arriver dans la cyber. Maintenant. Maintenant ou même quand c'est vraiment lié, quand ils se sont vraiment déployés. sur quelle base il va faire son expérience.

• Diane CANTAN

  Voilà. Comment il va se faire les dents.

• Christophe Haubreux

  Exactement. On revient sur le loup.

• Diane CANTAN

  Exactement. Bon, bah écoute, parfait. Merci beaucoup, Christophe, pour ce moment passé ensemble autour de cette thématique cruciale de cybersécurité. On en entend parler tout le temps. Là, j'ose espérer que, chères auditrices et auditeurs, vous aurez désormais quelques clés ou en tout cas, Une première couche, un niveau de sensibilisation importante et que vous aurez envie de creuser encore davantage le sujet. Merci à tous et à bientôt.

• Christophe Haubreux

  Merci beaucoup.

• Diane CANTAN

  Merci d'avoir écouté jusqu'au bout cet épisode. J'espère que mon invité ou mes invités vous ont inspiré et donné envie de passer à l'action. Alors n'hésitez pas à mettre 5 étoiles sur votre plateforme d'écoute favorite. Vous pouvez évidemment me laisser un message sur LinkedIn ou Instagram en m'indiquant les sujets que vous aimeriez que j'aborde et les invités que vous aimeriez entendre. J'ai besoin de vos likes et abonnements pour faire connaître mon podcast. Alors n'hésitez pas à en parler autour de vous et à partager sur les réseaux sociaux. Allez, je vous dis à très vite. Ciao !