Transcription

• Speaker #0

  Bonjour et bienvenue dans Oser l'Efficacité, le Lab, le format où je reçois un expert pour plonger au cœur de sa thématique et te rendre compte que tu n'es pas seul face à tes incertitudes. Je suis Perrine Thiébaut, j'aide les dirigeants industriels à transformer leur entreprise et que ça se voit. Dans leur processus, dans leurs décisions, dans leur trésorerie et même à l'extérieur. Cette semaine à mon micro, je reçois Michael Tonso de CyberSéréno pour rendre la cybersécurité extrêmement pratique. Un épisode par jour, toute la semaine, du lundi au vendredi. N'oublie pas de t'abonner pour ne pas rater les suivants. On est à notre quatrième épisode sur le sujet. Si tu as raté les précédents, la playlist est juste ici. Et aujourd'hui, on va parler de cybersécurité sous l'axe de la compétitivité. Parce qu'une entreprise qui fait attention à sa cybersécurité, elle est plus fiable et elle gagne en crédit auprès de ses clients et de ses prospects. Pour commencer l'épisode, on va changer du ton habituellement alarmiste sur le sujet de la sécurité informatique globalement. Pour parler de belles histoires, et ça se passe dans la séquence, la fierté du patron. Est-ce que tu te souviens d'un moment où ton travail sur la sécurisation a fait la différence et où tu t'es dit « ok, là on a gagné en crédibilité » ou « on a fait gagner en crédibilité à notre client » ?

• Speaker #1

  Oui, c'est lorsqu'un client important a sollicité mon propre client pour analyser avec lui l'état de ses pratiques en termes de sécurité informatique. Dans ce contexte, mon client a vu bien avant la volonté de prendre les devants et de sécuriser son environnement informatique avec moi. Il était content de disposer de plusieurs éléments et notamment d'avoir mis en place des bonnes pratiques pour pouvoir satisfaire les exigences qui lui étaient demandées par son propre client. D'ailleurs, ce sont des démarches qui ont été suivies par d'autres clients à lui par la suite.

• Speaker #0

  Il était déjà client à ce moment-là, ça a pérennisé la relation ?

• Speaker #1

  Oui, ça a pérennisé la relation. Dans le sens où les grands clients de plus en plus demandent des garanties et veulent s'assurer que leurs partenaires, leurs sous-traitants remplissent leurs exigences en termes de protection. Et s'il y avait certains éléments qui n'étaient pas couverts d'ailleurs, soit le client demandait à son sous-traitant ou son partenaire de faire des efforts, soit potentiellement ça peut être un motif pour ne plus forcément continuer des affaires à l'avenir.

• Speaker #0

  Est-ce que de ce côté-là, justement, la sécurité ou plutôt le fait de faire attention à sa sécurité, c'est devenu un argument commercial ?

• Speaker #1

  Alors, l'argument commercial, je ne sais pas si ça devient un argument commercial, mais en tout cas, la sécurité comme argument commercial, finalement, pour moi, n'a pas beaucoup d'importance à lui seul. Car d'ailleurs, il y a un peu d'abus par rapport à ça par certains acteurs, mais bon, après, ça existe. Ce qui est intéressant de mon point de vue et ce qui est plus valorisant pour une PMI, c'est de voir la cyber comme un droit d'entrée, finalement. Quand je dis droit d'entrée, c'est droit d'entrée auprès de nouveaux clients, mais c'est aussi, finalement, ce qu'on évoquait là, c'est un droit de rester. C'est-à-dire que si avec un client avec lequel on travaille depuis longtemps, il y a des exigences en termes de sécurisation qui ne sont pas respectées, potentiellement, peut-être que le client va donner un peu plus d'affaires à un concurrent qui lui sait mieux satisfaire ces éléments-là, etc. Donc les mentalités sont en train de changer progressivement. Moi, je me vois sur le terrain, par rapport aux missions que je traverse, parce que j'accompagne dans... dans le temps et dans la durée des entreprises. Donc je les vois évoluer aussi en même temps que j'interviens pour eux. Et pendant longtemps, la sécurité était vue surtout comme une contrainte technique. Aujourd'hui, pour les entreprises qui vraiment souhaitent l'apporter et l'incarner, ça devient plus un indicateur de fiabilité entre partenaires. Et dans le monde professionnel, comme je disais, on voit de plus en plus souvent, l'impulsion vient des grands groupes et des ETI finalement. En plus, maintenant, des réglementations juridiques qui leur ont été mises sur le dos. Je ne vais pas rentrer dans le détail, mais il y a des directives comme NIS2, si jamais ça parle à quelques-uns qui nous écoutent, qui obligent et qui, d'ailleurs, responsabilisent d'un point de vue à titre personnel, le dirigeant d'une grande entreprise, s'il n'est pas en mesure de prouver qu'il n'a pas le droit de faire ça. qu'il effectue une démarche de protection et de sécurisation de ces données. Tout ça, ça ruisselle finalement dans l'écosystème partenaire de ces entreprises, parce que du coup, ces grandes entreprises qui sont soumises à ces juridictions ou qui ont compris que la faiblesse pouvait venir aussi d'un partenaire, elles questionnent et elles demandent de plus en plus d'exigences auprès de ces partenaires. D'où des questionnaires, d'où des demandes de renforcement de sécurisation. Donc le chemin est en route là. Et en termes d'arguments commerciaux, finalement, on pourrait très bien dire, pour une entreprise qui rentre dans une démarche de protection, il peut très bien être utilisé finalement pour une entreprise qui fait cette démarche, de dire, ok, si vous travaillez avec nous, sachez que vos données, elles sont en sécurité chez nous. Et que nous avons pris finalement des mesures aussi pour que notre production, elle ne soit pas mise à l'arrêt en cas de malveillance. Ça devient. aussi important que de dire que notre produit est de qualité et qu'il présente tel ou tel avantage finalement. Donc c'est vraiment des critères qui sont de plus en plus regardés aussi par... par des gros clients.

• Speaker #0

  Au-delà de l'argument commercial, comment est-ce qu'un dirigeant aujourd'hui peut valoriser sa démarche cyber ou au moins de protection informatique auprès de ses clients et tout ça sans tomber dans le blabla technique parce que souvent on perd tout le monde si on balance juste des mots-clés que personne ne comprend.

• Speaker #1

  Alors oui, le blabla technique, je suis totalement d'accord avec ça. Donc c'est surtout pas de jargon technique, surtout pas de discours soporifique. Le dirigeant, par exemple, qu'est-ce qu'il peut utiliser comme discours ? En fait, il... Premièrement, c'est d'axer un discours sur la continuité de service. Il peut très bien avancer vis-à-vis de ses clients pour dire « j'ai investi pour garantir que même en cas de problème, je suis capable de vous livrer, de vous servir, de vous apporter ce que vous attendez » . C'est un argument business qui est assez béton quand on a la mesure d'apporter ça. Après, il y a le respect de la donnée aussi en tant que thème, puisque la donnée maintenant, elle devient de plus en plus numérisée, elle est très omniprésente. Donc affirmer, dire « aujourd'hui on considère Une PME qui dit auprès de son gros client « je considère vos données et vos commandes comme si c'était les miennes » , c'est une trêve d'empathie et de professionnalisme en fait finalement. Ensuite, je pense qu'il y a un point clé qui reste important, c'est la transparence. Moi, c'est clairement quelque chose que je porte, je pense que ça sent dans mon discours. L'idée, c'est que la PME puisse communiquer aussi de manière la plus transparente possible sur les mesures qu'elle a concrètement mises en place chez elle. pour pouvoir sécuriser ses éléments. Alors évidemment, il ne faut pas donner tous les détails, parce que sinon, il y a un peu de secret qui doit être conservé là-dedans. Mais en tout cas, affirmer les mesures, ça rassure et ça permet d'augmenter la confiance avec ses partenaires.

• Speaker #0

  Tu as un exemple d'entreprise qui a décroché un contrat grâce à son niveau de sécurité, quelque chose qu'elle n'aurait pas pu avoir si elle n'avait pas travaillé dessus.

• Speaker #1

  Alors oui, tout comme à te prédire, j'ai plus eu des exemples d'entreprises qui ont pu rassurer et conserver des clients avec qui ils travaillent déjà.

• Speaker #0

  Le droit de rester dont tu parlais tout à l'heure.

• Speaker #1

  Donc le fameux droit de rester, effectivement. Donc en B2B, du fait des risques croissants de cyberattaques, il y a ce qu'on appelle la chaîne d'approvisionnement. Donc les grandes entreprises ont compris que les vulnérabilités pouvaient venir aussi de leurs sous-traitants. Donc il y a de plus en plus de pratiques d'enquête et de revues de pratiques cyber qui sont faites entre partenaires, finalement. J'ai eu plusieurs de mes clients qui ont fait l'objet de ce type d'enquête. Donc en soit, ça passe beaucoup par du questionnement et de la vérification de pratique. Le fait d'avoir réalisé une démarche de sécurisation, soit au préalable, soit en même temps que la réception de l'enquête, avec un suivi régulier, c'est quelque chose qui rassure énormément et qui surtout permet de cocher pas mal de cases sur ce qui est attendu des clients demandeurs à travers ces enquêtes. C'est un bon atout qui permet de se démarquer aussi finalement de la concurrence pour les PME et les PMI concernés, qui ne sont pas forcément... toutes au même stade de sécurisation par rapport à ce sujet.

• Speaker #0

  Tu as mentionné dans tes réponses que les mentalités sont en train de changer et c'est justement ce que je voulais creuser dans la prochaine section qui s'appelle Retour vers le futur et c'est la section où on se projette sur l'avenir de ton expertise. Si tu devais imaginer la PMI cyber idéale, je viens d'inventer ce mot, dans 5 ans, elle ressemble à quoi ?

• Speaker #1

  Bonne invention, sympa comme terme. Alors, une PMI cyber idéale, c'est... Pour moi, ça serait une PMI qui continue d'évoluer avec son temps. C'est déjà super important. Bien sûr, dans ses domaines d'activité qui lui sont propres, mais aussi de plus en plus, parce que c'est en indépendant qu'il puisse faire évoluer son informatique et donc prendre en considération tous les sujets cyber qui gravitent autour. C'est une PMI qui s'appuie évidemment non seulement sur une entité informatique clé, une entité, un partenaire fiable dans ce domaine-là, Mais c'est aussi une PMI qui s'appuie en complément de son partenaire informatique sur quelqu'un d'indépendant qui pourra apporter ce regard extérieur sur son exposition en termes de risques cyber. Et la clé de la réussite finalement elle réside dans la bonne entente de ces différentes parties. Mais à partir du moment où les rôles et que l'objectif à atteindre est bien partagé entre les différentes personnes et les différentes entités, c'est là où ça crée, moi je vois sur le terrain, les entreprises dans lesquelles ça se passe de cette manière, ça crée une émulsion au niveau de l'organisation qui permet vraiment de mettre en place une démarche d'amélioration continue et proactive sur ces sujets cyber. Donc souvent, c'est juste quelques heures par mois qui suffisent pour pouvoir piloter ça et continuer de donner la pulsion et d'ancrer concrètement sur le terrain les bonnes pratiques. C'est juste que c'est quelque chose qui s'en croit dans le temps aussi.

• Speaker #0

  Est-ce que tu penses que demain, les entreprises non sécurisées, celles qui ont vraiment poussé la poussière sous le tapis depuis des années, pourront encore bosser avec les grands donneurs d'ordre ?

• Speaker #1

  Et il y aura possiblement des exceptions, sauf que plus le temps va avancer, plus à mon avis, ça sera compliqué pour elles de travailler avec des grandes entreprises. Parce que vu le niveau d'engagement que ces grandes entreprises souhaitent maintenant au jour d'aujourd'hui, si les PME, si les PMI n'ont pas fait un minimum de choses, ça va être compliqué quand même de poursuivre. tout converge à l'avenir à ce que tous les acteurs, toutes les entreprises musclent leurs pratiques cyber. C'est un bon signe parce que pour moi on est sur un changement de modèle où il y a encore beaucoup de chemin à faire mais il y a des choses quand même que je trouve intéressantes qui sont en train de se mettre en place. Donc muscler les pratiques pour que concrètement ça reste pas juste un bout de papier et que la considération de la menace réelle soit traitée. tout en prenant en considération aussi les juridictions qui évoluent.

• Speaker #0

  Si tu avais un dernier message à faire passer à tous les dirigeants qui pensent encore que la cyber, c'est un coût plutôt qu'un investissement, ce serait lequel ?

• Speaker #1

  Alors, le véritable coût qu'il y a à considérer, c'est ce que les dirigeants constatent d'ailleurs lorsqu'ils sont paralysés et impactés dans leur activité professionnelle à cause d'une cyberattaque. C'est ça le véritable coût en fait. La sécurité informatique c'est une compétence que les entreprises pensaient se passer. Parce que effectivement, si on prend il y a 20 ans, la sécurité pouvait exister, mais ce n'était pas forcément un rôle aussi important que celui qui est de nos jours. Et en fait c'est devenu un rôle où on ne peut plus pas vraiment se passer, parce qu'on vit malheureusement dans un monde numérique où il n'y a pas que des gentils. Et justement, ceux qui ne sont pas très sympas, ils ont bien compris que quand il n'y avait pas suffisamment d'attention prêtée à ces sujets-là, c'était facile de faire beaucoup de choses et du coup de monétiser finalement aussi tout ça, toutes leurs activités malveillantes, juste par la négligence informatique de quelques entreprises ou l'absence de bonne pratique. Donc dit autrement, finalement, la cybersécurité, c'est l'assurance-survie des PMI de plus en plus. C'est un petit peu comme le gilet de sauvetage en quelque sorte.

• Speaker #0

  Tu as une première action à proposer pour un industriel qui veut montrer qu'il prend la sécurité au sérieux et qui veut se lancer maintenant ?

• Speaker #1

  Oui, c'est de lancer une démarche d'état de déluge rapide de ses pratiques humaines et techniques. C'est généralement ça qui révèle sous forme de risque numérique, mais pas que, aussi sous forme de risque industriel, parce que comme l'informatique est partie, c'est devenu un outil. crucial dans le quotidien des entreprises. Donc, c'est de prendre sous la forme de risques numériques et industriels et ensuite, du coup, disposer d'une feuille de route pour actionner les bonnes actions, pour pouvoir traiter ces risques, en fait, finalement. Il y a des risques qui vont être acceptables, d'autres moins. Et ça, ça va dépendre un petit peu du dirigeant. Mais au moins, il a une vue claire sur ce qu'il en est, à quoi il s'expose et ce qu'il est possible de mettre en place pour éviter le pire.

• Speaker #0

  C'est le genre de choses où tu peux les aider, non ?

• Speaker #1

  Tout à fait, oui. Absolument.

• Speaker #0

  Tu as un cadeau pour eux, je crois.

• Speaker #1

  Oui, tout à fait. Pour celles et ceux qui sont intéressés, Perrine a mis à disposition un lien sur digetic.fr/cyber où vous pouvez vous inscrire pour avoir accès à une petite intervention de ma part qui est offerte pour mettre en évidence des failles de sécurité qui pourraient se trouver sur vos appareils dû à l'absence de certaines mises à jour par exemple. Et avec une période d'essai de deux mois sur un outil qui permet de... maintenir en sécurité toutes ces mises à jour, enfin, maintenir en sécurité, d'appliquer toutes ces mises à jour de manière transparente sur vos postes de travail.

• Speaker #0

  Merci pour eux. Je remets le lien dans la description de l'épisode de toute façon. C'est tout pour aujourd'hui. Demain, on va parler plan d'action, justement, pour savoir concrètement comment entreprendre ces démarches de cybersécurité. En attendant, on s'abonne et on ose l'efficacité.