Les grandes tendances en matière de cybersécurité.

LA NOUVELLE ÉCONOMIE INTERVIEW

Alain Bouillé, délégué général du CESIN : « Il est crucial de ne pas oublier à qui nous avons confié notre patrimoine informationnel. »

Le CESIN (Club des Experts de la Sécurité de l'Information et du Numérique) est une association loi 1901, créée en juillet 2012, avec des objectifs de professionnalisation, de promotion et de partage autour de la cybersécurité. Le CESIN compte plus de 900 membres issus de tous secteurs d’activité, industries, ministères et entreprises, dont le CAC 40 et le SBF 120. C'est à l’occasion de la publication d’une étude sur la cybersécurité des entreprises françaises que nous avons interrogé Alain Bouillé, délégué général du CESIN.


L’Hebdo-Bourseplus : Le CESIN regroupe essentiellement des représentants de grandes entreprises. La problématique est-elle identique à celle qui affecte les PME ?

Alain Bouillé : Face aux cyberattaques, il est évident que chaque entreprise n'est pas sur un pied d'égalité. La menace est omniprésente, touchant aussi bien les grandes entreprises du SBF 120 que les ETI et les PME, où les enjeux cyber peuvent être considérables. La désignation d'un directeur cyber ou d'un RSSI peut changer la donne. En effet, les ressources disponibles pour une entreprise du CAC 40 diffèrent grandement de celles d'une ETI. Pourtant, une ETI bien avancée dans ce domaine peut se montrer plus agile et plus facile à sécuriser qu'une multinationale. Les réglementations variées dans le contexte international des grandes entreprises peuvent également constituer un obstacle supplémentaire. Une règle fondamentale s'impose : l'absence d’une personne dédiée à cette fonction dans une entreprise peut compromettre l'utilisation efficace des ressources qui lui sont allouées, quelle que soit leur importance. Les attaques opportunistes ciblent souvent les organisations, y compris les collectivités locales. En effet, la cybercriminalité de bas niveau est monnaie courante, avec des individus explorant les réseaux à la recherche de failles. Si une brèche est détectée, elle est exploitée ; sinon, les cybercriminels poursuivent leur chemin. Cette forme de délinquance est à distinguer des attaques étatiques auxquelles les grandes entreprises peuvent être confrontées.


Dans l’exemple que vous prenez, on découvre que des voleurs se promènent sans savoir où ils vont. Pourtant, on croit toujours qu’une attaque a été ciblée et préparée à l’avance…

Les attaques frappant des grandes entreprises sont généralement ciblées, mais nous assistons également à une augmentation des attaques opportunistes. Malheureusement, la prise de conscience de la cybersécurité n'a pas évolué au même rythme que la transformation numérique des entreprises. Il y a quelques années, beaucoup pensaient que seules les entreprises stratégiques étaient susceptibles d'être attaquées. Mais la prise de conscience a-t-elle progressé ? Les entreprises sont désormais conscientes de la croissance exponentielle de leur patrimoine informationnel et comprennent que tout incident touchant ce patrimoine peut compromettre sérieusement leur fonctionnement. Cependant, certaines entreprises restent dans l'attente et préfèrent se concentrer sur d'autres priorités, espérant échapper aux menaces. Cette attitude persiste encore dans de nombreuses entreprises de taille modeste. Au sein du CAC 40, cette attitude n'est plus tolérée. Aujourd'hui, plus personne ne peut se permettre de négliger la problématique cybersécurité. Dans les entreprises de moindre envergure, cette prise de conscience peut encore faire défaut.