Risque Cyber : anticiper, prévenir et agir

Imade Elbara­ka, Asso­cié chez Deloitte et respon­s­able (man­ag­ing part­ner) de l’activité Cyber Risk Ser­vices, répond à nos ques­tions autour du chal­lenge posé par la cyber­sécu­rité dans un envi­ron­nement évo­lu­tif et com­plexe. Entretien.

Quelle est l’approche de Deloitte en matière de cybersécurité ? 

Elle est claire­ment englobante. Parce que le numérique est désor­mais présent dans tous les métiers et fonc­tions de l’entreprise, nous élar­gis­sons le con­cept à la notion de sécu­rité du numérique. Notre vision de la cyber est trans­verse, mul­ti­forme et omniprésente.

Dans l’inconscient col­lec­tif et de manière générale, la cyber­sécu­rité ren­voie à l’action de « détecter et répon­dre » à un agresseur numérique. C’est en quelque sorte la capac­ité « pom­pi­er ». Mais notre approche et notre porte­feuille capac­i­taire sont bien plus larges. En effet, nous avons opté pour une sécu­rité by design » qui va cou­vrir des dimen­sions comme la stratégie, l’architecture, les infra­struc­tures, les parte­nar­i­ats, le cloud… Autant de sujets clés qui exi­gent d’être inté­grés et pris en compte en amont des éventuelles attaques. Il en est de même après une attaque, notam­ment dans le cadre d’une recon­struc­tion ou tout sim­ple­ment pour opti­miser les dis­posi­tifs existants. 

Dans ce contexte, quels sont les principaux besoins pour les entreprises que vous accompagnez ? 

La sécu­rité et la ges­tion de crise doivent se con­stru­ire à 90 % avant même la sur­v­enue d’un événe­ment. En effet, une archi­tec­ture résis­tante est une archi­tec­ture qui a été bien conçue au départ. Un parte­nar­i­at solide avec un sous-trai­tant sup­pose une con­struc­tion sur des bases ini­tiales fortes afin de créer une véri­ta­ble rela­tion de con­nais­sance mutuelle et de fia­bil­ité partagée. 

Sur le ter­rain, nous avons iden­ti­fié prin­ci­pale­ment trois besoins. Tout d’abord, les acteurs économiques dans leur majorité, méri­tent de mieux con­naître leurs sys­tèmes d’information (SI) pour appréhen­der leurs faib­less­es et vul­néra­bil­ités. Cela passe par des sché­mas directeurs, des archi­tec­tures détail­lées et à jour, de l’analyse de risques, des audits… De sur­croît, nos clients doivent bien sou­vent appro­fondir une néces­saire vision agnos­tique des équipements de défense de SI à laque­lle s’ajoute une capac­ité à s’adapter et à inté­gr­er les régle­men­ta­tions, notam­ment européennes (NIS2, DORA, HDS, RGPD…). Il con­vient d’ailleurs à cet égard de ne pas être dépen­dant d’une mar­que ou d’une rela­tion com­mer­ciale. Dans ce domaine, le prin­ci­pal enjeu est d’être en mesure d’identifier, voire d’anticiper, les change­ments impor­tants dans un monde qui bouge plus sou­vent et plus vite. 

Enfin, nous avons noté un véri­ta­ble besoin de prospec­tive notam­ment pour mieux appréhen­der les prochaines évo­lu­tions sur les cinq prochaines années avec une atten­tion par­ti­c­ulière à l’impact des nou­velles dis­rup­tions tech­niques sur la Cyber, les régle­men­ta­tions sur les straté­gies, la révo­lu­tion en cours des sys­tèmes de défense. 

Dans un monde qui évolue et qui change, pour les entre­pris­es, il s’agit de pou­voir s’appuyer sur un accom­pa­g­ne­ment per­ti­nent, réalis­er les bons investisse­ments, dévelop­per et opti­miser ses capac­ités proac­tives et préventives.

Quels sont les principaux sujets et enjeux qui vous mobilisent dans ce cadre ? 

Les enjeux et sujets sont nom­breux et aus­si diver­si­fiés que les clients et entre­pris­es que nous con­seil­lons. J’en retiens prin­ci­pale­ment trois : 

• La mon­tée des régle­men­ta­tions européennes visant à pro­téger les SI européens, notam­ment dans les secteurs cri­tiques (san­té, édu­ca­tion, indus­tries sen­si­bles…), des sor­ties de don­nées vers d’autres espaces juridiques et économiques (États-Unis en particulier) ;
• L’émergence tou­jours plus rapi­de de nou­veaux par­a­digmes de défense et de nou­veaux out­ils asso­ciés (pro­tec­tion des don­nées vs pro­tec­tion périmétrique, IA et automa­ti­sa­tion avancée, analyse proac­tive des sig­naux faibles…) qui vont pro­fondé­ment trans­former l’approche de défense, mais égale­ment néces­siter un focus con­tinu sur la for­ma­tion des experts ain­si qu’une plus grande réac­tiv­ité de la part de l’ensemble des par­ties prenantes ; 
• Et enfin, le para­doxe entre une mobil­i­sa­tion con­sid­érable d’investissements dans la cyber­sécu­rité (VC, États, fonds …) et la con­sti­tu­tion d’espaces juridiques plus fer­més pour pro­téger les don­nées, car­bu­rant de l’économie de demain. Il s’agira non seule­ment d’équilibrer les investisse­ments pour per­me­t­tre des solu­tions qui flu­id­i­fient l’économie mon­di­ale mais aus­si d’éviter la créa­tion de silos qui ne seront pas béné­fiques à l’économie de demain.

Comment voyez-vous ce secteur évoluer et quelles sont vos perspectives dans cette continuité ?

Con­crète­ment, le secteur va voir émerg­er de nom­breux ser­vices opérés, dits ser­vices man­agés, de plus en plus poin­tus et à dis­tance. Deloitte s’y adapte et essaie d’anticiper ces nou­velles ten­dances. Nous avons ain­si dévelop­pé un Deliv­ery Cen­ter à Madrid pour servir nos clients européens. Il inclut en son sein un juste équili­bre entre des solu­tions glob­ales (sou­vent améri­caines) et des solu­tions dites sou­veraines ou en voie de l’être. La même démarche a été adop­tée pour notre cen­tre cyber basé à Casablan­ca pour servir nos besoins en Afrique fran­coph­o­ne. Le réseau Deloitte dis­pose, par ailleurs, de cen­tres sim­i­laires en Inde, en Indonésie ou en Amérique. Le mail­lage entre ces cen­tres, en plus de préserv­er les spé­ci­ficités locales, juridiques ou tech­niques, per­met la cou­ver­ture des besoins de clients globaux, comme les entre­pris­es du CAC40. Ces dernières ne pour­ront plus main­tenir un niveau de com­pé­tences et d’investissement internes suff­isant dans un con­texte d’explosion qua­si expo­nen­tielle du risque cyber. L’intervention man­agée va devenir totale­ment incon­tourn­able, car elle sera le pro­duit d’acteurs ayant à la fois cen­tral­isé leurs investisse­ments et région­al­isé leurs ser­vices sur le plan mondial.

Au niveau du busi­ness des four­nisseurs de cyber, nous observerons des con­cen­tra­tions et des con­sol­i­da­tions. Seuls les acteurs ayant une forte R&D pour s’adapter à des cycles d’évolution très rapi­des (18 mois en moyenne) sur­vivront à terme. La sub­til­ité con­sis­tera prob­a­ble­ment à pou­voir agir glob­ale­ment et à attein­dre en même temps les objec­tifs locaux ou régionaux des envi­ron­nements pro­tégés tout en reje­tant une par­tie des règles imposées par le droit améri­cain extrater­ri­to­r­i­al. L’enjeu pour les entre­pris­es et donc pour des acteurs comme Deloitte, sera de pou­voir artic­uler le glob­al (droit améri­cain, ges­tion des don­nées per­son­nelles par­ti­c­ulières) avec le local (zone pro­tégée, RGPD en Europe, direc­tive NIS, régle­men­ta­tion Dora…). Il ne s’agit pas d’être exclu­ant de ce qui vient de l’international ou des États-Unis, mais de définir des cadres de coopéra­tion sta­bles et de les con­trôler sur les plans tech­nique et juridique.

Qu’en est-il sur le plan humain et en termes de compétences dans ce secteur ?

Deloitte reste une entre­prise extrême­ment attrac­tive et, sur un marché en ten­sion, nous n’avons à ce stade pas de prob­lèmes majeurs de recrute­ment. Sur les qua­tre derniers mois, nous avons recruté une cinquan­taine de con­sul­tants. Si l’aspect rétri­bu­tion reste impor­tant, le recrute­ment est avant tout un enjeu de pro­jet d’entreprise, d’accompagnement et de for­ma­tion. Les experts en cyber s’attendent à des salaires au-dessus de la moyenne avec des per­spec­tives de fortes aug­men­ta­tions et la pos­si­bil­ité, par exem­ple, pour un junior de dou­bler son salaire en 5 à 6 ans. Nous nous adap­tons et offrons par ailleurs des passerelles vers d’autres métiers et/ou zones géo­graphiques afin de pou­voir tra­vailler avec des clients divers opérant dans une mul­ti­tude de secteurs. C’est aus­si la pos­si­bil­ité de voy­ager dans le monde entier, d’interagir avec d’autres cul­tures de tra­vail et de décou­vrir des métiers var­iés et passionnants.

Au-delà, nous cher­chons aus­si à répon­dre aux attentes des jeunes généra­tions qui aujourd’hui sont en quête de sens dans le monde du tra­vail. C’est un enjeu cap­i­tal de fidéli­sa­tion (pro­tec­tion de nos act­ifs, sou­veraineté, atten­tion aux autres…).

Nos jeunes con­sul­tants, qui restent chez Deloitte en moyenne cinq à sept ans, con­sid­èrent que leur par­cours chez nous est très intéres­sant et que Deloitte est un véri­ta­ble accéléra­teur de car­rière. D’autres pour­suiv­ent leur par­cours au sein du cab­i­net et décou­vrent d’autres enjeux de man­age­ment et de busi­ness pro­pres au méti­er de consultant. 

Le mot de la fin ? 

Le risque cyber est omniprésent. Du domi­cile au lieu de tra­vail, à la vie au quo­ti­di­en, le risque cyber est sous-jacent et sou­vent invis­i­ble. Il existe une loi de la grav­i­ta­tion numérique, tout comme il y a une loi de la grav­i­ta­tion physique. Il faut en con­naître les règles sous peine de dis­paraître pour don­ner suite à une attaque ou à une panne. 

Dans ce domaine, la for­ma­tion con­tin­ue n’est désor­mais plus une option, mais une impérieuse néces­sité pour suiv­re des évo­lu­tions tech­nologiques très rapi­des. Il est aus­si essen­tiel de sen­si­bilis­er et d’informer les Comex, les clients et les parte­naires. Enfin, je pense qu’il est aus­si impor­tant de dévelop­per des capac­ités de man­age­ment et de stratégie appliquées au monde du numérique. Ces com­pé­tences éclairées sont plus que jamais néces­saires pour gér­er une crise cyber ou plus large­ment men­er une trans­for­ma­tion numérique réussie et anticiper les muta­tions de demain.

Nous sommes d’ailleurs en recherche active d’ingénieurs motivés afin de nous accom­pa­g­n­er dans nos futurs projets. 

---

Articles similaires :

L’humain l’atout pour le monde digital Stock­er, fia­bilis­er, sécuris­er et val­oris­er vos don­nées !dat S’adapter à une cyber­crim­i­nal­ité en mutation Stormshield : Un posi­tion­nement spé­cial­isé et expert au ser­vice de la cybersécurité La cyber­sécu­rité est aus­si une ques­tion de résilience La sécu­rité des don­nées : une affaire de tech­nolo­gie et de personnes