La cybersécurité est aussi une question de résilience

Bien plus qu’un sujet d’actualité, la cyber­sécu­rité a voca­tion à rester au cœur des préoc­cu­pa­tions des entre­pris­es français­es. Face à ce dan­ger, KPMG con­seille et accom­pa­gne ses clients afin de mieux anticiper et lim­iter les con­séquences des cyber­at­taques. Le point avec Vin­cent Maret, asso­cié et respon­s­able des activ­ités cyber­sécu­rité et pro­tec­tion des don­nées per­son­nelles au sein du départe­ment Con­nect­ed Tech de KPMG France.

Comment se positionne KPMG vis-à-vis de la cybersécurité ?

KPMG est un cab­i­net d’audit et de con­seil qui accom­pa­gne essen­tielle­ment les fonc­tions de direc­tion des entre­pris­es : direc­tions générales, finan­cières, des risques, du con­trôle interne… La cyber­sécu­rité est un sujet et un enjeu qui con­cerne l’ensemble de ces fonc­tions au sein d’une entre­prise quelle que soit sa taille. 

Les cyber­at­taques sont dev­enues une réal­ité qui peut paral­yser une entre­prise pen­dant des semaines, expos­er ses don­nées, stop­per ses activ­ités, impacter ses résul­tats financiers et nuire à sa notoriété. 

Notre posi­tion­nement his­torique auprès des entre­pris­es et de leurs direc­tions nous per­met de les con­seiller et de les accom­pa­g­n­er face à ce défi et ce risque avec per­ti­nence et efficacité. 

Au tra­vers de nos inter­ven­tions, nous proposons :

• L’audit, le diag­nos­tic et l’évaluation pour aider les entre­pris­es à faire le point sur leur niveau de sécu­rité, les risques aux­quels elles sont exposées, leurs vul­néra­bil­ités, afin d’identifier ensuite les proces­sus, out­ils et mécan­ismes de pro­tec­tion à déployer ;
• Un accom­pa­g­ne­ment et du con­seil sur les ques­tions stratégiques, de gou­ver­nance et d’organisation ;
• Ces presta­tions sont basées sur des exper­tis­es tech­niques et tech­nologiques pointues. Nous avons notam­ment des hack­ers éthiques au sein de nos équipes qui vont, par exem­ple, réalis­er des tests d’intrusion pour met­tre à l’épreuve la sécu­rité du sys­tème d’information de nos clients afin d’identifier les failles éventuelles que les cyber­at­taquants pour­raient exploiter. 

Sur ce sujet autour de quelles problématiques êtes-vous sollicités ? 

Le prin­ci­pal besoin des entre­pris­es est de pou­voir iden­ti­fi­er, éval­uer et pri­oris­er les cyber­me­n­aces. En effet, une entre­prise peut compter des dizaines de mil­liers de postes, de serveurs, de sites web… À cela s’ajoute un vol­ume colos­sal de don­nées qui sont col­lec­tées, traitées et/ou stock­ées dans les entre­pris­es. Un niveau de pro­tec­tion max­i­mal pour l’ensemble de ces élé­ments est com­plexe à déploy­er et à met­tre en place, d’où la néces­sité de pri­oris­er les efforts et les investisse­ments financiers afin de priv­ilégi­er les sys­tèmes les plus cri­tiques. Et pour ce faire, il est impératif de pou­voir s’appuyer sur une car­togra­phie détail­lée des risques cyber. Vient ensuite la mise en place des mesures de sécuri­sa­tion préven­tives et détectives. 

L’explosion des cyber­at­taques visant la sup­ply chain des entre­pris­es est un nou­veau risque auquel elles sont con­fron­tées. Dans ce cas de fig­ure, au lieu de s’en pren­dre directe­ment à un groupe ou grande entre­prise, le cyber-attaquant va cibler un de ses four­nisseurs ou prestataires. De plus en plus, les entre­pris­es cherchent à mieux con­trôler et quan­ti­fi­er ce risque en met­tant en place des référen­tiels pour leurs sous-trai­tants… C’est, d’ailleurs, un sujet sur lequel nous pou­vons intervenir.

“Si le risque zéro n’existe pas, il s’agit de pouvoir anticiper et limiter l’impact d’une cyberattaque. On parle alors de cyber résilience. Cela se traduit notamment par la préparation de plans de reprise, de programmation d’exercices de gestion crise pour être opérationnels le jour où surviendra une attaque…”

Ces actions doivent pro­téger les entre­pris­es sans impacter le tra­vail au quo­ti­di­en des col­lab­o­ra­teurs. Il faut pou­voir trou­ver le bon niveau de sécu­rité et faire en sorte que la cyber­sécu­rité soit abor­dée de la manière la plus trans­par­ente pos­si­ble pour embar­quer toutes les par­ties prenantes de l’entreprise.

Si le risque zéro n’existe pas, il s’agit de pou­voir anticiper et lim­iter l’impact d’une cyber­at­taque. On par­le alors de cyber­résilience. Cela se traduit notam­ment par la pré­pa­ra­tion de plans de reprise, de pro­gram­ma­tion d’exercices de ges­tion crise pour être opéra­tionnels le jour où survien­dra une attaque… 

Quel regard portez-vous sur l’évolution de ce secteur ? 

Face à une men­ace qui ne faib­lit pas, c’est un sujet cri­tique au cœur des préoc­cu­pa­tions des entre­pris­es, qui n’hésitent, d’ailleurs, pas à allouer des bud­gets con­sid­érables et des ressources sig­ni­fica­tives afin de met­tre en place des pro­grammes visant à garan­tir leur sécu­rité. C’est aus­si un domaine qui évolue très vite avec des cyber­at­taquants qui se pro­fes­sion­nalisent et qui struc­turent de mieux en mieux leurs attaques pour en ampli­fi­er l’impact. L’enjeu est de ne pas se laiss­er dis­tancer par les attaquants qui innovent et utilisent les dernières tech­nolo­gies pour être plus effi­caces. Côté entre­prise, cela demande une veille per­ma­nente et le suivi des risques afin de garan­tir que les actions déployées sont tou­jours per­ti­nentes vis-à-vis de la menace. 

Aujourd’hui, l’impact d’une cyber­at­taque dépasse le périmètre de l’entreprise. Ces attaques sont de plus en plus médi­atisées. Au-delà des con­séquences au niveau de la notoriété et de l’image, se pose aus­si la ques­tion de la con­fi­ance entre cette dernière et l’ensemble de ses par­ties prenantes. Et cela est encore plus vrai dans des secteurs sen­si­bles comme les ban­ques qui sont, d’ailleurs, un domaine très règlementé. 

En parallèle, se pose également la question des compétences et des talents. Qu’en est-il et comment appréhendez-vous cet enjeu au sein de KPMG ?

Pour met­tre en place une stratégie de cyber­sécu­rité effi­ciente, les entre­pris­es ont besoin de pou­voir s’appuyer sur des com­pé­tences et des tal­ents. Or, il y a, aujourd’hui, une vraie pénurie des ressources cyber sur le marché du tra­vail français : con­sul­tants, ingénieurs, experts de la cybersécurité… 

Grands groupes, ETI et PME peinent véri­ta­ble­ment à recruter et à ren­forcer leurs équipes. Ces com­pé­tences sont aus­si recher­chées par les états et leurs dif­férents ser­vices (ren­seigne­ment, armée, police, entités dédiées à la cyber­crim­i­nal­ité …). Le monde du con­seil aus­si recrute mas­sive­ment pour dévelop­per leur exper­tise et pro­pos­er de nou­veaux services.

Face à ce con­stat, de nom­breuses ini­tia­tives visent à solu­tion­ner ce prob­lème. Des écoles spé­cial­isées dans la cyber­sécu­rité ouvrent leurs portes. En interne, les entre­pris­es pro­posent égale­ment des pro­grammes et cam­pagnes de recon­ver­sion à leurs col­lab­o­ra­teurs pour les for­mer et les posi­tion­ner sur des métiers relat­ifs à la cyber­sécu­rité. Sur un plan plus opéra­tionnel, les acteurs de la cyber­sécu­rité s’intéressent aus­si de plus en plus à l’IA et aux per­spec­tives qu’elle porte en ter­mes d’automatisation notamment.

Quelles pistes de réflexion pourriez-vous partager avec notre lectorat sur ce sujet ?

Je pense qu’il est impor­tant de bien avoir en tête que l’ensemble des acteurs d’une entre­prise, du dirigeant au man­ag­er en pas­sant par les chefs de pro­jets ou les ingénieurs, va être con­fron­té à cette men­ace. Ce sont donc toutes les straté­gies de l’entreprise, mais aus­si tous ses métiers qui doivent être sen­si­bil­isés à cet enjeu. 

Un autre point d’intérêt con­cerne la dimen­sion tech­nologique de la cyber­sécu­rité. Le sujet a émergé avec le développe­ment de l’informatique. Toute­fois, les dernières tech­nolo­gies sont aus­si con­cernées par ce risque : le cloud, l’IA, la blockchain et demain les ordi­na­teurs quan­tiques… Il ne faut donc pas oubli­er de les inté­gr­er dans sa stratégie cyber. 

---

Articles similaires :

“Nous trans­for­mons la don­née brute en une infor­ma­tion éclairée et con­tex­tu­al­isée pour une meilleure prise de décision » Tehtris, se pré­par­er à l’inconnu : la cyber­sécu­rité autrement Inté­gra­tion et automa­ti­sa­tion : l’avenir de la cybersécurité L’innovation et la R&D plus que jamais au cœur de la cyber­sécu­rité pour Cisco Risque Cyber : anticiper, prévenir et agir Cyber­sécu­rité : une offre inté­grée et au plus proche des entreprises