Trustable : cartographier les risques cyber des entreprises étendues

Dans un monde inter­con­nec­té, où les entre­prises s’appuient sur des four­nis­seurs et par­te­naires externes pour fonc­tion­ner, la cyber­sé­cu­ri­té ne peut plus se limi­ter aux fron­tières de l’entreprise. C’est ce constat qui a mené Oli­vier Patole, expert en sécu­ri­té infor­ma­tique, à fon­der Trus­table : une solu­tion logi­cielle qui éva­lue en conti­nu les risques cyber sur l’ensemble de la chaîne de valeur. Ren­contre avec un entre­pre­neur qui veut démo­cra­ti­ser une éva­lua­tion rigou­reuse, fiable et sca­lable des tiers.

Pourquoi avoir fondé Trustable, et quelle est votre ambition ?

Je viens du monde de la cyber­sé­cu­ri­té. Après des études spé­cia­li­sées, j’ai tra­vaillé pen­dant 17 ans en audit et conseil, au contact d’organisations de toutes tailles. J’ai vu évo­luer le pay­sage IT : nous sommes pas­sés de sys­tèmes d’information fer­més et inter­na­li­sés à des struc­tures écla­tées, où l’entreprise s’appuie sur des par­te­naires, des pres­ta­taires, des clouds.

Bien vite, les clients ne nous deman­daient plus d’évaluer leur propre sécu­ri­té, mais celle de leur éco­sys­tème. Le pro­blème, c’est que les outils pour le faire étaient arti­sa­naux, lents et coû­teux. J’ai donc déci­dé de créer une solu­tion logi­cielle qui per­mette de car­to­gra­phier et d’évaluer en conti­nu les risques cyber liés à ces tiers. C’est ça, Trustable.

Quelle est la proposition de valeur de votre solution ?

Nous pro­po­sons une pla­te­forme qui offre une vision 360° du risque cyber : elle per­met d’évaluer la pos­ture de sécu­ri­té d’une entre­prise, de ses filiales, mais aus­si de ses par­te­naires et four­nis­seurs. L’objectif est de pas­ser d’un audit manuel, ponc­tuel et coû­teux, à une approche conti­nue, auto­ma­ti­sée et scalable.

“Le risque ne prend pas de vacances, et les attaques deviennent plus fréquentes, plus ciblées et plus sophistiquées.”

Nous exploi­tons notam­ment l’intelligence arti­fi­cielle pour auto­ma­ti­ser les ana­lyses et réduire dras­ti­que­ment les coûts. C’est indis­pen­sable dans un monde où la menace évo­lue en per­ma­nence. L’approche clas­sique d’un audit annuel est dépas­sée : le risque ne prend pas de vacances, et les attaques deviennent plus fré­quentes, plus ciblées et plus sophistiquées.

Vous parlez d’un risque systémique. À quoi fait-on face aujourd’hui ?

Ce qui change, c’est que les entre­prises sont inter­con­nec­tées. Une faille chez un four­nis­seur cri­tique peut blo­quer toute une chaîne. On l’a vu récem­ment dans le sec­teur finan­cier : un pres­ta­taire s’est retrou­vé atta­qué, et ce sont des dizaines de clients — banques, assu­rances — qui ont été para­ly­sés. Le risque est désor­mais sys­té­mique. Notre rôle, c’est de per­mettre à une entre­prise de visua­li­ser, en temps réel, les zones de fra­gi­li­té de son éco­sys­tème. Elle peut ain­si anti­ci­per les défaillances, ajus­ter ses contrats, ou ren­for­cer ses exi­gences. Et comme tout ne se vaut pas, notre pla­te­forme per­met d’ajuster la pro­fon­deur d’analyse selon la cri­ti­ci­té du tiers.

Comment incitez-vous les tiers à se prêter à l’exercice ?

C’est une vraie ques­tion. Pen­dant long­temps, les four­nis­seurs refu­saient ou rechi­gnaient à se faire éva­luer. Ce n’était ni leur prio­ri­té, ni leur res­pon­sa­bi­li­té directe. Mais cela change. Depuis jan­vier 2025, le sec­teur finan­cier est sou­mis à une nou­velle régle­men­ta­tion : les don­neurs d’ordre doivent impé­ra­ti­ve­ment éva­luer les risques cyber de leurs partenaires.

La direc­tive euro­péenne NIS2 va étendre cette obli­ga­tion à dix-huit autres sec­teurs. Cela veut dire que très bien­tôt, tous les four­nis­seurs auront l’obligation de prou­ver qu’ils sont en confor­mi­té. Nous accom­pa­gne­rons cette tran­si­tion en pro­po­sant un outil simple, équi­table, et adap­té à la réa­li­té des petites comme des grandes structures.

Quel est votre modèle économique aujourd’hui ?

Aujourd’hui, ce sont prin­ci­pa­le­ment les don­neurs d’ordre qui nous rému­nèrent. Ils ont l’obligation régle­men­taire, donc ils financent l’évaluation de leurs tiers. Mais nous anti­ci­pons une bas­cule dans les trois ans : ce seront les four­nis­seurs qui devront prou­ver à l’ensemble de leurs clients qu’ils res­pectent un cer­tain niveau de sécu­ri­té. Nous pro­po­se­rons alors un modèle de sous­crip­tion, où le tiers finance sa propre éva­lua­tion, et la met à dis­po­si­tion de son éco­sys­tème. C’est un chan­ge­ment cultu­rel : prou­ver qu’on est digne de confiance devien­dra une démarche proac­tive. La sécu­ri­té ne sera plus seule­ment une exi­gence contrac­tuelle, mais un levier commercial.

Êtes-vous un organisme certificateur ?

Non, nous ne déli­vrons pas de cer­ti­fi­ca­tion. Nous digi­ta­li­sons et auto­ma­ti­sons ce qu’un audit ferait de manière arti­sa­nale. Notre pro­messe, c’est de com­bi­ner la pro­fon­deur d’une ana­lyse humaine avec la rapi­di­té et l’échelle d’un outil logi­ciel. Les agences de nota­tion cyber exis­tantes scannent ce qui est visible sur Inter­net. C’est utile, mais insuf­fi­sant. Nous, nous allons plus loin : nous ana­ly­sons les confi­gu­ra­tions internes, les pra­tiques, les niveaux d’exposition réels. Un peu comme si on tes­tait la soli­di­té d’une porte en y appli­quant toutes les tech­niques d’effraction connues. C’est cette gra­nu­la­ri­té qui per­met d’obtenir une éva­lua­tion crédible.

Comment s’adapte votre analyse selon le profil du tiers ?

Nous avons conçu un sys­tème de par­cours dif­fé­ren­ciés. Une entre­prise peut clas­ser ses tiers selon trois niveaux de cri­ti­ci­té. Pour les four­nis­seurs stan­dards, nous fai­sons une éva­lua­tion légère, cen­trée sur les docu­ments et les pra­tiques déclarées.

Pour les tiers sen­sibles, nous pous­sons plus loin. Et pour les plus cri­tiques, on va jusqu’à tes­ter des confi­gu­ra­tions cloud, simu­ler des attaques, mesu­rer l’efficacité des pro­tec­tions. Le don­neur d’ordre peut donc cali­brer l’effort en fonc­tion du risque réel. Et le four­nis­seur, lui, peut valo­ri­ser les efforts qu’il fait en obte­nant une note plus éle­vée et plus fiable que celle d’un simple scan.

Quels sont vos délais et vos moyens humains aujourd’hui ?

Un audit simple prend envi­ron une semaine. Un audit com­plet peut s’étaler sur un à deux mois. Aujourd’hui, nous sommes quatre per­sonnes dans le cœur de l’équipe, tous issus du monde de la cyber­sé­cu­ri­té. Je me suis entou­ré de deux asso­ciés, l’un avec un pro­fil de cher­cheur, l’autre en charge des opé­ra­tions. Nous tra­vaillons aus­si avec des indé­pen­dants en déve­lop­pe­ment logi­ciel et en IA. L’idée est de ren­for­cer notre équipe, notam­ment côté tech et vente. Nous pré­pa­rons une levée d’un mil­lion d’euros pour accé­lé­rer ce déve­lop­pe­ment. Notre ambi­tion est de lever à terme vingt mil­lions et de deve­nir un acteur clé du risk sco­ring cyber en Europe.

Quelles sont vos ambitions à moyen et long terme ?

À court terme, nous vou­lons cou­vrir l’ensemble des sec­teurs concer­nés par les nou­velles régle­men­ta­tions, au-delà de la finance. Puis nous comp­tons nous étendre à l’échelle euro­péenne. Les obli­ga­tions de cyber­sé­cu­ri­té ne s’arrêtent pas aux fron­tières, et les chaînes de valeur non plus. Notre objec­tif est que Trus­table devienne une réfé­rence de confiance : un stan­dard uti­li­sé par les entre­prises, les assu­reurs, les inves­tis­seurs, les ache­teurs publics. La cyber­sé­cu­ri­té ne doit plus être un frein au busi­ness, mais un cata­ly­seur. Et pour ça, il faut de la trans­pa­rence, de la rigueur… et des outils accessibles.

Un mot pour les lecteurs et lectrices du réseau Polytechnique ?

Je crois beau­coup à l’intelligence col­lec­tive. La cyber­sé­cu­ri­té est un défi glo­bal, qui dépasse les fron­tières tech­niques. Chez Trus­table, nous vou­lons bâtir une solu­tion ambi­tieuse, rigou­reuse et utile. Nous cher­chons à ren­for­cer notre équipe avec des pro­fils solides, et nous sommes ouverts à des col­la­bo­ra­tions, des sou­tiens, des idées. L’exigence, l’esprit cri­tique et la rigueur que j’associe à Poly­tech­nique sont des qua­li­tés que nous valo­ri­sons énor­mé­ment. Ce que nous fai­sons aujourd’hui peut sem­bler tech­nique, mais c’est une brique essen­tielle pour sécu­ri­ser les modèles éco­no­miques de demain. 

Pour en savoir plus

---

Articles similaires :

Focus sur l’ACN Inté­gra­tion et auto­ma­ti­sa­tion : l’avenir de la cybersécurité Cam­pus Cyber : des réus­sites, des pro­jets et de belles pers­pec­tives de développement Hack­cyom, l’atout invi­sible du cloud sou­ve­rain français Le rôle du SASE dans la pro­tec­tion des data cen­ters dans un monde multi-cloud