Webinars Global SP

Transcription relue et corrigée à partir du sous-titrage automatique de la vidéo : tics de langage et répétitions retirés, sens et intervenants conservés. Les chiffres et les opinions exprimés sont ceux des intervenants.

0:03 José de Andrade : Bonjour à toutes et à tous, et bienvenue à ce premier webinar organisé par Global SP, le premier d'une longue série. Il est diffusé en direct et enregistré : vous pourrez le revoir. Il traite d'un sujet dont on parle beaucoup aujourd'hui : l'arrivée massive de l'intelligence artificielle. Comme outil de productivité, l'IA apporte des avantages très importants. Mais, comme nous allons le voir ensemble avec les conseils d'un expert, elle introduit aussi de nouvelles menaces et de nouveaux risques. Je partage la présentation.

1:21 José de Andrade : Avant toute chose, bienvenue à toi, Éric, et merci d'avoir répondu présent pour ce premier webinar. Je t'ai connu patron de Sophos France : tu dirigeais un acteur mondial de la cybersécurité. Aujourd'hui, tu fais autre chose.

1:41 Éric Devaulx : Bonjour à toutes et à tous. Oui, j'ai changé de métier : j'accompagne des dirigeants. Beaucoup dans la cyber, éditeurs de logiciels ou ESN, parfois dans d'autres secteurs. Je les accompagne dans leur métier de dirigeant : organiser leur croissance, leur relation avec un conseil d'administration, monter leur gouvernance. Et mon biais cyber fait que, quand j'accompagne des dirigeants qui ne sont pas de ce métier, je pose toujours la question : la cyber, est-ce un sujet pour toi ?

2:10 José de Andrade : Merci. Pour ceux qui ne me connaissent pas, je suis José de Andrade. J'ai rejoint les équipes de Global SP comme Responsable Sales Success et Solutions ; auparavant, j'ai construit des cellules de cybersécurité, et je porte aussi cette vision opérationnelle. Éric, une question très simple : utilises-tu l'intelligence artificielle au quotidien ?

Éric Devaulx : Oui, comme tout le monde, je pense.

José de Andrade : Elle nous fait gagner du temps dans le travail, la productivité, la recherche d'informations. Mais le sujet qui nous intéresse aujourd'hui, c'est ton regard et ton expérience : que constates-tu, en accompagnant des dirigeants et des entreprises, sur l'arrivée de l'IA côté cybersécurité ?

3:00 Éric Devaulx : Prenons d'abord un peu de recul : l'IA est un accélérateur, mais le point d'entrée n'est pas nécessairement différent. Je reprends les mots du président du Campus Cyber dans un article publié récemment : en cybersécurité, l'IA est un vecteur d'aggravation de la menace. Pourquoi ? Elle permet d'industrialiser la découverte des failles, de massifier l'exploitation des vulnérabilités, et elle agrandit le terrain de jeu des acteurs malveillants. C'est un premier point de vigilance.

Éric Devaulx : Et cela s'ajoute à beaucoup d'autres choses. D'abord, la transformation numérique des entreprises, très massive, a considérablement augmenté la surface d'attaque. Les objets connectés : on en compte 21 milliards aujourd'hui, on passera à 30 milliards dans les trois ans qui viennent. Autant de points d'entrée pour des attaquants. Le logiciel : avec l'IA, on développe beaucoup plus facilement, donc plus de logiciel, et forcément plus de vulnérabilités.

Éric Devaulx : Ensuite, le nombre d'attaquants. Avant, c'étaient des gens extrêmement bien formés, des ingénieurs en cyber. Si l'on prend les dernières attaques en France, par exemple celle du fichier des cartes grises et des permis de conduire, la personne arrêtée avait 15 ans. La valeur n'attend pas le nombre des années, mais cela montre que le nombre d'attaquants se démultiplie. On n'a pas de chiffre, c'est toujours très difficile à mesurer, mais c'est certain pour une raison simple : tout est disponible, tout est beaucoup plus facile, et l'IA joue un rôle d'accélérateur.

Éric Devaulx : Autre point : le coût pour les attaquants. Ceux qui font du business en attaquant des entreprises ou des organisations raisonnent en coût-bénéfice, et ce coût baisse drastiquement, justement avec les agents d'IA. Donc : surface d'attaque, nombre d'attaquants, coût des attaques qui baisse… et vitesse d'exécution. Dans les années 2020, entre la découverte d'une faille et son exploitation par les attaquants, on avait une soixantaine de jours pour déployer les correctifs. Les plus anciens se souviennent de WannaCry, qui a fait beaucoup de bruit : les correctifs étaient connus depuis six mois, mais ils n'avaient pas été déployés, pour plein de bonnes raisons, ou pas testés. Aujourd'hui, c'est complètement différent. En 2023, il y avait 5 jours entre la découverte d'une faille et son exploitation. Aujourd'hui, on est en négatif : on découvre les failles une fois que l'attaque a eu lieu. Et, en face, on n'a pas assez de compétences disponibles en cyber pour nous défendre. Quand on ajoute l'IA comme facilitateur à tout ce combo, il y a de quoi être informé, prudent, « aware » comme on dit.

6:10 José de Andrade : Cela illustre bien une donnée que tu m'avais remontée quand nous avons préparé ce webinar : le poids financier des dommages causés par la cybercriminalité serait proche de celui du trafic de drogue, voire le dépasserait.

Éric Devaulx : Oui. En 2026, c'est évalué à 10 000 milliards de dollars. Pour donner une échelle : si la cybercriminalité était un pays, ce serait la troisième économie mondiale, derrière les États-Unis et la Chine. Ce qui est intéressant aussi, c'est la dynamique : pour 2029, l'évaluation est de 15 000 à 16 000 milliards de dollars, soit une croissance de 50 à 60 %. C'est un business extrêmement rentable.

José de Andrade : Cela nous fait réfléchir. Avant, un arrêt de production dû à un virus ou à une cyberattaque était vu comme une panne. Aujourd'hui, le risque est bien plus important. Il est économique et opérationnel : une entreprise à l'arrêt ne paie plus ses fournisseurs, parfois plus ses salariés. Et la réputation de l'entreprise est engagée.

7:41 Éric Devaulx : Oui, le risque réputationnel est élevé. Une entreprise, que je ne citerai pas, avait évalué à plusieurs dizaines de millions d'euros la perte d'image de sa marque liée à une attaque. Et pour partir de chiffres, parce que cela donne une base solide de discussion aux dirigeants : l'assureur Allianz publie chaque année un baromètre des risques. Depuis quatre années de suite, au niveau mondial comme en France, le risque cyber y est classé numéro 1. Ce qui est nouveau, c'est que cette année le risque numéro 2, c'est l'IA. L'année dernière, l'IA n'était qu'en 10e et en 12e position. Avec l'IA en deuxième place et le cyber en première, on sent bien qu'il y a entre les deux des enjeux importants que le dirigeant doit couvrir.

8:37 José de Andrade : L'idée, Éric, est de comprendre de manière concrète, sans jargon, pour tous ceux qui nous suivent, comment l'apport technologique de l'IA accélère les attaques. Nous avons évoqué la rapidité d'exécution, l'industrialisation, la simplicité. Il y a aussi la personnalisation : on exploite mieux les données et les informations publiques. Un site institutionnel permet d'identifier la direction, le nom des personnes… Avant, publier ces éléments ne posait pas de souci. Aujourd'hui, avec l'IA, tout cela peut être récupéré pour mieux imiter et mieux exécuter les attaques.

José de Andrade : Prenons l'hameçonnage (phishing). Avant, au-delà de l'adresse de l'expéditeur, on repérait les fautes, un message approximatif, qui ne nous concernait pas vraiment. Avec l'IA, tout a changé : la langue est propre, le contexte est personnalisé, le message concerne notre poste, parce que toute la recherche en amont a été faite dans ce sens, avec de multiples variantes. Au-delà du bon réflexe de vérifier par un autre canal, détecter à l'avance un message parfaitement imité avec l'aide de l'IA devient un vrai enjeu. On retrouve cela aussi dans les deepfakes. Je pense que tu as des exemples.

10:27 Éric Devaulx : Oui. Si l'on va au bout, cela peut aller jusqu'à l'arnaque au président, mais il y a tout un travail de préparation. Quand une cible est identifiée, les attaquants sont capables de monter des équipes qui collectent de la donnée : numéros de mobile, adresses e-mail, enregistrements de voix, pour générer une attaque par hameçonnage qui peut rebondir sur une arnaque au président. Le fameux appel du vendredi soir à la DAF : « Ne mettez personne au courant, nous sommes en train de racheter une entreprise, il faut faire un virement. » Je vais vite, mais c'est cela. Et détecter qu'un contenu a été manipulé, qu'il s'agisse d'une image animée ou fixe ou d'un texte, est extrêmement compliqué.

Éric Devaulx : La bonne nouvelle, c'est qu'on a beaucoup de compétences en cyber en France. Un officier du ComCyber de la gendarmerie disait que 40 % des personnes qui ont des compétences cyber en Europe sont, à l'origine, des Français. Je peux citer une jeune entreprise française, fondée par des doctorants issus de l'Inria, qui a reçu deux prix cette année au Forum international de la cybersécurité. Elle a développé des solutions pour identifier si un contenu a été manipulé ou non, et pour le marquer (watermarking), afin de pouvoir dire : « ce contenu est valide, il n'y a pas de doute ». C'est un vrai enjeu. La presse a des problèmes avec cela : elle est en compétition pour sortir les informations très vite, donc la vérification de l'information est compliquée, et de temps en temps elle se fait piéger.

12:13 José de Andrade : Nous avons posé le constat. Rebondissons sur le rôle du dirigeant, ton expertise actuelle, puisque tu accompagnes des comités de direction. Pourquoi peut-on affirmer que l'IA, et l'augmentation de la cybercriminalité qui y est liée, ne sont plus l'apanage exclusif des équipes informatiques, mais une question de gouvernance et de leadership de la direction ?

12:49 Éric Devaulx : Oui, complètement. Le dirigeant et son correspondant, qui peut être le RSSI, le CISO ou le responsable IT : c'est ce binôme qui est important. D'abord, quand le risque cyber est quantifié comme le premier risque de l'entreprise, s'il n'est pas un sujet de comité de direction et de direction générale, je ne sais pas ce qu'il faut faire. L'IA, dans ses usages, bouleverse beaucoup d'entreprises : le dirigeant doit s'en emparer, se demander ce qu'elle change dans son métier, dans son business, et quels risques y sont associés.

Éric Devaulx : C'est de plus en plus admis. Les grands cabinets d'audit le publient : quand un conseil d'administration fait le tour des risques de l'entreprise, le risque cyber doit forcément y figurer. En France, l'IFA, l'Institut français des administrateurs, qui forme des administrateurs certifiés, a publié il y a plus d'un an un document sur le numérique, la cyber et ce que cela implique pour un conseil d'administration. Dans un board, le sujet de la cyber doit donc être là, dans un codir également. Le dirigeant doit s'en emparer d'autant plus qu'il est plus exposé que les autres : un dirigeant est ciblé dix fois plus que les autres collaborateurs, parce qu'il y a un effet de levier. En plus, il se déplace, il a plusieurs appareils : PC, smartphone, tablette. C'est une cible de choix. C'est donc à lui d'être en tête sur ce sujet et d'en faire un sujet de codir.

Éric Devaulx : Il y a aussi une responsabilité du côté technique. Beaucoup de dirigeants disent : « C'est un sujet technique, c'est chez vous. » Là, les responsables techniques de la cyber ont une responsabilité : le jargon. Comme ce jargon est peu accessible, il est très facile pour un dirigeant de dire que c'est un sujet technique. Non : c'est un sujet de gouvernance de l'entreprise. Le rôle du CISO, c'est aussi de raisonner en quantification du risque, en perte de business. Le rapprochement doit se faire dans les deux sens.

Éric Devaulx : J'ai un exemple concret. Il y a trois ans, j'accompagnais le dirigeant d'une entreprise qui n'était pas dans la cyber, mais dans la supply chain, à l'approche des Jeux olympiques. Je lui demande : « As-tu regardé ta partie risque ? » « Oui, on a beaucoup investi dans la cyber il y a deux ans. » « Oui, mais avec les JO et les clients que tu as… » Encore une fois, la supply chain, l'attaque indirecte, il faut vraiment l'avoir dans le radar. « Oui, mais il n'y a pas de budget. » Nous avons monté un business case, qu'il a présenté aux États-Unis, pour proposer un entraînement à la gestion de crise, un exercice. Le budget, il l'a trouvé. Et je pense que, côté CISO, il faut pousser, pousser, pousser : tant qu'on ne vous a pas dit non, il faut pousser. Le jour où survient un incident majeur, vous aurez au moins levé le doigt : la responsabilité est un peu plus partagée.

15:57 José de Andrade : On comprend parfaitement. C'est ce que nous disions dans nos échanges : le rôle du dirigeant est de mieux comprendre le risque, pas seulement de savoir qui fait quoi dans l'entreprise. Des équipes sont formées, des experts sont là pour agir, intercepter, gérer la crise. Mais en amont, il faut avoir le scénario complet : combien cela coûterait à l'entreprise, et comment elle est armée pour résister, voire réagir. C'est vraiment au dirigeant de prendre ces sujets. Passons à la culture de l'entreprise. Il y a la faille humaine : personne n'est parfait, l'erreur humaine persiste, et c'est parfois elle qui est exploitée lors d'une cyberattaque. Comment un dirigeant doit-il accompagner l'ensemble de son personnel ?

17:08 Éric Devaulx : Pour moi, il y a plusieurs questions auxquelles il faut répondre. La première : avez-vous une charte informatique ? Avez-vous une charte cyber ? Là, déjà, un peu moins de monde répond oui. Et enfin : avez-vous une charte sur l'utilisation de l'IA ? Parce qu'on ne peut pas interdire l'IA. Il y a quelques années, à la sortie d'un nouveau réseau social, une entreprise m'a dit : « On va l'interdire. » On ne va pas interdire le vent et la pluie, cela n'a pas de sens. Donc : avez-vous travaillé sur une charte informatique et cyber ?

Éric Devaulx : L'autre question : quelle part de votre budget IT consacrez-vous à la cyber ? Si vous êtes à 2 ou 3 %, il y a un problème. La gendarmerie considère qu'il faut 10 à 15 % en phase d'accélération ; en régime établi, on peut se contenter de 7 à 10 %, mais on ne peut pas être à 2 % : ce n'est pas compatible avec une bonne protection. Dans le rôle du dirigeant, il y a donc une charte cyber, une charte IA, se former, quantifier son risque, l'assurer, sensibiliser à tous les niveaux. C'est lui qui peut en être l'initiateur, mener des exercices de gestion de crise et travailler sur la résilience de l'entreprise. C'est un discours qu'on entend de plus en plus : que se passe-t-il si l'on a une fuite de données, un arrêt de production ? Comment paie-t-on les salaires, les fournisseurs ? Bien souvent, le minimum vital, c'est d'avoir une trésorerie qui fonctionne. Des solutions existent, mais il faut s'en occuper.

18:51 José de Andrade : Je retiens que le plus important est de se poser ces questions avant, parce qu'après une cyberattaque d'ampleur, il est trop tard. Tu as fait le lien entre les rôles : le dirigeant, dont c'est la responsabilité et qui doit prendre le sujet en charge ; les équipes ; et les partenaires, ces experts qui accompagnent les entreprises dans la mise en place d'un niveau de sécurité, en défense, en anticipation, en surveillance. Tu as aussi parlé de tests et d'amélioration continue : la résilience doit être testée, pas simplement écrite dans un document bien formulé. Si on ne la teste pas, on ne sait pas si elle fonctionnera.

19:45 Éric Devaulx : Oui, ce n'est pas statique, c'est dynamique. Les hackers n'ont pas d'horaires. La comparaison que je fais, c'est avec les sports de combat : vous mettez un combattant de MMA face à un pratiquant d'art martial très cadré, avec une éthique. Vous voyez l'idée. Vous, vous avez un existant à gérer, des logiciels plus ou moins récents, un historique : vous avez tout à protéger. En face, il suffit de trouver une faille. Le déséquilibre est là. Et ils n'ont pas de règles, sinon celle du bénéfice par rapport à l'investissement qu'ils y mettent.

20:19 José de Andrade : La cybersécurité, dans le passage à l'action, c'est une chaîne de décision et une chaîne de protection, faite de briques qui doivent être évidentes, normales, indispensables, pas des options. Je les ai classées ; tu me feras part de tes commentaires. D'abord, la gestion des identités : des outils prouvent, par la double authentification, que c'est bien la bonne personne, et d'autres permettent par exemple de bloquer les connexions depuis des pays sensibles. Ensuite, les technologies qui protègent les systèmes : des agents sophistiqués, on parle d'EDR et de XDR, qui bénéficient eux-mêmes de l'intelligence artificielle pour être plus efficaces dans la détection précoce. Puis l'usage de la messagerie : beaucoup de messageries n'ont pas activé les bonnes protections contre l'usurpation de nom de domaine. Un attaquant peut alors utiliser votre nom de domaine et être encore plus crédible dans un hameçonnage. Et les vulnérabilités : tu nous as donné tout à l'heure un chiffre intéressant, on est en négatif.

Éric Devaulx : Oui, en négatif de presque une semaine : la vulnérabilité est exploitée, les attaques ont lieu, et on les découvre une semaine après. Cela veut dire qu'il n'y a pas de code correctif, pas de patch disponible. Le jeu a changé. Et pour revenir sur la messagerie, un sujet de dirigeant : avez-vous une charte e-mail ? Ce n'est pas uniquement une question de sécurité : quand on regarde le temps que les gens passent sur leur messagerie, c'est colossal. Ce n'est pas très compliqué à faire : réunissez un groupe de travail, faites une charte en 15 points en y incluant les sujets cyber, et vous gagnerez de l'argent rien que sur le temps gagné grâce à un usage intelligent de la messagerie.

José de Andrade : Merci Éric pour le conseil. Enfin, deux derniers points. La sauvegarde et le PRA, le plan de reprise d'activité : cette résilience qui doit être testée. Et le SOC, le centre des opérations de sécurité. C'est lui qui fait le lien entre l'ensemble de ces protections, avec des équipes et des outils efficaces pour traquer le moindre comportement suspect, qu'il soit humain ou lié à du code, et anticiper les signaux faibles. L'ordinateur ne se met pas forcément à planter, il n'y a rien de palpable ni de visible, mais derrière, de manière invisible, une attaque peut être en train de se préparer et de se jouer.

23:13 José de Andrade : Chez Global SP, notre approche part de ce constat : il suffit d'une faille pour être exploité. Le risque zéro n'existe pas. Dans ce changement de paradigme, on ne se demande plus si l'on va se faire attaquer un jour, mais quand. C'est le scénario où l'on arrive le matin à 8 h et où rien ne fonctionne. Cela arrive très souvent, et pas seulement aux grandes entreprises, il faut le souligner, Éric, je ne sais pas si tu es d'accord : même aux petites entreprises qui se croient à l'abri.

23:42 Éric Devaulx : Tu mets le doigt sur un point important. La France a une démographie d'entreprises particulière, un peu comme l'Espagne : relativement peu de grands comptes, environ 1 000, et 6 500 à 7 000 ETI, grosso modo selon les chiffres de l'Insee, mais une énorme base de PME et de TPE. Avec les attaques par la supply chain, si l'on ne peut pas entrer dans un grand compte bien protégé par la porte principale, on entre par un de ses fournisseurs, moins couvert, et on remonte. C'est pour cela que les PME doivent regarder qui sont leurs clients, même si elles pensent ne pas être exposées.

Éric Devaulx : Je me souviens d'une société en région dont le dirigeant était loin de penser qu'il pouvait être attaqué. On ne l'a pas attaqué pour atteindre un de ses clients, simplement parce que c'était une attaque de masse, comme celles qui visent les particuliers : on ratisse large. Il est tombé dedans. La France compte beaucoup de TPE et de PME, qui subissent soit des attaques de volume, comparables à celles qui visent les particuliers, soit des attaques ciblées, parce qu'elles servent de point d'entrée pour attaquer un grand compte.

25:08 José de Andrade : Merci Éric. Chez Global SP, nous sommes conscients de tout cela. C'est pour cela que notre plan d'action est conçu sur 90 jours. D'abord, sensibiliser et surtout découvrir, identifier vraiment les risques. Cela passe par un audit, très pratique et objectif : identifier les actifs, les personnes et leurs droits, vérifier que les sauvegardes et les dépendances sont testées et opérationnelles. Ce sont les risques prioritaires. Ensuite, mettre en place les mesures et les correctifs. Enfin, de 60 à 90 jours, le troisième mois, on vérifie, on teste. Quand on a déployé toutes les mesures, les solutions de détection, de surveillance, l'accompagnement et la sensibilisation des utilisateurs, l'idée est de vérifier que tout fonctionne et d'accompagner l'entreprise pour la rassurer. L'objectif : renforcer la sécurité de manière globale et protéger l'entreprise contre les cyberattaques, aujourd'hui nettement accélérées par l'IA.

José de Andrade : Si l'on devait retenir trois idées. L'IA en soi n'est pas le problème : nous l'utilisons tous, et, comme tu le disais, il ne s'agit pas d'en interdire l'usage ; le danger, c'est qu'elle accélère et complexifie la cybercriminalité. Ensuite, tu as longuement mis l'accent, avec ton expérience, sur le leadership et la gouvernance par le dirigeant. Enfin, la résilience testée : certaines entreprises ont investi dans la cybersécurité mais ne testent pas. C'est comme les sauvegardes : les sauvegardes, ça se teste ; la cyber aussi.

Éric Devaulx : Exactement. Merci José.

José de Andrade : Nous arrivons à la fin : passons aux questions de nos auditeurs.

27:43 José de Andrade : Regardons le chat : vous êtes invités à poser vos questions. Pas de question pour le moment… Ne soyez pas timides !

28:04 José de Andrade : Nous avons une question sur les entités concernées par la directive NIS 2, qui instaure la responsabilité personnelle des dirigeants et impose aux entreprises concernées une mise en conformité. C'est presque une évidence : NIS 2 clarifie le rôle du dirigeant, qui porte bien cette responsabilité. Ce n'est plus seulement, comme nous l'avons évoqué, un sujet technique, même s'il peut parfois être un peu complexe.

Éric Devaulx : Oui. Il y a aussi le RGPD, ne serait-ce que pour les données personnelles. Le dirigeant est mandataire social. Je le rappelle à certains dirigeants : ultimement, cela peut aller jusqu'à la prison. Si des données personnelles sensibles s'échappent parce qu'on n'a pas fait ce qu'il fallait, cela peut aller jusqu'au procès. Les dirigeants ont donc une responsabilité. Quant aux réglementations, il y a NIS 2, DORA pour la banque et la finance, et maintenant le CRA (Cyber Resilience Act), qui parle de résilience. Elles ont une vertu : elles sensibilisent et rendent plus visible la nécessité de se protéger. Mais elles ne font pas tout. L'important, pour moi, c'est que les dirigeants, si cela peut les sensibiliser un peu plus, prennent le sujet en main avec leurs équipes techniques et de direction.

29:40 José de Andrade : Très intéressant. Je regarde le chat : pas d'autre question. Un chiffre m'avait marqué lors de nos échanges, et tu l'as évoqué : l'investissement. En France, on serait largement en dessous d'autres pays plus avancés dans cette prise de conscience des dirigeants ; on parlait de 2 % pour la France.

Éric Devaulx : Non, en fait, je n'ai pas ces chiffres-là. Le chiffre, c'est la part du budget cyber dans le budget IT. Il y a encore des entreprises à 2 ou 3 % de dépenses cyber dans leur budget IT global, alors que les recommandations sont plutôt de 10 à 15 %. Il y a donc un sous-investissement sur la cyber, et un rattrapage à faire. Ce n'est plus une option. Nous avons une voiture, nous avons une assurance ; nous avons de l'IT et des données à protéger : il faut avoir les outils en place. Et dans les outils, il y a du logiciel, du matériel, des hommes, des sociétés de services, et la gouvernance fait partie de la solution.

31:09 José de Andrade : Merci Éric. Merci à tous d'avoir suivi ce premier webinar. Pour toute question, contactez votre interlocuteur commercial, ou Global SP si c'est la première fois que vous nous rejoignez. Nous sommes une entreprise spécialisée dans le cloud, nous accompagnons nos clients sur l'ensemble de leurs sujets, et la cybersécurité prend aujourd'hui une place importante dans cet accompagnement, tel que nous l'avons décrit. Nous serons ravis de répondre à vos questions : n'hésitez pas à prendre contact avec nous. Je vous souhaite une très bonne journée, et à très bientôt. Au revoir.