En tant que Chief Global Risks Group d'Altarea, constatez-vous aujourd'hui une convergence croissante entre les enjeux de sûreté et ceux de cybersécurité ? Quels sont les principaux facteurs qui contribuent à ce rapprochement ?
Oui, évidemment, il y a une convergence croissante entre la sûreté et la cybersécurité en termes d’enjeux. Et plus que jamais. D’abord parce que la sûreté évolue et que la technologie prend une place de plus en plus importante dans les outils de gestion, de détection et de connexion, ce qui accroît la réactivité, le traitement en temps réel et les capacités de détection. Or, qui dit technologie dit digitalisation, donc enjeux de cybersécurité liés à ces outils.
Côté malveillance, les attaquants exploitent les failles technologiques pour commettre leurs méfaits, ou au minimum les préparer, voire neutraliser ces systèmes digitaux.
Enfin, avec l’IA, on assiste à un véritable progrès dans la vitesse de traitement de l’information : le traitement devient celui de la machine et non plus seulement de l’homme, de l’analyse des données à la capacité de recoupement, quasiment infinie en comparaison.
Mais, à l’inverse, les malveillants vont eux aussi utiliser l’IA pour préparer ou commettre leurs actes, en bénéficiant des mêmes capacités d’analyse et de développement, mais à des fins négatives.
Tout cela fait de cette convergence une évidence absolue.
Certaines organisations parlent de plus en plus de "sécurité globale". Adhérez-vous à cette terminologie ? Que recouvre cette notion selon vous ?
Je ne peux qu’adhérer à cette notion.
Lors de la création de la direction sûreté en 2016, quand la gérance d’Altarea a décidé de créer ce poste à la suite des attentats parisiens, il me paraissait déjà impossible de séparer le physique du logique. D’abord parce que les systèmes de surveillance et de protection étaient déjà des systèmes IT. Ensuite, parce qu’en matière de gestion des incidents, la gestion de crise et le PCA, alors dévolus au directeur sûreté, incluaient nécessairement la dimension cyber. D’autant que, dans mon analyse des risques, le cyber arrivait juste derrière le risque terroriste pour un groupe comme le nôtre.
J’ai donc convaincu la gérance d’adopter une approche holistique de la sûreté, à la fois physique et logique. Aujourd’hui, nous avons encore avancé vers une intégration plus large des enjeux globaux de risque. La direction des Risques globaux Groupe a désormais la responsabilité de la sûreté physique et logique, de la conformité des données, de la conformité Groupe, du contrôle interne, du traitement préventif et répressif des fraudes, ainsi que de l’audit et du transfert des risques via les assurances.
Les vecteurs de ces menaces sont essentiellement informatiques : une cyberattaque peut avoir des conséquences opérationnelles ou physiques, et inversement. Comment les entreprises doivent-elles s'y préparer ?
La préparation reste, à mon sens, assez classique dans ses principes. Il faut mettre en place les bons outils et évaluer régulièrement leur efficacité comme leur efficience, dans un contexte très évolutif qui impose une adaptation permanente. C’est d’ailleurs pleinement dans l’ADN du groupe : l’agilité.
Il faut aussi sensibiliser et embarquer les premiers acteurs de cette sécurité, qui sont nos collaborateurs. Il faut innover pour éviter la lassitude et maintenir un niveau de vigilance élevé. Il faut enfin déployer des plans de crise, des plans de continuité, tester cette résilience et l’ajuster en permanence.
Et, bien sûr, la logique Plan-Do-Check-Act reste essentielle : il faut auditer, tester, éprouver les dispositifs, avec des Red Teams, des audits, etc.
Historiquement, les fonctions sécurité-sûreté et cybersécurité ont souvent évolué dans des silos distincts. Quels bénéfices voyez-vous à renforcer les échanges et les coopérations entre ces deux communautés ?
Vous avez presque donné la réponse dans la question. Le bénéfice, c’est le décloisonnement.
Dans une équipe commune, les fonctions de RSSI, de responsable sûreté, de DPO, d’assurances ou encore de responsable du contrôle interne, voire de l’audit lorsqu’on est dans une démarche de certification comme l’ISO 27001 ou HDS, comme c’est notre cas, travaillent au quotidien sur des sujets étroitement liés. Les échanges sont permanents, les bureaux sont proches, les expertises sont accessibles immédiatement, et en cas de difficulté, il y a un chef commun. C’est cette fluidité qui fait la force du dispositif.
Républik Sécurité et Républik Cyber ont choisi de rapprocher leurs écosystèmes à l'occasion de la grande cérémonie du 28 septembre au Théâtre Mogador. Pourquoi ce rapprochement vous semble-t-il pertinent au regard des défis auxquels les entreprises sont confrontées aujourd'hui ?
Oui, je pense que ce rapprochement peut aider à dépasser les clivages.
La méconnaissance de deux mondes engendre toujours de la méfiance, voire de la défiance. La question de savoir "qui dirige" me paraît, à ce stade, secondaire. Elle dépend de la culture de l’entreprise, des enjeux business, et ne peut pas reposer sur une doctrine ou des guidances figées.
Cela ne se décrète pas : cela doit découler des métiers, de leurs besoins, et s’adapter à chaque entreprise. Cela peut même être influencé par les profils en présence : le manager, les experts, les complémentarités. La vraie question est simple : qu’est-ce que je sais faire, et de qui ai-je besoin autour de moi pour être efficace face aux enjeux ?
En ce sens, j’adhère à la vision de Républik.
À horizon de cinq ans, comment imaginez-vous l'évolution des métiers de la sécurité ? Pensez-vous que les frontières entre sûreté, sécurité et cybersécurité devront s'estomper ?
Je dirais même que les frontières se sont déjà estompées. L’IA, les technologies, les enjeux liés aux données : toutes ces dynamiques internes ont largement effacé les anciennes distinctions.
À cela s’ajoutent des facteurs externes. On le voit à l’échelle macro : une guerre proche de nous n’est plus seulement militaire sur un théâtre d’opérations, elle est aussi informationnelle et dématérialisée.
Pour l’entreprise, c’est déjà une réalité : la sûreté est autant physique que réputationnelle, et elle passe aussi par la sécurisation des systèmes d’information. À horizon cinq ans, toute entreprise qui n’aura pas pris ce virage vers une défense intégrée de ses intérêts matériels et immatériels sera vulnérable. Et au-delà, cela renvoie à des enjeux plus larges de souveraineté.
