SMART CYBER - Emission du vendredi 19 juin

Bonjour à tous. Cyberassurance, la cyberassurance, fait-elle désormais partie intégrante de la maîtrise des risques en entreprise ? En tout cas, quelle stratégie adopter dans ce domaine ? Ce sera notre sujet à la une aujourd'hui de SmartCyber, votre rendez-vous sur la confiance numérique. Et puis au programme également, l'interview RSSI avec Benjamin Leroux du Clusif, un focus solution. On parlera d'un outil de gestion de crise absolument inédit pour le secteur de la santé. Et dans notre rendez-vous Culture, c'est un petit conseil lecture. Mais d'abord, c'est le moment de l'alerte cyber. L'alerte cyber s'arrête aujourd'hui sur la France dans le viseur des hackers.

En tout cas, c'est ce qui ressort du bilan cyber de Checkpoint. Bonjour Adrien Merveille.

Bonjour Delphine.

Merci d'être avec nous dans SmartCyber. Vous êtes le directeur technique France de Checkpoint Software. Alors, que nous apprend votre bilan sur la France précisément ? Est-ce que vous avez des chiffres à partager ?

Oui, tout à fait. Alors, on compare ce qui se passe cette année, mais c'est surtout l'année dernière puisqu'on a une année complète derrière nous. Et donc, en 2025, la France a représenté 13% des attaques européennes. C'est-à-dire qu'on est à la deuxième position derrière le Royaume-Uni et à peu près au même niveau que l'Allemagne. Mais voilà, ça nous positionne au deuxième rang en quantité d'attaques.

Donc, ce qui est assez préoccupant. Est-ce que c'est inédit ? C'est la première fois qu'on arrive à ce niveau d'exposition ?

Alors, d'année en année, le niveau global augmente. Après, il y a des variations dans les types d'attaques. Il y en a certains qui vont être plus dominants, d'autres qui vont être un petit peu en retrait. C'est le cas d'ailleurs sur ce début d'année où le ransomware, par exemple, est en retrait 19% par rapport au premier trimestre de l'année dernière.

D'accord. Et quel est le type d'attaque, justement, principal dont est victime la France ?

Alors, le numéro 1 en quantité, c'est ce qu'on appelle les attaques DEDOS. Donc, c'est des attaques comme celle qui a touché la Poste en décembre dernier. Ce sont en général des attaques qu'on ne voit pas trop parce que c'est très courant dans le temps, contrairement à ce qui s'est passé à la Poste.

C'est-à-dire que sur la Poste, on l'a bien vu pendant toute la période des fêtes.

Ça a bien, c'est tombé au bon moment pour embêter au maximum la Poste et les clients de la Poste. Mais c'est effectivement l'attaque qu'on retrouve le plus en quantité, en nombre d'occurrences. Et c'est des attaques qui sont en général menées dans un but idéologique, donc lancées par des groupes qui vont avoir une conviction politique ou religieuse pour pénaliser un petit peu leurs adversaires.

D'accord. C'est plus pénalisé en termes d'image finalement ? Mais ça peut créer des dysfonctionnements, si ça a été le cas.

Tout à fait. Très souvent, c'est une interruption qui va durer de l'ordre de la minute. Et une fois que l'attaque est terminée, c'est comme si elle n'avait jamais eu lieu, si vous voulez. C'est juste une interruption à un instant T. Sauf qu'effectivement, à la Poste, on a beaucoup parlé parce que c'était inédit dans la durée de cette attaque.

Et dans l'étendue. Mais l'attaque des doses en soi, ce n'est pas une nouveauté. C'est un peu vieux comme la cybersécurité, non ?

Tout à fait. Sauf que le contexte géopolitique actuel fait qu'il y a énormément de groupes qui vont s'investir pour une cause ou une autre et qui vont mener des attaques pour défendre leur cause.

D'accord. Et l'autre type d'attaque, parce qu'on parle beaucoup des fuites de données.

Exactement. Donc, c'est le deuxième gros type d'attaque. Ce n'est pas celui qui est le plus important en volume, mais c'est celui qui est le plus visible en termes de dégâts. Parce que, pour le coup, c'est des données qui sont revendues derrière. C'est un business qui est très attractif pour les pirates parce qu'il est très rémunérateur. Et d'autre part, ça attire aussi pas que des groupes qui cherchent la rémunération, mais aussi d'un point de vue image. C'est très valorisant pour ces groupes. Donc, un pirate, par exemple, qui cherche la notoriété technologique va être intéressé par ce type d'attaque. On l'a bien vu sur certaines attaques.

On a même des profils qui sont très jeunes qui ressortent. Mais également, ça pénalise l'image de la victime. Donc, il y a un intérêt aussi pour certains groupes de la première catégorie, donc plutôt idéologique, qui vont aller chercher ça. Donc, c'est très rémunérateur. C'est très visible à la fois positivement pour les pirates et négativement pour les victimes. Donc, il y a beaucoup de catégories de groupes qui vont s'intéresser à ça.

Et la France est particulièrement exposée sur le sujet des fuites de données ?

Alors, la France est particulièrement exposée. Pas forcément par rapport aux autres pays, mais on l'a bien vu, c'est des attaques qui sont très visibles, car on en parle immédiatement dans la presse. Et donc, toutes les semaines de l'année depuis un an...

Ça touche des administrations à juste titre, on peut quand même s'en inquiéter.

Exactement.

Donc, les ransomware, vous nous avez dit, ce n'est plus l'attaque principale. En tout cas, elle est un petit peu en déclin, mais ça reste quand même dans le top 3. Exactement.

Alors, il y a eu pas mal d'actualités sur l'évolution des groupes de ransomware. Il y a eu ce qu'on appelle un éclatement l'année dernière, avec certains très gros groupes qui ont été démantelés, qui ont été, du coup, qui a créé un paysage un peu fragmenté du ransomware, c'est-à-dire que des petits groupes sont nés, et maintenant, on est dans une phase où ça reconsolide, et il y a un groupe qui s'appelle Quilin, qui a pris le large par rapport aux autres, et qui est loin devant, et qui est le groupe qui est le plus actif.

On sait identifier qui est derrière ?

Alors, c'est assez difficile.

Quand vous posez des noms comme ça, on se dit, je vais appeler la police, en fait, et puis on va aller les interpeller.

C'est assez difficile, oui, effectivement, il y a des profils qui ressortent derrière chacun de ces groupes. Après, ce sont parfois des groupes qui sont apparentés à des entreprises multinationales, c'est-à-dire que vous pouvez avoir des individus de différents pays qui vont collaborer pour mener les attaques.

D'accord. Qu'est-ce que vous pouvez nous partager comme conseil, en tant que professionnel de la cybersécurité, face justement à ces attaques qui visent tout particulièrement la France ?

Écoutez, je pense que le mot d'ordre, ce n'est pas nouveau en cybersécurité, c'est l'hygiène. Quand on parle de mot de passe, maintenant, on parle d'authentification à double facteur, d'avoir des mots de passe qui tournent régulièrement pour éviter que ces données soient présentes dans des fuites de données, puis réutilisées dans des attaques, il faut savoir que les groupes, notamment ceux qui s'intéressent aux données, construisent maintenant des fiches par personne, c'est-à-dire qu'ils consolident les différentes fuites de données qui ont pu avoir lieu, et ils créent des profils individuels pour les victimes.

Donc, si vous voulez attaquer quelqu'un, et que le nom existe dans ses bases, potentiellement, vous pouvez récupérer l'Iban, vous pouvez récupérer la carte vitale, l'adresse, le numéro de téléphone, et pour un pirate, c'est super, parce que vous avez de quoi monter une histoire qui va servir à arnaquer la victime, et donc, voilà. Donc, faire très attention au démarchage, essayer de ne pas céder à l'urgence, parce qu'en général, les pirates vont essayer de mettre un degré d'urgence pour éviter qu'on réfléchisse trop, et éviter de partager des données par des canaux de communication.

Ça, c'est pour les particuliers, pour les entreprises, pour les grandes organisations ? Est-ce qu'il y a des choses un petit peu nouvelles ou nécessaires, urgentes à mettre en place ?

Oui, alors, il y a un sujet qui est particulièrement lié au développement de l'intelligence artificielle, qui est la possibilité pour des hackers de découvrir et d'exploiter des vulnérabilités sur les environnements des entreprises. Et donc, il y a un sujet d'alarme par rapport à la vitesse, on va pouvoir corriger ces vulnérabilités. Aujourd'hui, l'attaque joue plus vite que la défense, et le conseil que je peux donner, c'est de trouver des mécanismes à la défense pour essayer d'accélérer au maximum les capacités de remédiation, donc ce qu'on appelle le Medium Time to Remediate, le MTTR. Voilà, il faut essayer de...

Nouvel acronyme pour moi. Merci, Adrien.

Avec plaisir.

J'aime bien, j'apprends toujours quelque chose. C'est super. Adrien Merveille, directeur technique France 2, Checkpoint Software, est avec nous dans l'Alerte Cyber. À suivre, c'est l'interview RSSI. Dans l'interview RSSI, je reçois Benjamin Leroux du Clusif, administrateur du Clusif. Peut-être un mot sur l'association, parce que dans Smart Cyber, en général, ceux qui nous regardent connaissent bien, mais où vous en êtes ? Quels sont les grands sujets, peut-être, du Clusif aujourd'hui ?

Effectivement, on est connu parce qu'on est une des plus anciennes associations de cybersécurité en France, et une des particularités, c'est qu'on réunit à la fois des professionnels de la cyber, responsables de cybersécurité dans les entreprises ou dans les administrations, mais également des fournisseurs de services qui vont proposer des solutions. Du coup, on a un ensemble qui a une vision très globale, qui essaie vraiment d'apporter la confiance numérique dont on a besoin, et cette approche assez large a permis d'obtenir la reconnaissance d'intérêt public, la RUP.

Dans les actualités, on a eu des votes au conseil d'administration, on a réélu Odile en tant que présidente, Odile Dutile, qui est à la Caisse des dépôts, mais qui est également la présidente de l'association. Il y a des nouveaux administrateurs dans la vie des associations, ça tourne en égale. On a notamment un haut fonctionnaire du ministère des Finances, donc on a une représentation ministérielle, c'est très intéressant pour nous. On a un RSSI d'une entreprise de services informatiques et une spécialiste des ETI, ce qui couvre bien toutes les problématiques qu'on essaie d'aborder.

Et l'actualité récente, ça va être un nouvel événement qu'on lance le 1er juillet, les journées d'uclusive, donc ça va être une journée d'échange, de table ronde, de prise de parole avec beaucoup de thématiques et des speakers de renom. On aura par exemple le directeur général de l'ANSI, on aura des sujets sur le cloud souverain, sur l'assurance cyber et évidemment sur l'IA qui est un sujet incontournable en ce moment.

L'assurance cyber, d'ailleurs vous allez rester avec nous pour participer à notre talk tout à l'heure, qui est notre sujet à la une aujourd'hui de Smart Cyber. Je voulais peut-être vous entendre déjà sur une réaction à Mythos, donc l'annonce par anthropique d'une intelligence artificielle, on va faire simple, qui est capable de détecter des failles avec un volume suffisamment considérable pour que ça inquiète l'ensemble des institutions, les organisations économiques, les institutions financières et les États.

Ça inquiète tout le monde, effectivement, aussi dans la communauté cyber. On s'attendait à ce que l'intelligence artificielle progresse de manière à trouver ses vulnérabilités. On imagine, on lui livre le code source, une application et en retour à la vitesse de l'IA, donc à la vitesse de la lumière, on a des vulnérabilités et en plus, dans certains cas, on a ce qu'on appelle un exploit qui est le petit programme qui permet de tirer profit, souvent à des fins négatives, de la vulnérabilité.

Donc déjà ça, c'est quelque chose d'assez fou, très puissant et vous l'avez bien dit, l'IA compresse le temps, tout va très vite et on va trouver beaucoup de vulnérabilités en peu de temps et donc on peut craindre une espèce de vague, un tsunami de vulnérabilités et derrière, les organisations, quelles qu'elles soient, vous avez parlé de banques, d'institutions, des vendeurs de logiciels, on va devoir se préparer à cette vague. Comment réagissent

les RSS, si vous vous rencontrez, occlusifiez ?

Alors, ils se posent beaucoup de questions, d'une part, parce que ce sujet de mythos a été souvent médiatisé assez vite, ce qui est intéressant, c'est quand même un beau progrès technologique, mais du coup, ils se sont retrouvés face à leur direction qui leur demandent alors qu'est-ce que c'est ? Qu'est-ce qu'il faut faire ?

Mais en fait, ils l'ont appris quasiment en même temps qu'eux, parce qu'Enthropie communique, évidemment, pour le moment, la communauté cyber, en plus en France, on n'est pas dans les petits papiers, donc ils sont un petit peu perdus et c'est aussi pour ça qu'au Clusif, on a publié une note de position assez vite pour aider, donner des éléments pour justement bien expliquer ce que c'est, essayer de garder la tête froide et commencer à donner quelques clés pour se préparer à ces évolutions qui vont très très vite.

Vous faites référence à la publication sur la sécurisation de l'IA, c'est ça ?

Alors c'est un autre guide, on a publié, on publie régulièrement des documents, on a publié il y a quelques mois un guide sur la sécurisation de l'IA, parce qu'avant, mythos, c'était il n'y a pas si longtemps, mais à l'heure de l'IA, on a l'impression que c'était il y a un siècle, on avait publié un document sur comment aider les organisations, donc comment les RSSI peuvent aider leur organisation à sécuriser tous les usages de l'IA.

Et dans le cas particulier de Mythos, qui a quand même cette fameuse nouveauté sur les failles cybersécurité, on a écrit un document plus court, une note de position pour que les responsables cyber aient des premiers éléments pour expliquer autour d'eux, notamment leur direction, qu'est-ce qui se passe, comment on doit se préparer, si on peut se préparer pour les aider, et on a essayé de le sortir très vite, et on pourrait la mettre à jour suite aux annonces de Trump de la semaine dernière, c'est vraiment des choses qui vivent à toute allure.

Alors comme toute association qui représente une filière, une activité précise, j'imagine que vous faites du lobbying sur la partie réglementaire, quels sont les sujets en ce moment ?

Alors on fait du lobbying, on a aussi la chance d'avoir été sollicité, par exemple l'année dernière on a été sollicité par le Sénat et l'Assemblée nationale dans le cadre de la transposition, la fameuse transposition en droit français de la directive Nice 2, qui tarde à arriver, mais qui un jour ou l'autre finira par arriver si on a des risques d'amende. Donc ça c'est évidemment le gros sujet, parce que Nice 2 c'est une forme de changement d'échelle.

Avant avec les lois Nice 1, la loi de programmation militaire française, on avait un certain nombre d'organisations très critiques soumises à des exigences de sécurité assez fortes, et là on va passer à beaucoup d'organisations avec parfois un niveau d'exigence un peu plus faible, ce qui est très bien parce que les organisations plus critiques sont plus matures, maintenant il faut passer à l'échelle parce que des PME, des petites collectivités se font attaquer. Et un des sujets, ça va être justement de s'assurer que la mise en pratique se fasse de façon la plus constructive possible, on va dire que le texte prenne en compte... Qu'est-ce que vous craignez ?

On peut craindre qu'il y ait peut-être, même si l'ANSI n'est quand même pas dans ses dispositions, mais on pourrait craindre qu'il y ait un délai très court entre le texte et les premières sanctions. On pourrait craindre des exigences déraisonnables.

à le transposer, plus on risque de recourser les délais.

La France, l'ANSI avait communiqué sur un certain délai en disant le jour où il y aura Nice 2, il n'y aura pas de contrôle avant trois ans, mais est-ce qu'il n'y a pas quelque chose d'européen qui dira qu'il faut faire des contrôles ? Voilà, on est quand même sur des problématiques où il y a la couche européenne, la couche nationale, donc ça c'est une crainte. Et puis le sujet, c'est vraiment de se dire voilà les critères, est-ce qu'il y a les bonnes structures qui sont concernées et comment on pourra accompagner parce que dans le lot, on sait déjà que que ce soit côté entreprise ou administration, il y a des structures qui ont beaucoup de travail.

On a vraiment des niveaux de maturité très variés. Pour certains, ça sera un texte de plus, il y a une gymnastique de la conformité. Pour d'autres, ça va être une nouvelle discipline et ils auront besoin d'aide.

D'ailleurs, je dévoile un petit peu, mais le conseil lecture tourne un peu autour de ce sujet de conformité. Vous verrez tout à l'heure. Pour l'instant, vous restez avec nous, Benjamin Leroux, administrateur d'Oclusif. Je vous garde en plateau pour notre talk sur la cyberassurance. La cyberassurance à la une de ce smart cyber. On parle d'indemnisation, mais pas seulement. Au-delà de ça, est-ce que ça fait partie aujourd'hui intégrante de la maîtrise des risques en entreprise alors que les fuites de données s'envolent et en particulier en France. On l'a vu notamment dans l'alerte cyber tout à l'heure. Un simple rancongiciel peut faire mettre la clé sous la porte à une entreprise.

Pour parler de ce sujet avec nous, Philippe Cotel, risque manager chez Airbus Défense & Space, coordinateur du programme de cyberassurance du groupe Airbus et membre du conseil d'administration de l'AMRAE. Vous allez nous dévoiler tout ce que vous savez de l'étude Lucie que vous avez pilotée. Lucie pour Lumière sur la cyberassurance. Mais avant, si vous permettez, on va présenter nos autres invités. Sylvain Lefeuvre est avec nous. Bonjour Sylvain, directeur général adjoint de Board of Cyber. Et puis restez avec nous, Benjamin Leroux. Merci beaucoup Benjamin, administrateur d'Uclusif. Donc, je citais cette étude.

Lucie, qu'est-ce que vous pouvez nous dire en synthèse de ce qu'on apprend de la dernière édition qui est la sixième édition, je crois, sur la cyberassurance ?

Bonjour, merci beaucoup pour votre invitation. Peut-être un mot sur cette étude parce qu'elle est spécifique. C'est la seule aujourd'hui qui rassemble les données de l'ensemble des courtiers français donc depuis sept ans et ça donne aujourd'hui Lucie comme étant une référence sur l'ensemble de l'écosystème à la fois pour les risques managers, les gestionnaires de risques et les ciseaux mais aussi les courtiers, les assureurs et les pouvoirs publics. Qu'est-ce qu'elle dit cette étude sur 2025 ? Elle dit que le marché de l'assurance cyber en France a été extrêmement compétitif avec des baisses de prix historiques.

On a moins 32% de baisse de prix pour les grandes entreprises moins 23% pour les ETI et ça, ça veut dire que pour les grandes entreprises il y a eu une augmentation de la souscription plus 18% et pour les ETI et les entreprises moyennes on a eu presque un doublement du nombre d'entreprises qui se sont assurées.

Donc quand on baisse les prix ça marche, on vend mieux ?

Ça va.

Ok.

On vend mieux et en fait on rend cet outil plus accessible à un certain nombre d'entreprises et donc on voit pour les ETI et les entreprises moyennes doublement d'entreprises qui s'assurent. Donc tout ça ce sont des bons signaux. D'accord. Néanmoins ce qu'on voit aussi c'est que quand j'ai dit baisse des prix de 32% augmentation des achats de 18% pour les grandes entreprises ça veut dire que leur budget s'est réduit de 14%.

Moins 14% de budget ça veut dire que globalement le volume de primes en France il s'est contracté pour la troisième année consécutive on est maintenant à 300 millions d'euros de primes en France donc on a une baisse des primes sur trois ans et à contrario on a une augmentation des sinistres on est à 80 millions de sinistres en 2025 donc lorsque on a des primes qui baissent et des sinistres qui montent si les deux flèches se rencontrent au bout d'un moment il va y avoir un retournement brutal du marché comme on l'a vu en 2020 avec des primes qui peuvent doubler tripler et des conditions financières qui vont être très dégradées.

Et un risque que les assureurs ne puissent pas faire face à un incident cyber majeur.

Absolument avec 300 millions de primes aujourd'hui on est sensible à deux trois gros sinistres qui peuvent retourner le marché en quelques semaines. C'est un peu pour donner une image c'est le bonhomme qui tombe de l'immeuble et aujourd'hui à chaque étage je dis jusque là ça va mais est-ce qu'il a un parachute ou pas on n'en sait pas.

Vous parlez de l'augmentation des sinistres oui c'est vrai qu'on entend et on était dans l'alerte cyber sur ce sujet notamment de la fuite des données des rançons JCL on a toujours beaucoup de menaces les DDo ce qui reste la principale menace est-ce que quand même dans les grandes organisations on est un petit peu mieux préparé un peu mieux protégé

Alors c'est effectivement une bonne remarque dans la distribution des sinistres on voit une stabilité des sinistres pour les grandes entreprises et à contrario on a vu une multiplication par 4 des sinistres chez les ETI

Donc ça veut dire qu'on se protège mieux quand même ?

On se protège mieux sur les entreprises c'est le résultat d'investissements constants et longs dans cette gamme là par contre pour les ETI des entreprises moyennes on voit une augmentation de ces sinistres là qui est peut-être corrélée aussi avec l'afflux de nouveaux assurés qui rentrent sur ce marché là donc en fait dans ce climat de volatilité énorme nous Lamre notre conseil est très clair c'est qu'il faut que pour toutes les entreprises véritablement d'une part faire un assessment de son besoin et profiter de cette bulle d'opportunité pour étendre la couverture et l'adapter à son besoin dans les conditions actuelles de marché qui sont favorables et en même temps continuer à investir dans la prévention parce que le jour où le marché va se retourner ce sont les entreprises qui seront bien préparées qui seront les plus à même de continuer à pouvoir s'assurer

Alors là c'est les assurances qui parlent Qu'en est-il selon vous de votre point de vue de la question de la cyberassurance dans aujourd'hui la manière dont on doit concevoir la maîtrise des risques dans une DSI qui veut commencer ?

Plusieurs choses tout d'abord ce que l'on remarque c'est que l'arrivée de Nice 2 il y a environ 18 mois à peu près qu'on entend beaucoup de choses plutôt contraignantes sur cette partie-là aujourd'hui c'est une réalité et ce que l'on sait en tout cas ce qu'on peut remarquer c'est que toutes les entreprises qui se sont préparées en avance aujourd'hui sont bien mieux armées par rapport aux menaces cyber et du coup sont bien mieux notées et en tous les cas vont dans ce qui était expliqué il y a un instant dans cette projection vers l'avenir d'une capacité à conserver une assurance ou des assurances cyberpleines ça c'est la première chose la deuxième chose qui est importante c'est que quand vous faites régulièrement et c'était notamment tout l'objet du récif de l'ANSI quand vous faites régulièrement des exercices de préparation avant même que les règles arrivent vous êtes de toute façon mieux préparé que si vous ne l'aviez pas fait pendant 18, 24 ou 36 mois et donc c'est tout cet intérêt ce que l'on voit nous chez Border Cyber c'est que lorsque les entreprises se préparent en amont et qu'elles sont capables aujourd'hui d'augmenter leur niveau global de cybersécurité avec elles mais aussi surtout avec leurs fournisseurs puisqu'elles sont capables d'aller sonder ou noter des milliers ou des dizaines de milliers de fournisseurs tout ça fait monter le niveau global de cybersécurité de l'écosystème français et quand on sait que d'ici quelques mois ou quelques années tout au plus quand toutes les réglementations seront passées en Europe il y aura plus de 160 000 entreprises qui seront concernées directement par Nice 2 mais 5 à 7 fois ça a priori indirectement puisqu'elles seront fournisseurs ou fournisseurs de fournisseurs on va arriver à monter le niveau global de cybersécurité et je pense qu'à ce moment-là la cyberassurance prendra on sera plus sur ces 300 millions dont on parle aujourd'hui en France notamment qui sort de l'étude mais on sera sur bien plus que ça et à ce moment-là on aura une capacité de protéger de manière bien plus large en tous les cas que ce qu'on fait aujourd'hui

Au sein du Clusif parmi les membres on parle de ce sujet de la cyberassurance ?

Oui oui exactement au sein du Clusif on a un certain nombre de groupes de travail qui visent à produire un certain nombre de documents on en parlait tout à l'heure sur l'intelligence artificielle la cyberassurance c'est évidemment un des sujets

Comment il est pris ce sujet ? Quelle est la préoccupation sur ce sujet ? Comment le RSSI se positionne là-dessus ?

En fait le RSSI donc il y a des spécialistes des assurances dans les entreprises qui vont aller parler avec des courtiers choisir les contrats etc.

Le RSSI va être un peu sollicité dans deux cas de figure ça va être déjà pour les critères d'assurabilité parce qu'il ne faut montrer pas de blanche quelque part pour avoir l'assurance il faut montrer qu'on a un certain niveau de préparation qu'on applique des bonnes pratiques et il y a eu par le passé des débats sur les critères d'assurabilité et le bon niveau puis il y a également un autre cas de figure sur lequel je voulais insister c'est malheureusement quand il y a un sinistre parce qu'évidemment le RSSI quand il y a un problème évidemment on sollicite l'assurance mais il faut aussi activer une gestion de crise il faut faire face à l'incident ce qui n'est pas un exercice très agréable mais malheureusement il faut l'accepter et c'est aussi une bonne chose les entreprises et les organisations sont conscientes du risque et c'est pas est-ce qu'un jour on aura un problème c'est quand est-ce que le prochain va arriver et si on relit ça à l'échange de tout à l'heure sur Mythos c'est que les prochains ils vont peut-être arriver très très très souvent donc je pense qu'il y aura un challenge sur la capacité à accompagner en cas de sinistre de façon très efficace peut-être malheureusement très fréquente avec quelque chose qui soit utile parce que l'objectif ça va être de se remettre le plus vite possible on a vu la durée réelle pour sortir d'une attaque et c'est pas que le week-end qui est fichu quand il y a une attaque le semestre ça dure longtemps il va falloir avoir cette dynamique collectivement et c'est là aussi où le RSSI avec l'assureur pourra dire moi j'ai besoin de ça le jour J j'ai besoin de ça une semaine après etc.

il y a un vrai sujet opérationnel à adresser aussi je pense

parce que c'est le sujet de comment la cyberassurance ne fait pas juste son job d'indemnisation alors c'est important quand même de parler d'indemnisation voilà c'est quand même le moteur principal j'imagine mais effectivement il n'y a pas que ça c'est la capacité aussi de l'assureur à suivre et à accompagner pendant le sinistre à suivre une entreprise qui risque d'être attaquée de multiples fois

en fait l'assurance cyber

on va voir les primes d'assurance augmenter là quand je dis tout ça non ?

non non à contraire l'assurance cyber elle a deux aspects elle a un aspect de support technique et juridique pendant la gestion de crise en fait pour un certain d'entreprises et d'entreprises moyennes les ETI n'ont pas forcément une structure interne de gestion de crise et des supports techniques des supports juridiques et là l'assureur il va lui apporter ce support-là pendant la phase où il en a le plus besoin et c'est un alignement d'intérêt parce que plus le sinistre va être réglé rapidement et moins il sera important et donc moins l'assureur devra un déni tout le monde y trouve son compte tout le monde y trouve son compte et donc l'assureur va d'abord apporter ce support-là et ça c'est intéressant pour les entreprises moyennes et les ETI et d'ailleurs on voit dans le doulement des entreprises qui s'assurent des moyennes et ETI en fait elles sont aussi très sensibles au service qu'un courtier peut lui apporter dans l'identification de son exposition et dans la maintenance de sa potentielle vulnérabilité et on voit que c'est vraiment quelque chose auquel ils sont sensibles et ça fonctionne donc à la fois protection gestion de crise et ensuite seulement ensuite indemnisation

les cyberassureurs sont des partenaires des boîtes de la cybersécurité finalement

on travaille vous êtes obligés

de travailler ensemble

exactement on travaille avec un certain nombre d'assureurs et on parle souvent de la notion de chaîne c'est à dire que je pense que Nice 2 le met en pratique totalement en se disant que on peut être le plus fort ou le plus sécurisé aujourd'hui au monde à partir du moment où on a un maillon qui est excessivement faible et qui le casse et on l'a vu dans énormément de cas ces derniers temps ça va mettre l'intégralité de la chaîne en péril les assureurs s'intéressent énormément à ça mais les fonds d'investissement aussi qui cherchent aussi à avoir une vision plus large que simplement l'entreprise soit qu'ils vont financer soit qu'ils vont assurer sur cette partie là et donc ils cherchent à avoir quelque chose de beaucoup plus étendu en matière de cybersécurité ils ne cherchent pas à avoir des pics sur certains domaines de la cyber mais plutôt quelque chose qui globalement va monter le niveau de cybersécurité on parle souvent de la course au lion en tous les cas de la chasse au lion en se disant on ne courra jamais plus vite que le lion c'est-à-dire contre des attaques qui peuvent arriver etc par contre essayons globalement que l'écosystème dans lequel je travaille celui avec lequel je collabore tous les jours court plus vite que les derniers en tous les cas et donc qu'on ne se fasse pas manger en premier et que ça nous donne un peu plus de temps pour réagir et donc il y a aussi cette notion de travail collectif que nous on remarque de plus en plus chez Borde lorsqu'on travaille avec un certain nombre d'entreprises et qui cherchent à identifier sur leur fournisseur les surfaces d'attaque les plus sensibles ou les plus faciles sur cette partie-là et ensuite les assureurs viennent nous voir et puis il y a l'effet de l'autre côté qui dit à partir du moment où j'ai bien travaillé à partir du moment où j'ai bien progressé je vais aussi aller voir mon assureur pour être capable de négocier des primes qui sont différentes ou en tous les cas des paiements qui sont différents ou des couvertures plus importantes sur cette partie-là et donc ces deux éléments-là participent globalement à ce qu'on disait tout à l'heure au fait qu'il faut que le fonds global de cyberassurance augmente je pense que c'est une excellente chose parce que ça va encore passer et il y a encore des attaques qui passeront régulièrement mais on doit être capable d'emmener tout le monde très certainement beaucoup plus haut que ce qu'on fait aujourd'hui

je vais poser la question de la cyberrançon est-ce que le cyberassureur rembourse en cas de paiement de rançon on en est où sur cette question du paiement des rançons

alors aujourd'hui c'est pas vraiment un débat d'aujourd'hui en France en tout cas le remboursement par l'assureur d'une rançon n'est pas interdit donc il faut être très clair là-dessus on n'a absolument pas de tabou là-dessus par contre effectivement la recommandation globale de l'ensemble de l'écosystème c'est de ne pas céder à ces demandes de rançon c'est pas interdit

sauf dans le domaine public de l'État je crois pour les administrations

les collectivités

qui s'assurent peu donc

qui s'assurent peu par contre effectivement pour revenir au sujet mythos et Viviatek et ce sera peut-être le sujet d'une autre émission si on veut vraiment développer le marché de l'assurance cyber et on voit bien qu'on en a besoin parce que ce volume là est trop faible et rend le marché très volatil on a un vrai sujet c'est le risque systémique à Viviatek on parlait de souveraineté numérique et en fait c'est très lié aujourd'hui le développement des nouvelles technologies restreint le nombre d'infrastructures en peu de main ce qui augmente ce risque systémique et ce risque systémique là c'est une vraie barrière un vrai sujet pour les assureurs parce que c'est l'opposé du modèle assurantiel où on mutualise les primes pour payer quelques sinistres là un seul événement peut endommager l'ensemble du portefeuille tant qu'on n'aura pas résolu ce problème là effectivement le marché de l'assurance cyber aura du mal à se développer

ah c'est intéressant vous allez dans le même sens tous finalement sur la question pour revenir sur la question des rançons comment se positionne le inclusif là-dessus

on ne paye pas la rançon

on ne paye pas

voilà tout simplement

on n'alimente pas le cybercrime

exactement ça entretient l'écosystème criminel

mais c'est parfois un peu plus facile à dire qu'à faire quand même

peut-être mais c'est vrai qu'on a vu des gens payer la rançon et se refaire attaquer deux semaines après parce que les attaquants sont paresseux quand quelqu'un est un bon client on va retaper à la porte quelques semaines après donc en fait c'est vraiment pas une bonne solution à titre personnel et également à titre collectif parce que si c'est autant répandu le ransomware c'est que c'est un business lucratif il faut faire en sorte que ce soit le moins rentable possible pour les attaquants

Quel est le moteur principal justement pour convaincre une direction de signer l'adhésion à une cyberassurance qu'est-ce qui vous semble l'argument le plus convaincant est-ce que c'est un type d'attaque qui peut faire peur et sur vers laquelle on sait qu'on est plutôt exposé là-dessus et on veut s'en protéger qu'est-ce qui est moteur aujourd'hui pour aller frapper à la porte d'un cyberassureur

Je pense que juste avant ça il y a déjà une phase de transition qu'on est en train de voir autour de la cyber aujourd'hui à partir du moment où les directions générales prennent la cyber comme un élément important et notamment lorsqu'ils participent au COMEX et un certain nombre de décisions on s'aperçoit que la sensibilité à la cyber et donc à la cyberassurance est du coup de se faire la modifier ça c'est la première chose la deuxième chose qui les pousse en tous les cas de ce que l'on voit et je ne suis pas spécialiste et on n'a pas fait d'études sur le sujet mais des discussions en tous les cas des échanges que l'on a c'est véritablement la perte d'exploitation c'est-à-dire la capacité ou l'incapacité totale d'être capable de fournir ses clients sur cette partie-là et c'est quand on discute avec un certain nombre de clients la première chose qui vient c'est suis-je en capacité de continuer mon activité même dégradée avec une notion de cyber résilience de tout ce qu'on veut derrière et la souveraineté du coup est un élément important aussi dans cette cyber résilience c'est en tous les cas ce qui remonte le plus souvent aujourd'hui quand on discute avec un certain nombre de clients

est-ce que la cyberassurance peut couvrir ce risque véritablement ?

Alors effectivement la première des choses c'est que nous sommes dans une économie digitale tous nos process sont maintenant imprégnés de digital et donc effectivement l'arrêt d'activité suite à un problème cyber entraîne directement une perte d'exploitation pour l'entreprise et ça si les risques majeurs de manière conjointe avec les RSI sont capables de donner des éléments financiers donc transformer le risque technique cyber en un impact financier et être capable de corréler cet impact financier à un plan de mitigation qui va être un investissement en prévention en cybersécurité mais qui ne couvrira pas tous les scénarios qui couvrira un certain nombre de scénarios et de cumuler ça avec une protection assurantielle c'est la meilleure manière la plus efficace de pouvoir protéger l'entreprise de manière pérenne

donc j'entends que l'assurance ne va pas pouvoir couvrir toute ma perte d'exploitation il faut que je m'assure d'un côté déjà en amont d'avoir protégé ou d'avoir trouvé un scénario de résilience

le but de l'assurance c'est de couvrir le risque résiduel une fois qu'on s'est protégé vous allez fermer les fenêtres de votre maison avant de vous assurer contre le cambriolage

en matière de cybersécurité c'est beaucoup plus compliqué de prouver finalement qu'on a mis en place qu'on a fermé la porte et les fenêtres

alors ce que vous allez expliquer à l'assureur et c'est aussi un élément d'évaluation de la qualité de votre politique de cybersécurité si elle est évaluée par un tiers assureur qui va de fait en validant en souscrivant l'assurance valider qu'il croit que la stratégie de cybersécurité appliquée dans l'entreprise elle est saine et elle justifie la confiance qu'il va lui apporter il y a également des sociétés d'audit il y a des labels délivrés par l'ANSI pour attester de la qualité d'un contrôle de la qualité d'un service ce qui n'est pas accessible pour tout le monde mais voilà il y a un certain nombre de briques qui permettent parce que le contrôle

indépendant de l'assurance

exactement beaucoup de responsables cyber mettent en place des démarches d'audit de labellisation de certification depuis un certain nombre d'années c'est quelque chose qui marche assez bien

et qui est pris en compte par le cyber assureur

ça peut être pris en compte par contre comme vous l'avez dit la couverture totale du risque c'est un vœu pieux et oui il y a un risque résiduel et l'assurance est une des réponses de la même manière que parfois l'acceptation du risque en est une dès lors qu'on a fait tout ce qu'il faut avant pour réduire le niveau résiduel à un niveau le plus raisonnable

merci beaucoup à tous les trois on arrive déjà à la fin de cette discussion merci Philippe Côtel de Lamraï Sylvain Lefeuve de Board of Cyber et Benjamin Leroux du Clusif c'est l'heure de notre focus solution vous allez découvrir une solution inédite pour le secteur de la santé dans le rendez-vous solution je reçois aujourd'hui Hervé Pellarin le responsable sécurité des systèmes d'information du centre hospitalier Annecy Genevoix et c'est aussi le créateur de Scrib que l'on va découvrir alors Scrib outil de gestion de crise pour le secteur de la santé bonjour Hervé un outil complètement inédit vous m'avez promis de m'expliquer pourquoi

bonjour Delphine c'est un outil qui manquait dans notre caisse à outils dans les centres de soins parce que c'est un outil de gestion de crise qui nous permet de donner au directeur de crise au directeur des soins une situation claire nette et précise sur les soins qu'il est encore en capacité de donner

d'accord donc c'est face à un incident de cybersécurité ça donne un mode d'emploi sur les procédures à respecter

en fait que l'incident soit sanitaire ou soit cyber ou mixte ou hybride en fait quand on va déclare des incidents sur des périmètres ça va apparaître sur une sorte de dashboard où on va retrouver le neuro le bloc le labo tout ça et en fonction des applications métiers ou des situations en tension et bien ça va pouvoir permettre de dire à la cellule de crise et au directeur des soins quel service est dans le vert orange ou rouge et qu'est-ce qu'il a encore en capacité de garder comme soin ou pas

et jusqu'ici il n'y avait pas d'outil équivalent ou semblable

non j'ai cherché partout parce que je voulais vraiment avoir un outil sur lequel je pouvais reposer une gestion de situation de crise adaptée à la santé il y a plein de logiciels de gestion de crise qui existent mais c'est pour de l'industriel généralement ou de l'administratif mais on n'est pas sur le dénominateur du commun qui est pour moi dans l'établissement de santé au niveau du soin j'en suis où parce que nous à la base on est là pour faire du soin et donc ça manquait cet angle cette perspective là et donc comme ça m'a énervé de ne pas trouver je l'ai fait

on n'est jamais mieux servi que par soi-même en fait

exactement

quand on s'était rencontré vous m'aviez parlé de l'importance d'ailleurs comme tous les RSSI je pense et je l'espère de s'entraîner aussi de travailler sur les exercices de crise est-ce que Scrib fonctionne aussi pour les entraînements ?

alors voilà le gros problème des logiciels de gestion de crise c'est que si on les sort du placard que le jour de crise comme les gens n'ont pas l'habitude de s'en servir ils n'ont pas de réflexe dessus et le but du jeu étant de sortir d'une situation désagréable on se repose sur nos fondamentaux donc je me disais comment on peut intégrer un logiciel de gestion de crise dans les usages courants alors pour l'établissement de santé j'ai fait plusieurs choses première chose c'est que de mon point de vue la crise c'est comme le soin ça se travaille donc d'autant il y a un moteur d'exercice qui permet à un cadre de soins sans développer des réunions pendant six mois très rapidement au coin d'une table de recréer une situation qu'elle a vécue par exemple le week-end qui s'est mal passé et de regarder comment ces équipes rejèrent la crise après le rétexte du week-end ou alors créer des scénarios qui sont arrivés dans d'autres hôpitaux et voir comment on peut se positionner nous en tant qu'hôpital pour gérer cet incident-là et aussi on peut faire des exercices inter-sites puisque Scrib est complètement mutulaire on peut connecter des établissements de centré entre eux et des GHT donc des groupements d'hôpitaux entre eux et exercer comme ça des exercices ou gérer des crises même transfrontalières parce que Scrib est en 24 langues nativement j'ai tenu que toutes les langues européennes soient représentées dans Scrib

et c'est gratuit en plus et open source aussi comme outil

voilà gratuit et open source parce que la santé elle s'est construite par du savoir qui a été partagé et donc pour moi ça me paraît important que l'outil qui va aider les gens à continuer à soigner soit lui aussi ouvert gratuit et disponible comme le sourire d'un soignant

et ça fonctionne quelle que soit la taille de l'hôpital parce que vous disiez que ça pouvait connecter plusieurs structures mais si on est un tout petit hôpital est-ce que c'est utile également ?

Alors si on a un tout petit hôpital oui c'est utile ça peut travailler sur un PC en stand-alone pas besoin d'avoir un serveur il y a plein de fonctionnalités il y a une gestion des lits qui est intégrée il y a une gestion de brancardage qui est intégrée il y a la gestion des incidents c'est une main courante plus plus plus plus et aussi depuis la dernière version que j'ai mis sur GitHub il y a un client Android parce que des fois on a besoin d'avoir de la mobilité dans la gestion de la crise qui permet de garder un oeil sur la situation de crise et d'interagir avec la cellule de crise c'est vraiment adapté à tout le monde quand on lance ce script on peut activer ou pas les plugins les fonctionnalités et adapter ce script à son usage c'est pas parce qu'on a désactivé des choses que plus tard on ne peut pas les réactiver tout est accessible

et vous avez développé ce script tout seul

ouais

oui ? ah bon en combien de temps ?

ce fait 6 mois que je suis dessus

d'accord écoutez on est ravis de pouvoir en parler ici et de le présenter

merci

à un maximum de personnes donc tous ceux qui sont derrière leur écran et qui travaillent dans le secteur de la santé pensez-y vous avez maintenant une solution gratuite open source pour vous préparer à vos exercices de crise merci beaucoup Hervé Pellarin je rappelle que vous êtes le responsable de la sécurité des systèmes d'information du CH Annecy Genevoix et créateur de Scrib allez c'est l'heure de notre rendez-vous Culture C dans Culture Cyber et on va parler de lecture une lecture sur la conformité à lire, à voir, à écouter et on termine cette édition avec Garance Mathias Maître Mathias bonjour merci beaucoup d'être avec nous pour une recommandation de lecture puisque je suis venue avec votre ouvrage IA Cyber et Data garantir la conformité numérique pourquoi ce livre ?

pourquoi ce livre ? alors déjà merci pour l'invitation pourquoi ce livre ? parce qu'en fait ce sont les enjeux d'actualité tout le monde parle d'IA de cybersécurité et de data donc quel est le plus simple que de mettre ces mots dans le cadre d'un ouvrage pratique, opérationnel qui va permettre à tous les acteurs que ce soit des juristes que ce soit des journalistes que ce soit des industriels des entrepreneurs enfin tout public de s'en saisir pour comprendre enfin ce puzzle juridique

entre quelles mains faut-il les mettre ces ouvrages ? est-ce que c'est la direction juridique qui doit s'emparer du sujet de la conformité aujourd'hui dans l'entreprise ?

tous les acteurs donc bien entendu les dirigeants si on commence bien entendu la direction conformité comme vous l'avez dit la direction juridique la direction marketing la direction R&D enfin encore une fois tous les acteurs que ce soit aussi les investisseurs puisque investir dans des sociétés actuellement ça veut dire analyser leur conformité et donc aussi renforcer la confiance la confiance collaborateurs salariés investisseurs aussi on parlait à l'instant d'assurance donc ça fait partie aussi des critères à prendre en compte donc conformité confiance mais aussi naviguer dans le monde de l'IA qui est vraiment notre quotidien naviguer dans le monde de la cybersécurité en prévention d'un point de vue aussi lutte contre les cyberattaques la cyber effectivement avoir une cyber malveillance une hygiène informatique et aussi les données qui ne sont pas que des données à caractère personnel mais aussi une gouvernance des données un altruisme de la donnée et aussi des acteurs du contrat donc beaucoup beaucoup

beaucoup de population et donc ça fait beaucoup de personnes concernées à peu près tous les métiers et d'ailleurs vous partez de retours vous présentez des retours d'expérience qui traversent à peu près tous les secteurs d'activité enfin on voit que ça ça concerne tout le monde et les métiers en interne vous parce que sur cette idée qu'aujourd'hui on est quand même assommé de règles vous parlez même d'ailleurs de tsunami quand même un réglementaire vous en êtes conscient y compris en tant qu'avocate pour autant vous dites c'est une opportunité

pourquoi ?

alors c'est une opportunité effectivement déjà de connaître les textes parce que les textes on doit pouvoir s'en servir les textes c'est essentiel aux Etats-Unis on parle toujours aux Etats-Unis de la compétitivité des fonds d'investissement des levées de fonds et tout mais le droit est au service du business alors effectivement actuellement on a des projets de simplification réglementaire certes mais ça reste des projets juridiques donc il faudra les intégrer même si on les anticipe dans l'ouvrage c'est important effectivement d'avoir ce recul le droit c'est notre cadre notre cadre effectivement on voit en retard actuellement avec l'Assemblée pour Nice 2 d'où des difficultés pour les entreprises d'où des prises de décisions à reculons pour des dirigeants en disant Nice 2 n'est pas transposé comment je vais faire alors qu'il y a les cyberattaques qui augmentent et effectivement il y a eu des messages aussi du gouvernement là il y a le salon Vivatec on parle de quoi de réglementation IA à tout bout de champ donc important effectivement de s'en saisir et de ne pas se défier du droit de ne pas regarder avec défiance bien entendu d'avoir un regard critique il faut dire aussi quand les choses ne vont pas il faut dire aussi quand les choses peuvent être améliorées et le rapport Draghi les liste bien on veut dire donc mais ne pas l'éviter l'éviter va créer encore une plus grande source de risque

oui c'est ça d'être dans le flou dans l'incertitude dans l'attente ou la méconnaissance en fait ça c'est vraiment un risque donc vous dites il faut en faire une arme finalement de ces outils réglementaires

il faut en faire une arme et vous citiez tout à l'heure qu'on a eu la chance d'avoir des contributeurs des experts qui ne sont pas des juristes qui interviennent au sein de l'ouvrage qui a été fait avec l'équipe du cabinet donc encore une fois et ce sont des acteurs non juristes qui nous montrent à quel point le droit est important le droit de manière générale mais surtout ces textes vont permettre soit d'être un accélérateur et aussi ces textes sont incontournables on a un dirigeant d'entreprise qui nous dit en deux mots le droit c'est comme ça on doit l'appliquer si je veux que mon business évolue je dois l'appliquer effectivement c'est un constat c'est la réalité il y a des sanctions on n'est pas que dans l'anxiogène on est aussi maîtriser son cadre par rapport à son activité son métier et donc créer une confiance

allié du business donc voilà l'ouvrage que l'on vous recommande aujourd'hui dans Smart Cyber IA Cyber et Data garantir la conformité numérique merci Garance Mathias d'être venue puisque vous en êtes une des autrices vous avez écrit cet ouvrage à trois mains merci à tous de nous avoir suivis c'était donc votre rendez-vous sur la confiance numérique que vous regardez sur la chaîne Bsmart je vous dis à très bientôt abonnez-vous

abonnez-vous abonnez-vous