Latest / Le centre de gravité / Epilogue

Transcript

Epilogue · Le centre de gravité

0:00
Le centre de gravité, épilogue. D'où parlait cette voix ?
0:05
Chapitre un, le bruit, pendant 6 épisodes, une voix a parlé sans
0:10
se nommer. Elle regardait les systèmes
0:12
comme on regarde une fissure. Il est temps.
0:15
Je m'appelle Franck Dubray, ancien à cœur ancien, si vous
0:18
voulez. Il faut dire ancien pour ne pas
0:20
avoir d'ennuis avec la justice. Mais ce genre de chose ne vous
0:23
quitte pas vraiment. Ça ne change rien à ce qu'on a
0:26
été et ça ne change rien à ce qu'on voit quand on regarde un
0:29
système. À mon âge, les détours
0:30
fatiguent. Un hacker regarde un système et
0:33
se pose une seule question, est ce que c'est vraiment ce que ça
0:36
prétend être ? Pendant 6 épisodes, j'ai posé
0:38
cette question au modèle des ESN françaises.
0:40
J'ai traversé les apparences, j'ai regardé ce qui tenait
0:43
vraiment et j'ai dit ce que je voyais.
0:45
C'était déjà le même métier. Je ne vous ai jamais dit d'où je
0:48
regardais. Maintenant je vais vous le dire,
0:50
je viens de la banlieue, Cergy, Saint Christophe, Square de la
0:54
belle épine, lycée Galilée, puis epita pas de réseau.
0:59
Pas d'argent, juste des illusions et de la motivation.
1:02
Quand on vient de là, on apprend vite que le mot réseau ne veut
1:05
pas dire la même chose pour tout le monde.
1:07
Et un modem. Si vous avez plus de 40 ans,
1:10
vous allez reconnaître le son. Si vous en avez moins, vous
1:13
allez croire que je décris une machine à café en panne, le son
1:16
d'un modem 14400 Baud qui se connecte.
1:18
Ce crépitement, ce sifflement, cette négociation entre 2
1:21
machines qui se parlent pour la première fois et qui essaient de
1:25
se mettre d'accord sur un langage commun.
1:28
Ça durait 15 secondes, 20 parfois.
1:30
Et pendant ces 20 secondes, tout pouvait arriver.
1:33
Le monde pouvait s'ouvrir ou la connexion pouvait tomber parce
1:36
que quelqu'un avait décroché le téléphone dans la pièce d'à
1:38
côté. J'avais 14 ans, fin des années
1:41
80, et ce bruit là, c'était la porte, la seule porte vers
1:44
l'extérieur pour un gamin de Cergy qui voulait comprendre
1:47
comment les choses marchaient vraiment pas comment on lui
1:50
disait qu'elles marchaient, comment elles marchaient quand
1:52
personne ne regardait. Quand tu grandis sans réseau et
1:55
sans argent, tu apprends 2 choses très vite.
1:57
La première, c'est que personne ne viendra te chercher.
2:00
La 2e, C'est que si tu veux entrer quelque part, il faudra
2:04
trouver la porte toi même. Je n'avais pas de réseau, alors
2:07
j'ai commencé par ceux des autres.
2:08
Le modem, c'était ma porte, la première porte, pas la dernière.
2:12
Derrière la porte, il y avait les BBS, les bulletin Board
2:16
System. Imaginer un forum, mais sans le
2:18
web, sans image, sans souris, du texte blanc sur fond noir, vous
2:23
appeliez un numéro de téléphone avec votre modem, le téléphone
2:26
de la maison. Celui que vous partagiez avec
2:29
vos parents. Donc vous attendiez qu'ils
2:31
dorment 2 h du matin. En général, c'était le bon
2:33
créneau. Vous composiez le numéro, le
2:36
modem faisait son bruit. Et si tout allait bien, vous
2:39
arriviez sur un écran d'accueil fait à la main par un type dans
2:41
sa chambre, à Toulouse, à Lyon, à Rennes, parfois à Amsterdam ou
2:46
à Francfort. Et là, il y avait des fichiers,
2:49
des messages, des discussions techniques, des gens qui
2:52
s'appelaient par des pseudonymes et qui échangeaient des choses
2:54
que vous ne trouviez nulle part ailleurs du code.
2:57
Des failles, des méthodes, des manières de comprendre comment
3:01
un réseau téléphonique fonctionnait de l'Intérieur, ce
3:03
qu'on appelait le freaking. Des manières de comprendre
3:06
comment un système unique se défendait et ce qu'il se passait
3:09
quand il ne se défendait pas assez bien.
3:11
Le mot qu'on utilise aujourd'hui, c'est hacking.
3:14
À l'époque, on n'avait pas vraiment de mot, ou plutôt on en
3:18
avait un. Mais il ne voulait pas encore
3:19
dire ce qu'il veut dire maintenant.
3:21
Hacker en 1992 en France, ça voulait dire quelqu'un qui veut
3:24
comprendre. Pas quelqu'un qui veut casser,
3:28
pas quelqu'un qui veut voler. Quelqu'un qui refusé de
3:30
s'arrêter à ce qu'on lui montre. Quelqu'un qui tire sur le fil.
3:34
C'était une posture intellectuelle avant d'être un
3:36
délit. Une manière de traverser les
3:38
façades. Y avait les copypartis, des gens
3:40
qui se retrouvaient dans des appartements pour s'échanger des
3:44
disquettes de jeux à Miga et Atari.
3:47
Y avait la démocène, des artistes du code qui faisaient
3:51
des animations graphiques incroyables pour le simple
3:54
plaisir de prouver qu'on pouvait faire des choses belles avec une
3:57
machine. Et y avait les hackers, ceux qui
4:00
voulaient comprendre les systèmes.
4:02
Pas pour le spectacle, pour le savoir.
4:05
La scène était minuscule en France en 1992.
4:07
On pouvait compter ces gens-là pas sur les doigts d'une main,
4:10
plutôt sur les doigts de 2 mains avec quelques orteils en bonus.
4:13
Et puis il y avait la paranoïa. Fin des années 80, le
4:17
gouvernement français crée un faux chaos Computer Club France,
4:19
le CCCF. Le vrai chaos Computer Club en
4:25
Allemagne, c'est une institution, des hackers, des
4:28
militants, des gens sérieux. Le faux CCCF français, c'est une
4:31
opération pilotée par un certain Jean Bernard Condat, recruté par
4:35
la DST pour infiltrer la scène underground.
4:37
L'idée, c'était de faire venir les hackers dans un club
4:41
officiel, de les repérer, de les ficher, éventuellement de les
4:44
recruter. Le truc, c'est que tout le monde
4:47
a fini par le savoir et ça a créé un climat de paranoïa
4:50
magnifique. On se retrouvait sur des BBS à
4:55
03h00 du matin, en se demandant si le type avec qui on discutait
4:58
technique était un passionné comme nous ou un fonctionnaire
5:01
de la DST qui remplissait un formulaire.
5:04
C'était formateur. Ça vous apprend la prudence, ça
5:07
vous apprend que dans un réseau, la confiance ne se présume
5:10
jamais, ça vous apprend à 16 ans ce que certains DSI du CAC 40
5:15
n'ont toujours pas compris en 2026.
5:18
Dans un système, le danger peut aussi venir de l'Intérieur.
5:23
Pendant ce temps, la France avait 30000000 d'utilisateurs de
5:25
Minitel et 0,4% de foyers connectés à Internet.
5:28
C'est comme si quelqu'un avait inventé l'avion et que la France
5:32
avait répondu, non merci. On a un très bon réseau de
5:35
diligence. Pendant 6 épisodes, j'ai ouvert
5:38
des capots, des modèles, des marges, des contrats, des
5:41
pyramides, des métiers. J'ai regardé ce qu'il y avait
5:45
dedans et j'ai dit ce que je voyais.
5:48
Cette posture soulevait le couvercle, refusait de croire
5:52
qu'un système est ce qu'il prétend être.
5:54
Elle ne m'a jamais quitté, elle est dans tout ce que j'ai fait
5:57
pendant 30 ans. Elle est dans chaque mot de
5:59
cette série. Elle vient d'un bruit, d'un
6:02
crépitement dans le noir d'un gamin de Cergy qui attendait que
6:06
ses parents dorment pour ouvrir la porte dans le noir.
6:09
Pas de réseau, pas d'argent, juste des illusions et de la
6:13
motivation. Et la porte ne s'est jamais
6:16
refermée. Chapitre 2, je rentrais
6:19
toujours, il YA1. Moment précis où la curiosité
6:22
bascule en métier. Ce moment arrive souvent quand
6:25
quelqu'un vous confie les clés d'un endroit où vous n'auriez
6:28
jamais dû entrer. 1995, le gamin de Cergy, A202 ans et le monde
6:33
lui est en train de basculer. Février, de l'autre côté de
6:36
l'Atlantique, le FBI arrête Kevin Meetnick, le hacker le
6:39
plus recherché des États-Unis. 2 ans de trac, une couverture
6:43
médiatique mondiale et en un instant le mot bascule.
6:46
Avant meetnick hacker, ça voulait encore dire explorateur.
6:49
Après meetnick, ça veut dire criminel.
6:52
Le mot ne reviendra jamais complètement.
6:55
La même année, Netscape introduit SSL, le petit cadenas
6:58
dans le Navigateur, la première brique de confiance sur le web.
7:02
La même année, le film Hackers sort au cinéma avec Angelina
7:05
Jolie en roller. Hollywood découvre le sujet et
7:08
le transforme immédiatement en spectacle.
7:10
Et la même année, en France, avec Laurent genier, je fonde
7:14
intrinsèque, un cabinet de Conseil en sécurité des systèmes
7:17
d'information et au démarrage, avec Laurent, on développe aussi
7:20
payline, un système de paiement sur Internet à un moment où le
7:24
e-commerce n'existe. Ne pratiquement pas à un moment
7:26
où Internet lui même n'a pas encore percé. en France, on
7:30
construisait une solution pour un marché qui n'existait presque
7:32
pas encore. À l'époque, on appelait ça
7:35
innover. Aujourd'hui, on appellerait ça
7:37
un pilote sans budget. Quand on a rejoint neurones en
7:40
1999, on a vendu payline. Et la chose qui me fait sourire
7:43
aujourd'hui, c'est que la solution existe toujours.
7:44
Il m'arrive encore de l'utiliser.
7:46
Avec le recul, je vois que tout était déjà là avant la
7:50
cybersécurité de masse, avant le cloud, avant la souveraineté.
7:53
Il y avait déjà cette intuition, fabriquer une infrastructure de
7:56
confiance avant que le marché sache encore la nommer.
8:01
Payline n'était pas un accident. C'était la première fois que je
8:04
construisais de la confiance pour un monde qui n'était pas
8:07
encore prêt à l'appeler comme ça, la première brique d'une
8:09
obsession qui ne m'a plus quitté.
8:11
On vendait de la sécurité informatique à des gens qui ne
8:14
savaient pas encore qu'ils avaient de l'informatique à
8:16
sécuriser. Le premier rendez-vous
8:18
commercial, c'était toujours le même, vous arriviez chez un
8:21
client, un responsable informatique.
8:23
À l'époque, on ne disait même pas DSI et vous disiez Bonjour,
8:27
on fait de la sécurité des systèmes d'information ?
8:30
Et il vous regardait comme si vous veniez de lui proposer une
8:33
assurance contre les météorites. La phrase que j'ai le plus
8:36
entendue en 1995, mais qui voudrait attaquer notre réseau ?
8:38
Et moi je répondais, la vérité, je ne sais pas qui voudrait
8:42
attaquer votre réseau, mais je sais qu'on peut y entrer et si
8:45
vous voulez, je vous montre par où.
8:48
C'était ça Un Pen test en 1995, pas un mot anglais sophistiqué
8:51
vendu avec un slide de de 40 pages.
8:53
Un type de 22 ans qui disait, donnez-moi votre adresse IP et
8:57
48 h si je ne rentre pas, vous ne me payez pas si je rentre.
9:01
On en parle. Je rentrais toujours toujours.
9:02
On trouvait des choses magnifiques, des mots de passe
9:06
admin qui n'avaient jamais été changés depuis l'installation.
9:11
Des serveurs ouverts sur Internet dont personne ne
9:14
connaissait l'existence. Des accès qui auraient dû être
9:17
fermés depuis des années et qui étaient encore là parce que
9:19
quelqu'un un jour avait dit, on le coupera lundi et lundi
9:23
n'était jamais arrivé. Les banques ont été les
9:26
premières à appeler, pas parce qu'elles étaient en avance,
9:28
parce qu'elles avaient peur. La peur est le meilleur
9:31
commercial du monde dans la sécurité, toujours a été,
9:34
toujours sera. Le problème, quand on a raison
9:37
trop tôt, c'est qu'au début, personne n'appelle ça avoir
9:39
raison. Au début, on appelle ça
9:41
exagérer. en France, les entreprises qui faisaient ce
9:44
métier en 1995, vous pouviez les compter sur les doigts d'une
9:46
main. Il y avait Hervé Shower,
9:48
consultant, il y avait nous et il y avait le silence, un
9:51
couloir vide avec 2 portes. Le métier, c'était ça, entrer
9:55
pour mieux protéger à chaque étape, sans le savoir encore, je
9:59
faisais la même chose, construire trop tôt ce qui
10:01
finirait par devenir indispensable.
10:05
Et puis le métier a grandi en fait, parce que le monde, lui, a
10:09
commencé à casser. On croyait tester des systèmes.
10:11
En réalité, on testait une époque et l'époque mentait aussi
10:15
en 2000I Love you, un verre informatique qui se propage par
10:18
e-mail sujet du message I Love you pièce jointe.
10:23
Love letter for you, 45000000 de machines infectées en 24h00.
10:26
La démonstration magistrale que le maillon faible d'un système
10:29
informatique, ce n'est jamais le système, c'est l'humain qui
10:32
clique sur I Love you. Et derrière la une des journaux,
10:35
il y avait le travail, le vrai, celui qu'on ne filme pas.
10:38
La générale des eaux nous a appelés, 400 jours de remise en
10:42
état, 400 jours pour nettoyer, reconstruire, sécuriser ce qu'un
10:44
seul clic avait détruit, 400 jours pour un e-mail d'amour.
10:51
La même année, on m'a envoyé à La Hague, La Hague, l'usine de
10:54
retraitement de combustible nucléaire, le site le plus
10:57
sensible de France. Et là, il faut que je vous
11:00
raconte. 3 h de fouilles à l'entrée, 3 h chaque câble,
11:04
chaque disque, chaque outil vérifié.
11:06
Puis on nous installe dans un petit bureau avec une vitre
11:09
fumée, et de l'autre côté de la vitre, toute l'équipe
11:12
informatique du site qui nous regarde, qui nous épie, qui
11:15
attend de voir ce que les petits malins de Paris vont bien
11:18
pouvoir trouver dans leur forteresse.
11:20
Parce que c'était une forteresse. 3 firewall en
11:23
cascade, 3 marques différentes, une architecture pensée pour
11:27
qu'aucun attaquant ne puisse traverser les 3 couches.
11:29
Les gros malins, ils étaient fiers.
11:31
On le sentait de l'autre côté de la vitre fumée.
11:34
J'étais avec Christophe Lesur, je l'avais fait entrer chez
11:37
intrinsèque, en 1999. On avait 27 ans, on était dans
11:40
un bureau vitré, au milieu d'une installation nucléaire, observés
11:42
comme des cobayes, et on devait prouver que leur système n'était
11:45
pas ce qu'ils prétendaient être. Un enfer.
11:50
Et puis dans nos scanners, un truc louche, un service qui
11:54
n'aurait pas dû être là, un port ouvert qui ne correspondait à
11:57
rien. Dans l'architecture déclarée, on
11:59
tire le fil, on suit la trace et on tombe sur des caméras, des
12:04
caméras de surveillance extérieur du site, des parkings,
12:07
des clôtures, des entrées. Rien de sensible sur le plan
12:10
nucléaire, mais accessible en live sans aucune autorisation.
12:15
On avait du direct sur les abords de l'installation
12:17
nucléaire la plus sensible de France depuis notre petit bureau
12:21
à vitres fumées, la tête de l'équipe informatique de l'autre
12:24
côté de la vitre, ça, c'était impayable.
12:27
Une mission magnifique de jeunesse.
12:29
Et Christophe Lesur, celui qui était avec moi dans ce bureau,
12:32
est devenu directeur général de cloud temple en 20001726 ans
12:35
plus tard, il est toujours là dans cette vie.
12:37
Les fidélités comptent autant que les intuitions.
12:42
Ça dit quelque chose sur le métier, ça dit quelque chose sur
12:44
la confiance. En 2002, une très grande banque
12:47
française de réseau, un test d'intrusion à grande échelle,
12:50
plus le pentest artisanal des débuts, une radiographie
12:53
industrielle, des centaines de cibles, des milliers de
12:56
vulnérabilités. La première fois que je voyais
12:59
un paysage entier de risques, pas un système, pas un serveur,
13:02
un paysage, une banque entière ouverte devant nous, comme un
13:07
patient sur une table d'opération.
13:08
La même année, Bouygues Télécom. Le schéma directeur sécurité, on
13:13
passait de l'intrusion au Conseil, de l'ouverture de
13:16
portes à la construction de murs.
13:18
Le hacker commençait à devenir architecte.
13:20
Et puis il y a eu 2004, une autre histoire, plus sombre,
13:23
plus humaine. Le Consistoire de Paris nous
13:26
appelle. Le Consistoire, c'est
13:27
l'institution qui organise la vie religieuse juive en France,
13:31
la synagogue, les offices, l'état civil, religieux, la
13:34
cacheroute, les fêtes. C'est le cœur administratif et
13:37
spirituel du judaïsme français. Des milliers de familles, des
13:41
siècles d'histoire. la Secrétaire du Consistoire reçoit
13:44
des mails, des mails de menace, des mails antisémites, violents,
13:48
répétés, de plus en plus précis, de plus en plus personnels.
13:52
Quelqu'un la vise, quelqu'un qui connaît ses horaires, ses
13:55
habitudes, sa vie. La peur est réelle, le
13:58
harcèlement est quotidien et la haine est là.
14:00
Dans chaque ligne crue, frontale, on nous appelle, on
14:04
commence à remonter progressivement.
14:06
Les en têtes des mails, les adresses IP, les relais, les
14:09
traces. On tire les fils un par un, on
14:11
suit la piste, on s'attend à trouver quoi ?
14:13
Un réseau, une cellule, un groupe organisé, quelque chose
14:17
d'extérieur, de lointain, de menaçant.
14:19
Et plus on remonte, plus la menace se rapproche.
14:22
Et à un moment, il n'y a plus de dehors.
14:24
Et la, surprise, la piste s'arrête au bureau d'à côté, le
14:28
Bureau d'à côté, un adjoint frustré froissé quelqu'un qui
14:32
travaillait avec elle tous les jours, qui la croisait dans le
14:35
couloir. Qui lui disait Bonjour le matin
14:37
et qui, derrière son écran, se déguisait en haine antisémite
14:41
pour détruire sa collègue ? La haine comme masque d'une
14:44
blessure d'égo ? On avait 16 ans quand le faux
14:46
chaos Computer Club nous avait appris que dans un réseau, la
14:49
confiance ne se présume jamais, que le danger peut venir de
14:52
l'Intérieur. On avait 16 ans et 20 ans plus
14:55
tard, dans les bureaux du Consistoire de Paris, cette
14:58
leçon revenait intacte. Le métier de la sécurité, ce
15:01
n'est pas seulement des firewall et des lignes de code.
15:04
C'est aussi ça l'humain, la trahison, la banalité du mal
15:07
derrière un écran et la responsabilité immense de dire
15:10
la vérité à des gens qui ne sont pas prêts à l'entendre.
15:13
Le danger n'arrive pas toujours de loin.
15:15
Très souvent, il vient du bureau d'à côté et parfois il vous dit
15:19
Bonjour le matin. Et à chaque étape, à chaque
15:21
crise, à chaque attaque, la même phrase revenait de l'autre côté
15:25
de la table, on n'avait pas vu, on n'avait pas prévu, on pensait
15:29
que ça n'arriverait pas chez nous.
15:30
En 2009, l'anssi est créée. 14 ans après qu'on a fondé
15:34
intrinsèque, on avait un peu d'avance ou un peu tort trop tôt
15:37
selon les jours, puis le reste a suivi.
15:40
Wanna Cry solarwinds, les hôpitaux, les jeux de Paris.
15:44
De rien à 8 milliards d'euros pour le marché français de la
15:46
cybersécurité de rien à 8 milliards parce que le monde a
15:50
fini par payer ce qu'il avait longtemps refusé de voir, et la
15:53
même phrase, toujours on n'avait pas vu.
15:56
C'est exactement cette phrase que j'entends aujourd'hui dans
15:58
les ESN. Chapitre 3, le paradis.
16:03
Un hacker, par nature, ne reste pas.
16:05
Il bouge, il teste, il repart. Quand un hacker reste quelque
16:09
part 27 ans, c'est que l'endroit lui ressemble. 1999 intrinsèque
16:13
à 4 ans. On est une petite équipe, on
16:16
fait du Pen test, du Conseil, de l'audit, on commence à avoir une
16:21
réputation dans la banque et l'assurance, on sait entrer dans
16:25
les systèmes, on sait les refermer.
16:30
Et Luc de Chamart appelle en fait Luc de Chamart, le le
16:34
fondateur de neurones, un homme que le grand public ne connaît
16:38
pas, que la presse ne cite presque jamais, qui ne fait pas
16:42
de keynote, qui ne tweet pas, qui ne publie pas de tribune
16:45
dans les échos et qui a construit en 40 ans le modèle
16:49
d'e SN, le plus performant de France, peut être le plus
16:52
performant d'Europe. En silence, comme un horloger,
16:55
pièce par pièce. Et quand il m'a appelé, il m'a
16:59
dit quelque chose que je n'ai jamais oublié.
17:01
Il a dit, je cherche des gens qui voient le numérique depuis
17:04
ce qui casse, pas depuis ce qui brille.
17:07
C'était déjà une manière de trier le vrai du décor.
17:10
C'est une phrase rare dans les ESN en général dans les ESN, les
17:13
phrases ressemblent plutôt à. Nous accompagnons la
17:15
transformation digitale de nos clients grâce à notre expertise
17:19
multi sectorielle. C'est joli, ça ne veut
17:22
strictement rien dire, mais ça rassure les slides.
17:26
Luc, lui, ne faisait pas de slide, il faisait des contes et
17:31
les contes étaient justes. À mon arrivée chez neurone, Luc
17:34
a été un professeur précieux. Il m'a appris le commerce, le
17:38
marketing, ce qu'est 1DSI et, plus rare encore, ce qu'est un
17:42
désir de DSI. Il relisait mes mailings.
17:45
À l'époque, c'était plus fastidieux que des mails,
17:48
c'était du papier, de vraies feuilles, de vraies phrases.
17:52
Il corrigeait, il rayait, il déplaçait.
17:55
Il m'apprenait à faire un titre qui claque.
17:57
Il m'apprenait ce qu'on appellerait aujourd'hui un
17:59
tunnel de vente, il m'apprenait le Click to action avant qu'on
18:03
parle comme ça. Et surtout, il m'apprenait une
18:06
chose que beaucoup de formations commerciales redécouvrent
18:09
périodiquement sous des noms savants, y compris à HEC, partir
18:12
de la douleur du client. Tant que tu n'as pas trouvé la
18:15
douleur juste, tu ne vends rien. Luc m'a appris ça.
18:18
Et quand on vous apprend ça, on ne vous apprend pas seulement à
18:22
vendre. On vous apprend à voir
18:25
autrement. On a rejoint neurone en 1999 et
18:27
je suis resté ce qui en dit long parce qu'un hacker par nature,
18:30
ne reste pas un hacker. Ça bouge, ça teste, ça repart,
18:35
ça se lasse, ça cherche le prochain système à ouvrir.
18:39
Si je suis resté, c'est parce que le modèle neurone avait
18:43
quelque chose que je n'avais vu nulle part ailleurs, de la
18:46
liberté et de la discipline, les 2 en même temps.
18:52
On ne m'a jamais demandé de devenir quelqu'un d'autre et on
18:55
m'a donné quelque chose de plus rare encore, le temps de
18:58
construire des évidences qui n'en étaient pas encore.
19:01
Pour quelqu'un comme moi, c'était presque une forme rare
19:03
de confiance. Plus qu'un confort, une
19:06
permission neurones, ce n'est pas une pyramide, c'est une
19:10
fédération. Une vingtaine d'entités
19:12
autonomes, chacune avec son patron, son compte de résultats,
19:16
sa clientèle, sa spécialité. Le patron de chaque entité est
19:20
entrepreneur. Associé au capital responsable
19:24
de ces résultats, pas un manager salarié qui attend les
19:27
instructions du siège et qui passe sa vie à faire du
19:29
reporting pour justifier son existence.
19:32
Un entrepreneur avec sa peau dans le jeu, c'est l'anti modèle
19:36
des ESN. Le modèle ESN classique, c'est
19:39
la pyramide. Tout remonte, tout descend, le
19:43
siège décide, les entités exécutent, le commercial vend le
19:47
delivery livre, le management contrôle.
19:50
Et tout le monde remplit des tableaux Excel pour prouver
19:52
qu'ils méritent d'exister. Neurones, c'est le contraire.
19:56
Chaque entité pense, chaque entité s'adapte et surtout
20:00
chaque entité peut agir avant que le siège n'ait fini de
20:03
comprendre ce qui change. Je vais vous dire ce que c'est
20:06
un paradis pour un hacker. C'est un endroit où on vous fait
20:09
confiance, on ne vous demande pas de rentrer dans un moule, on
20:12
vous donne un terrain 1PNL et une seule consigne, fais le
20:14
vivre. Où personne ne vous dit comment
20:17
penser, où personne ne vous oblige à vendre ce que vous ne
20:20
croyez pas ou la seule hiérarchie qui compte, c'est
20:23
celle du réel. Ça marche ou ça ne marche pas,
20:25
les contes parlent, le reste est du bruit. 27 ans, j'ai vu passer
20:30
des dizaines de SN qui ont changé de stratégie tous les 18
20:32
mois, qui ont poursuivi chaque mode comme si le salut venait du
20:35
mot clé suivant et qui se sont retrouvés 10 ans plus tard à peu
20:39
près au même endroit, en moins bien.
20:41
Neuron n'a jamais fait ça, neuron a fait la même chose tous
20:45
les jours. Pendant 40 ans, avec constance,
20:48
avec discipline, avec une humilité qui ressemble à de
20:50
l'orgueil silencieux. En 25 ans de cotation en bourse,
20:53
neurone n'a jamais affiché une seule perte, jamais, pas en 2001
20:57
bulle Internet, pas en 2008, crise financière mondiale, pas
21:00
en 2020, COVID, pas en 2025, premier recul du marché ESN en
21:04
15 ans, jamais une perte, 857000000 de chiffre d'affaires,
21:06
337000000 de trésorerie, 0 dette. +5% de croissance
21:15
organique dans un marché à moins 2 ?
21:17
Ceux qui ont écouté l'épisode 5, celui sur les survivants,
21:21
reconnaîtront peut être quelque chose, le spécialiste profond,
21:24
le système nerveux plutôt que la forteresse, la discipline comme
21:28
qualité stratégique, la capacité à dire non, la netteté plutôt
21:32
que la largeur. Ce n'était pas de la théorie,
21:34
c'était un endroit où je vis depuis 27 ans et dont je n'ai
21:37
jamais eu envie de partir pour un hacker.
21:40
C'est peut être la définition la plus rare du luxe.
21:42
Mais un paradis n'est pas un refuge, c'est une base de
21:44
lancement. Et à partir de cette base, le
21:47
métier a continué à se transformer parce que le gamin
21:49
qui ouvrait les systèmes dans le noir a fini par comprendre
21:51
quelque chose. Ouvrir ne suffit pas, montrer
21:54
les trous ne suffit pas. À un moment il faut construire,
21:57
il faut bâtir ce qui tient-il faut passer de l'autre côté du
22:00
miroir. En 2005, la mairie de Versailles
22:03
nous confie l'infogérance de ses applications municipales.
22:06
Le cimetière, la Ludothèque, l'état civil, le cimetière de
22:10
Versailles, le Hacker de La Hague qui avait accédé aux
22:12
caméras d'une installation nucléaire, qui gère maintenant
22:15
le logiciel du cimetière d'une mairie ?
22:17
Le réel a beaucoup plus d'humour que les plans de carrière.
22:20
Si quelqu'un m'avait dit ça en 1995, j'aurais raccroché.
22:22
Mais c'est exactement là que quelque chose de profond s'est
22:25
joué. On passait de l'intrusion au
22:26
service de l'ouverture de portes à la tenue de système, du geste
22:31
du hacker au geste de l'opérateur.
22:35
Et j'ai découvert quelque chose que je n'attendais pas, que
22:37
tenir un système tous les jours, sans bruit, sans gloire, pour
22:40
que les gens puissent enterrer leurs morts, inscrire leurs
22:43
enfants, emprunter 1£. C'était aussi noble que d'ouvrir
22:45
une forteresse nucléaire. Le numérique devient sérieux le
22:49
jour où il faut qu'il tienne pour des morts, des enfants, des
22:52
livres. Peut être plus parce que
22:54
personne ne vous applaudit, personne ne vous regarde
22:56
derrière une vitre fumée, vous tenez, c'est tout.
23:00
Et en 2008, stehliant, une entreprise d'expertise en
23:03
assurance, notre premier client cloud, suivi de 18 autres dans
23:06
la même année. Le cloud en 2008 en France,
23:09
c'est un mot que presque personne n'utilise encore.
23:11
Mais nous, on était déjà en train de construire
23:14
l'infrastructure. Pas parce qu'on avait vu le
23:16
marché, parce qu'on avait vu le besoin des entreprises qui
23:18
avaient besoin que leurs données tiennent, que leur système
23:20
tienne, que quelqu'un réponde quand ça casse.
23:23
Les premiers clients du cloud, c'était les banques d'affaires,
23:26
les fonds de private equity. Des gens pour qui la donnée est
23:31
le cœur du métier et la confidentialité une condition de
23:34
survie. Là encore, la même intuition que
23:37
pour payline, construire une confiance avant qu'elle ait
23:40
encore tout à fait son marché. Et puis ça a remonté l'i RD,
23:43
l'Institut de recherche pour le développement, l'a MF,
23:46
l'autorité des marchés financiers, puis les ETI et les
23:49
grands comptes. Suez, avril, le cloud montait en
23:52
gravité, client après client, pas par le discours, par la
23:55
preuve, puis en 2015. Je fais un choix, je confie
24:01
intrinsèque à Cyril Barthélémy, il était entré chez nous après
24:04
lépita. Là aussi, ce n'était pas
24:06
seulement un passage de relais, c'était une histoire qui
24:08
continuait. Cyril, c'est probablement
24:11
l'homme le plus sérieux que je connaisse.
24:13
Bien sûr, on se marre bien aussi, mais il porte sur les
24:16
épaules le poids de ce qu'il sait et que beaucoup d'autres ne
24:19
savent même pas voir. Il est d'une exigence rare, d'un
24:22
perfectionnisme presque moral. Et moi je bascule vers le cloud,
24:26
la confiance changeait d'étage. En 2019, j'ouvre aussi le centre
24:29
offshore d'intrinsèque et de cloud temple en Tunisie, 120
24:32
recrutements en 4 ans et surtout 4 années d'implication
24:35
personnelle. Sur place, on croit ouvrir un
24:37
centre offshore. En réalité, on découvre un
24:40
continent, des équipes, des rythmes, une autre manière
24:43
d'habiter le réel. Cloud temple devient mon front
24:46
principal et en 2017, je fais encore un pari que beaucoup
24:50
auraient trouvé étrange. Je nomme Christophe Lesur et
24:52
Sébastien Lescop directeurs généraux de cloud temple. 2DG le
24:59
même poste ? Sur le papier, ça avait tout
25:01
pour mal finir dans le réel, ça a très bien marché. 9 ans plus
25:05
tard, ils performent toujours ensemble.
25:07
Là aussi, le réel a fini par être plus intelligent que le
25:11
schéma et avec lui le 2e acte d'une vie.
25:14
Le Hacker ne se contente plus d'ouvrir les portes et de les
25:16
refermer, il construit les murs à chaque étape.
25:19
C'est la même histoire payline avant le e-commerce, les tests
25:23
d'intrusion avant que le marché sache qu'il fallait tester.
25:26
Le cloud avant qu'il devienne une évidence.
25:29
Le cloud souverain qualifié avant que les régulateurs
25:32
eux-mêmes comprennent ce que cela allait coûter de ne pas
25:34
l'avoir. J'ai souvent eu raison trop tôt
25:36
et quand on a raison trop tôt, le marché commence rarement par
25:39
vous remercier. Il commence par vous regarder
25:42
comme un original. J'ai souvent eu raison dans la
25:45
solitude avant d'avoir raison dans les chiffres.
25:47
Un hacker qui vend de la confiance, le paradoxe d'une vie
25:51
ou peut être son accomplissement.
25:53
Chapitre 4, le même geste. En 1995, le hacker montrait au
25:57
directeur informatique les trous de son réseau, en 2026,
25:59
l'intelligence artificielle montre aux clients les trous du
26:02
devis. 30 ans d'écart, le même geste ?
26:08
Aujourd'hui, l'ensemble s'appelle dragon Fly.
26:11
D'un côté, cloud temple, le cloud souverain, le secnum
26:14
cloud. Triple qualifications, Annecy,
26:16
le premier prestataire français à l'obtenir en 2022, le premier
26:20
en France, a décroché la qualification pass en 2024.
26:24
Des milliers de mètres carrés de data Center pour ses clients.
26:27
L'endroit où vous mettez les données que vous ne pouvez pas
26:30
vous permettre de perdre, les données de santé, les données
26:33
bancaires, les systèmes critiques, les applications qui,
26:36
si elles tombent, font tomber l'entreprise.
26:38
Avec de l'autre côté intrinsèque sécurité.
26:41
Le métier originel, le Soc qui tourne 24 h sur 24, le cert
26:46
qualifié Annecy, des dizaines de milliers de tests d'intrusion
26:50
depuis sa création, des milliards d'alertes traitées. 30
26:53
ans de cicatrice accumulé sur les systèmes des autres, 2
26:57
métiers, 2 postes d'observation, mais la même question,
27:00
exactement la même depuis 30 ans, ce système est-il ce qu'il
27:05
prétend être ? Derrière la façade, qu'est ce
27:08
qui tient vraiment ? Quand on dit 2nd cloud, beaucoup
27:11
de gens entendent un label, une case de conformité, un
27:15
supplément de sérieux sur un slide.
27:17
En réalité, c'est un signal de marché.
27:19
Cela veut dire qu'on entre dans un territoire où la question
27:23
n'est plus seulement comment héberger.
27:25
La question devient dans quelles conditions cela reste
27:28
acceptable ? Qui contrôle l'environnement ?
27:31
Qui maîtrise les dépendances ? Qui peut auditer, qui peut
27:35
expliquer, qui répond quand ça casse ?
27:38
Pendant un moment, on était seul avec cette certification que
27:42
personne ne demandait encore formellement.
27:44
Ça vous rappelle quelque chose ? 1995 la sécurité informatique,
27:47
personne ne la demandait, on l'a construite quand même. 2022, le
27:51
cloud souverain qualifié, peu de clients le demandaient encore.
27:54
On l'a construit quand même. On construit le parachute avant
28:00
la tempête, les gens nous regardent bizarrement et quand
28:03
la tempête arrive, on est les seuls à en avoir un.
28:06
Et maintenant, en 2026, tout le monde le demande.
28:10
Nice 2, Lay a Act, Dora pour la finance, le cloud Act américain
28:15
qui fait transpirer les COMEX, les régulateurs européens qui
28:18
durcissent. Soudain, la question où vivent
28:21
vos données et qui les contrôle n'est plus une question de
28:24
paranoïaque, c'est une question de board, de risque juridique,
28:28
de survie réglementaire, et il y a très peu d'acteurs capables
28:32
d'y répondre sérieusement. C'est depuis ces 2 postes
28:35
d'observation que j'ai regardé le marché des ESN pendant 6
28:38
épisodes et c'est depuis ces 2 métiers que le parallèle m'a
28:42
frappé avec une netteté qui m'a empêché de dormir certains
28:45
soirs. En 1995, je montrais au
28:48
directeur informatique que son système avait des trous.
28:50
Il ne le savait pas, pas parce qu'il était incompétent, parce
28:53
qu'il n'avait pas les outils pour voir.
28:56
Et le jour où quelqu'un lui montrait les trous, il ne
28:58
pouvait plus faire semblant, il devait agir.
29:00
En 2026, l'intelligence artificielle montre au client
29:03
que le devis a des trous, des couches, qu'il payait sans
29:07
savoir pourquoi, des jours qui étaient là parce qu'ils avaient
29:10
toujours été là. Des profils dont la fonction
29:15
principale était de transformer une forme en une autre forme et
29:19
l'i a le fait maintenant en 20 Min.
29:21
Le client ne peut plus faire semblant, il doit agir et le SN
29:25
en face ne peut plus se cacher derrière l'épaisseur du devis.
29:28
Le même mécanisme, exactement le même, une autre paroi, la même
29:33
traversée. L'i a est en train de donner
29:36
cette capacité à tout le monde, chaque directeur des achats,
29:39
chaque DSI, chaque client de SN. Tout le monde devient un peu à
29:44
cœur, tout le monde peut soulever le couvercle et ce
29:47
qu'on trouve en dessous surprendra beaucoup de gens.
29:50
Et c'est ici qu'il faut dire quelque chose, quelque chose que
29:53
j'aurais pu cacher, que beaucoup de gens dans ma position
29:56
cacherait. Je ne suis pas neutre.
29:59
Mes métiers sont exactement les métiers que l'intelligence
30:01
artificielle ne comprime pas. Le cloud souverain, la
30:05
cybersécurité. Plus l'i a monte, plus le cloud
30:08
se durcit, plus l'i a accélère la production, plus elle
30:11
accélère aussi les erreurs. Les faux positifs, les
30:14
automatisations mal conçues, les dépendances non anticipées ?
30:18
L'i a n'ajoute pas seulement des usages, elle durcit les
30:21
conditions dans lesquelles ces usages restent acceptables.
30:24
Le cloud, vu de l'Intérieur, n'est plus une commodité, c'est
30:27
l'endroit où les promesses doivent enfin tenir.
30:30
Le cloud est très abstrait jusqu'au moment où il tombe.
30:33
Là, tout le monde se souvient qu'il vivait quelque part.
30:36
Et la cybersécurité, vue depuis intrinsèque, rappelle quelque
30:40
chose que le numérique n'aime jamais raconter.
30:42
Chaque couche de vitesse ajoute une couche de fragilité, chaque
30:46
nouveau service ouvre une nouvelle surface d'attaque,
30:48
chaque connexion supplémentaire est un chemin de plus pour
30:51
quelqu'un qui cherche à entrer. Tout ça me donne un angle, ça me
30:55
donne aussi un biais et je préfère le dire que le cacher.
30:58
Mais cette série n'était pas un exercice de communication, elle
31:01
était une tentative de dire ce que je vois avec la franchise
31:05
que le sujet mérite et la franchise parfois, ça veut dire
31:08
aussi montrer d'où on regarde pour que chacun puisse juger de
31:11
la distance. Au fond, ce podcast obéit à la
31:14
même logique que le reste de ma vie, dire trop tôt ce qui finira
31:18
par devenir évident, nommer maintenant ce que le marché
31:21
préfère encore, appeler autrement.
31:23
J'ai souvent été pionnier malgré moi.
31:25
Et quand on est pionnier, on passe longtemps pour un excessif
31:28
avant de passer pour une évidence, le marché n'aime pas
31:31
qu'on lui montre trop tôt ce qui finira par lui manquer.
31:34
Pendant 6 épisodes, j'ai fait exactement ce que je faisais à
31:37
22 ans. J'ai traversé la façade, j'ai
31:40
regardé ce qu'il y avait derrière.
31:42
Et j'ai dit ce que j'ai vu. Le geste n'a pas changé, seul le
31:46
système a changé. Et depuis 2023, je fais la même
31:49
chose avec l'i a agenti. En vérité, j'ai commencé bien
31:53
avant. J'ai commencé à investir dans
31:55
l'i a en 2012 et pendant des années tout est tombé dans un
31:58
puits jusqu'en 2023 jusqu'au génératif, jusqu'à l'agentique
32:04
et IU pour mes entreprises et pour mes clients bien sûr.
32:08
En 2023, je confie le projet IA à Camille, à une orni.
32:11
Elle avait traversé le Conseil, la communication, le marketing
32:14
avant d'arriver à l'i a là encore, le sujet n'était pas
32:19
seulement technique, il fallait quelqu'un pour relier les
32:22
étages. Et puis il y a une scène, une
32:24
scène que j'ai vu plusieurs fois maintenant un rendez-vous
32:27
d'avant vente. Camille écoute, elle laisse
32:29
tourner le transcript en temps réel, elle pose 2 ou 3
32:33
questions, presque rien et avant même la fin de la réunion.
32:37
Elle montre déjà des démonstrateurs, pas des slides,
32:40
des démonstrateurs. Et le plus frappant, c'est
32:44
qu'elle n'a presque pas quitté le client des yeux.
32:46
La machine travaille mais la présence reste là.
32:49
C'est peut être ça au fond, la prochaine couche quand elle est
32:52
bien habitée, pas un humain qui disparaît derrière l'outil, un
32:56
humain qui garde la relation pendant que l'outil accélère
32:59
tout le reste. Là encore, la même obsession, ne
33:02
pas subir la prochaine couche, la construire.
33:05
Je ne regarde pas la prochaine porte s'ouvrir depuis le
33:08
couloir. J'entre dans la pièce.
33:10
Le futur m'intéresse moins comme promesse que comme chantier.
33:15
Chapitre 5, la porte, 30 ans séparent le modem du Podcast.
33:21
Mais le gamin de Cergy n'a jamais quitté la pièce.
33:23
Cette série m'a coûté pas en argent.
33:26
En sommeil, en doute, en heure passée à chercher le mot juste
33:29
pour dire une chose que je voyais depuis des années sans
33:31
jamais l'avoir formulée à voix haute, je ne pouvais plus garder
33:34
ça pour moi. Je savais trop de choses pour
33:35
continuer à parler comme tout le monde.
33:37
A un moment, le silence devient une faute.
33:39
Je n'ai rien à vous vendre, pas de formation, pas de t-shirt à
33:42
mon logo, pas de coaching à 500€ de l'heure.
33:44
Je partage simplement mon expérience sans attendre de
33:46
retour, j'ai passé des nuits à essayer de dire proprement
33:48
quelque chose qui en vérité ne l'était pas, a essayé de mettre
33:52
de la tenue dans une vérité qui elle ne demandait la.
33:56
La mission de personnes ? Des phrases abandonnées parce
33:58
qu'elles étaient vraies, mais pas assez justes, et d'autres
34:00
gardaient parce qu'elles faisaient mal, exactement là où
34:02
il fallait. Ce n'est pas un exercice
34:04
intellectuel, c'est un métier que j'ai regardé en face.
34:07
Le mien, celui de mes pairs, celui de gens que je connais,
34:10
que je respecte, qui se lèvent chaque matin pour faire tourner
34:12
des entreprises de services dans un monde qui change plus vite
34:15
qu'eux. Et j'ai dit ce que je voyais,
34:16
même quand c'était inconfortable, même quand ça
34:18
mordait des gens que j'estime. Parce que là complaisance dans
34:21
un moment comme celui-ci est une forme de cruauté déguisée en
34:24
politesse. Je vais vous dire ce que cette
34:26
série m'a appris sur moi même. Je croyais avoir changé de
34:29
métier plusieurs fois, acquiert, consultant en sécurité,
34:32
entrepreneur, patron de cloud, président d'un groupe.
34:35
Les mots ont changé les cartes. De visites ont changé, les
34:38
salles de réunion ont changé. Mais le geste, lui, n'a jamais
34:41
changé. À 14 ans, dans ma chambre à
34:43
Cergy, je soulevais le couvercle d'un système pour voir ce qu'il
34:46
y avait dedans. À 22 ans, chez un directeur
34:48
informatique, je soulevais le couvercle de son réseau pour lui
34:51
montrer les trous. À 27 ans à La Hague, derrière
34:53
une vitre fumée, je soulevais le couvercle d'une forteresse
34:56
nucléaire. À 31 ans, au Consistoire de
34:58
Paris, je soulevais le couvercle d'une haine qui venait du bureau
35:02
d'à côté. Et aujourd'hui, dans un podcast,
35:03
j'ai soulevé le couvercle d'un modèle économique.
35:07
Que personne n'avait envie de regarder de trop près.
35:09
C'est le même geste, toujours le même, soulever, regarder, dire.
35:13
Un hacker ne choisit pas cette posture, elle le choisit et elle
35:16
ne le quitte jamais. Il y a 30 ans, j'ouvrais des
35:19
systèmes pour montrer aux gens ce qu'il y avait à l'intérieur.
35:21
Aujourd'hui, j'ai ouvert un modèle, le vôtre peut être, et
35:25
j'ai dit ce que j'ai vu, un hacker ne change pas de
35:27
question, il change seulement de système.
35:29
Je ne sais pas si cette série changera quoi que ce soit.
35:31
Je ne sais pas si un dirigeant de SN1 dimanche soir se
35:34
souviendra d'une phrase entendue ici et.
35:37
Prendra une décision qu'ils n'auraient pas prise autrement.
35:39
Je ne sais pas si Sophie, Karim, Philippe ou Youssef
35:42
reconnaîtront leur propre histoire.
35:43
Je ne sais pas si le marché dans 24 mois ressemblera à ce que
35:47
j'ai décrit ou à quelque chose de complètement différent, mais
35:49
je sais une chose, la même chose que je savais à 14 ans, à 02h00
35:53
du matin, devant un écran de texte blanc sur fond noir, les
35:56
systèmes mentent d'abord à ceux qui les administrent.
35:58
C'est peut être pour ça que j'ai passé ma vie à les faire parler.
36:01
Un système qui refuse d'être regardé est un système qui a
36:04
quelque chose à cacher et un système qui a quelque.
36:07
Choses à cacher finit toujours par céder.
36:09
Toujours. La seule question, c'est quand
36:11
une dernière fois, je m'appelle Franck Dubray, ancien hacker,
36:14
fondateur d'Intrinsèque en 1995, président de dragon Fly, cloud
36:17
temple et intrinsèque sécurité, filiale de neurones depuis 1999
36:21
et depuis 30 ans, je fais la même chose, je traverse les
36:24
façades, je regarde ce qui tient et je dis ce que je vois.
36:27
Un hacker qui vend de la confiance depuis 30 ans, le
36:30
paradoxe d'une vie ou peut être son accomplissement.
36:31
J'ai souvent eu raison dans la solitude.
36:37
Et la solitude, au début, ne ressemble jamais à une victoire.
36:40
Si on m'avait dit à 15 ans que je vendrais un jour de la
36:43
confiance, j'aurais probablement raccroché.
36:45
Construire trop tôt ce qui finit par devenir indispensable, au
36:49
fond, c'est toute ma vie. Pas de réseau, pas d'argent,
36:51
juste des illusions et de la motivation.
36:54
Et une porte qui ne s'est jamais refermée.
36:56
Pas la première, pas la dernière.
36:58
Vous écoutiez le centre de gravité.
37:00
Cet épisode s'appelait d'où parlait cette voix ?
37:02
La série s'achève ici. Vous savez maintenant d'où
37:05
parlait cette voix. Le reste ne dépend plus d'un
37:07
podcast, il appartient à ceux qui décident.