Latest / Interviews sans fard / Assises de la cybersécurité 2026 : le cas Board of Cyber avec Sylvain Lefeuvre, DGA

Transcript

Assises de la cybersécurité 2026 : le cas Board of Cyber avec Sylvain Lefeuvre, DGA · Interviews sans fard

• 0:01
  Sylvain Lefebvre, bonjour.
• 0:03
  Bonjour Fabrice.
• 0:03
  Est-ce que vous pouvez vous présenter et nous présenter également Board of Cyber, l'entreprise dont vous êtes le directeur général adjoint?
• 0:10
  Bien sûr.
• 0:11
  Tout d'abord, merci du temps qu'on prend ensemble pour évoquer ces choses-là.
• 0:15
  Board of Cyber, ça part d'une idée assez simple, c'est qu'on ne peut pas piloter sérieusement ce que l'on ne sait pas mesurer.
• 0:22
  Et ça, c'était la base.
• 0:23
  Aujourd'hui, l'entreprise connaît en général assez bien son risque financier, son risque juridique, son risque du crédit, etc.
• 0:31
  Mais lorsqu'on demande à un dirigeant quel est précisément votre niveau de risque cyber, Est-ce qu'il s'améliore?
• 0:39
  Est-ce qu il est meilleur que vos concurrents?
• 0:40
  Quelle est la tendance?
• 0:41
  Là, la réponse est en général plus difficile à atteindre et à voir avec certitude.
• 0:46
  Notre métier, c'est précisément de rendre ce risque mesurable, pour des bornes notamment, compréhensible et pilotable avec ça.
• 0:54
  Et donc, on fait de la notation cyber, du pilotage de la posture de sécurité.
• 0:59
  On fait de la gouvernance aussi, bien sûr, et que ce soit sur l'entreprise elle-même, mais aussi sur son écosystème.
• 1:05
  On est seuls, parce qu'on sait que tout ça n'est qu'un seul et même ensemble, que parfois on dissocie pour diverses raisons, mais en tous cas c'est un seul et même ensemble.
• 1:12
  En quelque sorte, on veut passer la cibère d'un langage d'expert, indispensable, à un langage de décision.
• 1:18
  Et encore une fois, on ne protège bien que ce qu'on connaît, donc on ne peut avoir une politique décente en matière de cybersécurité qu'à partir du moment où on connaît le faillite de force.
• 1:31
  Justement en matière de politique de cybersécurité, j'ai vu la grande publicité de Bitdefender, la cybersécurité conçue pour l'Europe.
• 1:43
  Est-ce que la cybersécurité est forcément européenne?
• 1:46
  Est-ce que ça veut dire que la cybersécurité est forcément un outil géopolitique ou une composante plutôt géopolitique?
• 1:52
  C'est une excellente question parce que je pense que c'est très clairement celle que l'on doit se poser et que l'on va se poser de manière beaucoup plus forte dans les années à venir.
• 2:01
  Je pense que l'Europe y a déjà répondu en partie lorsqu'elle décide d'augmenter la part de réglementation autour des entreprises et ensuite des entreprises européennes mais aussi des entreprises qui viennent travailler sur le sol européen.
• 2:13
  Je pense qu'elle se pose aussi lorsque l'on a des chercheurs, lorsqu'on a des fonds, lorsqu'on des industriels, lorsqu'on à des pépites et qu'on s'aperçoit que finalement la place qu'elles ont sur le marché est bien souvent en décalage avec
• 2:26
  la pertinence ou avec la profondeur qu'elles ont dans leurs offres et donc je pense que c'est important.
• 2:32
  Je pense que si on prend cet enjeu-là, derrière, on va découler sur la souveraineté.
• 2:37
  Souveraineté, ce n'est pas forcément un terme à favoriser, même si je suis forcément souverain, mais je pense plutôt à confiance.
• 2:43
  Et donc, derrière la confiance, il y a le choix et la possibilité, demain, de choisir telle ou telle solution et de ne pas choisir entre un plan A qui est américain et un plan B qui est américain, et
• 2:52
  un plan C qui est américain.
• 2:53
  Parce qu'on est forcément soumis à des questions extraterritoriales, clonaques, patriotaques, notamment, mais pas que.
• 3:01
  Je ne parle que des Américains, mais c'est vrai pour bien d'autres nations.
• 3:06
  Et donc je pense qu'on doit avoir cette capacité à se réglementer, à se gérer et à, surtout, créer des champions.
• 3:13
  Ce qui manque à l'Europe aujourd'hui, ce sont des champions.
• 3:15
  Et sur cette partie-là, je pense qu'il y a 2 choses qui sont intéressantes.
• 3:18
  La 1re, c'est qu'on a des entreprises qui ont la capacité de devenir des champions européens en France, mais pas que, mais en France notamment.
• 3:23
  Je pense à des grandes sociétés de service, je pense à des télécoms, je pense à de l'industrie, je pense à ça, à l'industrial, à l'IA, etc.
• 3:30
  Et de l'autre côté, on a un...
• 3:33
  Une concentration, un florilège, une explosion d'entreprises qui ont des bons technos, qui avancent très facilement, mais qui, pour avoir accès à des marchés, selon moi, doivent s'associer et doivent travailler dans un écosystème global, notamment avec ces futures grandes
• 3:47
  structures.
• 3:48
  En travaillant avec ça, ça doit permettre deux choses autour de la cyber.
• 3:51
  La première, c'est de prendre ces très grandes entreprises, enfin ces grandes entreprises pour en faire de très grandes entreprises des champions européens, et demain, et de mains mondiaux, exactement, sur le sujet et d'accompagner des start-up, des entreprises moyennes
• 4:07
  qui, elles, ont des technos et qui, elles, ont la capacité de le faire pour faire monter le niveau global de la taille des entreprises et des business que l'on compte.
• 4:15
  Et derrière, ça doit finir sur des business qui sont européens parce que si les Américains sont aussi gourmands, de l'Europe, c'est parce que le marché est gros, c'est parce que le marché a des fonds et c'est parce qu'il
• 4:25
  est lucratif.
• 4:27
  Si ça ne l'était pas, on ne serait pas aussi gourmand sur le sujet.
• 4:30
  Vous parlez de champions, de l'absence de champions européens.
• 4:34
  On a raté à peu près toute l'évolution technologique, depuis l'informatique grand public à l'Internet, en passant par l'intelligence artificielle.
• 4:46
  Qu'est-ce qui fait qu'en cybersécurité, ça va changer et que l'Europe va se remettre au diapason de la Chine et des États-Unis?
• 4:56
  D'abord, je pense que c'est une excellente question parce que si on ne retient pas les erreurs du passé, on a de fortes chances de ne pas changer ce qu'on serait capable de faire demain ni l'avenir.
• 5:06
  Ma première réponse, c'est que les marchés sont totalement différents.
• 5:09
  D'un côté, on a une notion de marché de réseau avec les CAFAM notamment.
• 5:14
  On a une notion de marché de réseau et on a aussi une notion de maturité de marché.
• 5:21
  Et quand on regarde au niveau européen, les plus de 20 pays aujourd'hui qui sont dans l'Union européenne, la maturité était profondément différente suivant les pays.
• 5:33
  Ça, c'était le premier point.
• 5:34
  Ce qui est moins vrai aujourd'hui, beaucoup moins vrai aujourd'hui.
• 5:37
  Le deuxième point, c'était l'éclatement des réglementations.
• 5:41
  Vous étiez aux Etats-Unis.
• 5:42
  Vous aviez devant vous plus d'une cinquantaine d'États dans lesquels vous étiez capables de faire nos business à peu près de la même manière, à quelques très rares exceptions, globalement de la même manière.
• 5:51
  La réglementation européenne était clairement un frein.
• 5:53
  Cela l'est beaucoup moins aujourd'hui.
• 5:55
  Et en tous les cas, on a quelque chose de beaucoup plus ouvert à.
• 5:56
  Vous de vous expliquer.
• 5:58
  Le troisième point, c'était les marchés publics et la commande publique, notamment américaine, et chinoise de la même manière, bien évidemment.
• 6:06
  Et sur cette partie-là, aujourd'hui, on voit notamment avec certains marchés de 10 milliards puis de 20 milliards sur l'IA, qu'on est en train de changer un certain nombre de choses.
• 6:15
  Et puis, il faut ne pas oublier, je pense qu'aujourd'hui, on a encore 80% de solutions américaines.
• 6:20
  Donc, on a cette habitude presque innée de choisir une solution américaine pour faire quelque chose qu'on est capable de faire en Europe.
• 6:29
  La cybersécurité doit le changer, et elle doit le changer notamment parce que derrière, c'est sa propre autonomie.
• 6:34
  Et elle doit le changer, notamment parce que c'est simple.
• 6:37
  Je pense que ça se fait très bien.
• 6:38
  La deuxième raison, c'est aussi la volonté qu'on a à un moment de rester autonome dans ce que l'on va faire demain, et notamment en matière de cybersécurité.
• 6:46
  Nos plus grands amis sont aussi nos plus grands concurrents.
• 6:51
  Quand vous êtes sur un réseau social comme Instagram, Facebook ou autre, ce n'est pas très grave pour une entreprise.
• 6:59
  Quand vous mettez 100% de vos données critiques ou sensibles chez un acteur américain et qu'il a la capacité d'aller chercher vos données, regarder, scanner vos données, là, pour le coup, ça devient considérablement différent.
• 7:10
  Il y a plein d'exemples sur le sujet.
• 7:13
  Donc, encore une fois, on est assez performant, je dirais, aujourd'hui pour être capable de le faire.
• 7:20
  Et le dernier point que moi, je relève, c'est que si aujourd'hui, on veut changer cette partie-là, Il faudrait que lorsqu'on arrive à une short list de deux entreprises, une entreprise américaine, par exemple, ou chinoise, ou non européenne, ou
• 7:33
  une entreprise française ou une entreprise européenne, le choix s'arrête là.
• 7:37
  On est arrivé en shortlist, on a les mêmes, on a la capacité de répondre parfaitement aux besoins de l'entreprise.
• 7:41
  Préférence européenne.
• 7:43
  Exactement.
• 7:43
  On doit le prendre.
• 7:44
  Parce que c'est ce qui va donner ensuite l'autonomie à cette structure.
• 7:48
  Et puis le dernier point, c'est démultiplier aujourd'hui les compétences et la capacité de choix.
• 7:54
  Avoir une cybersécurité forte, c'est avoir la possibilité de choisir.
• 8:00
  Aujourd'hui, sur plein de domaines, vous n'avez plus la possibilité de choisir parce que 80% des solutions sont américaines.
• 8:06
  Donc voilà, c'est en tous les cas, oui, vous avez raison dans ce que vous dites, on a raté beaucoup de révolutions technologiques et industrielles.
• 8:14
  Pour autant, on a tout, on a, je le répète, on a les industries, on a les compétences, on a le savoir, on a la réglementation qui aide.
• 8:20
  Et on a le marché, bien évidemment, on a un marché qui est considérable.
• 8:25
  Et dans cette compétition qui s'annonce passionnante, quels sont les atouts de Board of Cyber?
• 8:33
  Je pense que quand on regarde aujourd'hui, et je prends notamment l'exercice que l'on a fait il y a quelques semaines de ça sur le panorama de l'ISGLE, on a pris le parti de dire qu'il faut que l'on informe
• 8:49
  au maximum et que l'on regarde ce qui nous semble être aujourd'hui l'exposition externe de plus de 20 000 entreprises, 21 700 pour être précis entreprises.
• 8:59
  Quand on a pris cette décision-là, on l'a prise pour permettre aujourd'hui aux entreprises de prendre conscience de cette partie-là, et c'est nous qui le faisons totalement gratuitement.
• 9:08
  Et on a relevé 2,8 millions d'actifs exposés aujourd'hui.
• 9:14
  En fait, qu'est-ce qu'on fait?
• 9:15
  On se place dans la situation aujourd'hui d'un hacker ou d'une personne malveillante venant de l'extérieur.
• 9:21
  Il n'y a rien d'intrusif dans nos solutions, on ne dépose rien sur les infrastructures du bien, etc.
• 9:25
  On regarde l'externe sur cette première partie.
• 9:27
  On se place dans leur solution.
• 9:29
  Eux ne cherchent pas aujourd'hui une donnée particulière où ils ne regardent pas le plan d'assurance-sécurité ou la PSSI d'une entreprise avant de monter le daké.
• 9:39
  Ils regardent quelles sont les portes ouvertes, ou qu'ils ne vont pas les regarder.
• 9:43
  Est-ce que j'ai bien répondu à la norme ICY?
• 9:45
  Non, pas du tout.
• 9:46
  Est-ce que j'ai une porte ouverte?
• 9:48
  Est-ce que je peux l'ouvrir?
• 9:49
  Est-ce que je peux l'utiliser?
• 9:50
  Et d'ailleurs, on voit une chose intéressante en ce moment, c'est qu'avant, il y avait beaucoup de droits de salaire, il y en a toujours énormément, mais il y a de plus en plus aujourd'hui de collecte d'informations, d'extraction d'informations
• 9:59
  de data pour les cumuler avec d'autres pour ensuite faire des super attaques.
• 10:02
  Et pour ensuite avoir une empreinte extrêmement forte, une empreinte de dinosaures lorsqu'ils vont arriver sur un autre.
• 10:09
  Et ça, il faut être très méfiant.
• 10:11
  Et donc, il faut être très méfiant à ce qui rentre.
• 10:12
  Et parfois, on n'est même pas au courant de qui est rentré ni de l'extraction qu'il y a en cours.
• 10:17
  Donc, ça, c'est l'autre point qui est intéressant chez BorderFighter, c'est que Nous, on a décidé, dans l'approche de notre dernière solution, que désormais, lorsqu'un partenaire aurait répondu à un questionnaire de sécurité, il faut savoir qu'il en remplit des
• 10:31
  centaines par an, et qu'il en envoie lui-même parfois des centaines par an, en fait, il recommence en permanence le même exercice, et puis il recommence l'année suivante, etc.
• 10:41
  Nous, on s'est dit que ce n'était pas la bonne façon de faire.
• 10:45
  Le questionnaire est mort.
• 10:47
  On a fait une prise de parole hier sur le sujet.
• 10:49
  On pense que le questionnaire est mort parce qu'aujourd'hui, en prenant un référentiel et en utilisant uniquement les documents qui sont renvoyés lorsque vous répondez à un questionnaire de sécurité, c'est-à-dire, je reprends, vous le prenez en sécurité, etc.
• 11:01
  On est capable aujourd'hui avec une IA, et demain, ça peut être sur n'importe quelle IA, y compris des IA entre prémices chez les clients.
• 11:11
  On a la possibilité d'avoir une évaluation extrêmement forte par rapport au référentiel SCF, qui est un référentiel européen, 1 500 points de contrôle dont on en a extrait 300 pour se concentrer sur Doran IS-2, mais demain il pourrait
• 11:24
  y en avoir 500, 800, 1000, peu importe, ce serait la même chose.
• 11:28
  Et donc, une fois que vous avez déposé vos documents, vous ne répondez plus à des questionnaires.
• 11:34
  Vous dites simplement à votre client qui vient vous demander votre note, allez sur Board Receiver et vous verrez ma note, elle est là.
• 11:39
  Et pour le fournisseur, c'est totalement gratuit.
• 11:42
  Le fait de déposer ses documents pour être évalué, c'est totalement gratuit.
• 11:46
  Et c'est là aussi où on est en train de changer quelque chose parce que notre ADN, c'est quand même de faire monter le niveau global de la sécurité de l'écosystème français et européen, et puis mondiaux par la suite.
• 11:55
  Mais en tout cas, il faut faire monter cet écosystème.
• 11:57
  Et donc c'est tout l'intérêt de ce qu'on a aujourd'hui, ce qui permet aujourd'hui de ne plus répondre à des questionnaires, de ne plus passer des heures, des semaines et des années en cumulé à décluer des questionnaires.
• 12:07
  On a les réponses instantanément et on se concentre sur la vraie mission aujourd'hui des équipes sécurité, de quelle manière je vais fermer un certain nombre de portes, je vais mettre à jour un certain nombre de software, je vais
• 12:18
  m'assurer que mes certificats sont à jour, etc.
• 12:20
  Donc nous, on va donner tous ces éléments-là.
• 12:23
  Dans cette menace-là, comment est-ce qu'on réagit?
• 12:28
  Comment est-ce qu on s'adapte face à la professionnalisation et l'industrialisation des hackers?
• 12:36
  Je pense que c'est une question qu'on nous pose quotidiennement, pas forcément exactement comme ça, mais en tous les cas.
• 12:42
  Qu'est-ce que je dois faire pour me prévenir au mieux?
• 12:45
  En général, je fais deux réponses.
• 12:47
  La première, je dis que la cyber est une course au lion.
• 12:50
  On ne pourra jamais courir plus vite qu'un lion.
• 12:52
  C'est une certitude.
• 12:53
  Il ne faut pas être celui qui court le moins vite.
• 12:55
  Ça, c'est la première des choses.
• 12:57
  Donc, il ne faut pas être celui qui court le moins vite.
• 13:03
  La deuxième chose que l'on remarque, notamment dans le panorama NIS2 que l'on a fait et qui est toujours disponible, c'est qu'on s'aperçoit que toutes les professions qui étaient réglementés, loi de programmation militaire, DERA et d'autres, donc OIV, OSCE,
• 13:17
  etc., sont beaucoup, beaucoup, beaucoup mieux armés et beaucoup plus en avance, finalement, que les entreprises qui n'ont jamais été soumises, notamment à cette réglementation.
• 13:26
  Et si on regarde dans cette réglementation les éditeurs, où les petits éditeurs ont aujourd'hui une solution, en général, ce sont ceux qui sont le plus mal notés à ce stade, contre lesquels on m'a dit, ou ceux qui laissent
• 13:37
  le plus de portes ouvertes.
• 13:38
  Et donc, Je pense que c'est notamment à travers une partie de réglementation et à travers...
• 13:46
  C'est l'heure de se restaurer.
• 13:47
  Rendez-vous au niveau de bord déjeuner.
• 13:50
  Bon appétit à tous et à toutes.
• 13:53
  Du coup, je pense que c'est cette notion de réglementation avec la notion de partage qui doit faire quelque chose.
• 14:01
  Parce que ce que je pense qui va véritablement changer la cyber domaine, c'est lorsque l'entreprise A aura identifié qu'une entreprise A'Prime avec laquelle elle travaille, qui est son fournisseur, a un certain nombre de problématiques et qu'elle l'aidera parce
• 14:12
  qu'elle a déjà fait ce travail-là et qu'elle saura que si elle est le maillon le plus fort aujourd'hui, que si elle est le maillon le plus fort aujourd'hui, elle est pour autant dépendante du maillon le plus faible.
• 14:23
  Et donc, à partir du moment où elle connaîtra parfaitement son secteur d'exploitation, parfaitement les risques de ses fournisseurs qu'ils ont, là, elle pourra les aider.
• 14:30
  Et je pense même que derrière, il peut y avoir, dans un certain nombre de secteurs, des regroupements, je pense au nucléaire, je pense à la défense, je pense à l'énergie, je pense à beaucoup de secteurs de ce type-là,
• 14:39
  à l'aérospatial, etc., qui, eux, l'ont déjà fait.
• 14:41
  Se regrouper pour aider l'intégralité des acteurs de l'écosystème pour progresser ensemble et donc être meilleurs.
• 14:49
  Et quand une grande entreprise a un maillon excessivement robuste qui est le sien, mais qu'elle dépend d'acteurs qui ont des maillons encore plus faibles, elle doit faire quelque chose collectivement.
• 15:00
  Quels sont les enseignements du panorama NIS2?
• 15:05
  La première chose, juste quelques chiffres, 21 700 entreprises ont été sondées uniquement en surface externe, visibilité de ce que verra un attaquant s'il se mettait dans la même posture que nous.
• 15:17
  Deuxièmement, on a vu 2,8 millions d'actifs exposés à l'extérieur.
• 15:25
  Trois grands enseignements.
• 15:27
  Le premier, c'est que le niveau global est moyen et qu'il est meilleur que ce que certains pensaient, moins bon que ce que d'autres pensaient, mais en tous les cas, il était un peu meilleur que ce que certains pensaient.
• 15:37
  Ensuite, le deuxième enseignement, c'est qu'il y a des écarts abyssaux entre secteurs d'activité.
• 15:42
  Vous comprenez, tous les secteurs d'activité qui ont été réglementés par la loi de programmation militaire, par Dora, sont largement en avance sur cette partie-là et ont déjà un certain nombre de mécanismes qui permettent automatiquement de progresser sur cette
• 15:58
  partie-là, et notamment dans le temps.
• 16:01
  Le troisième enseignement, c'est que dans ces écarts abyssaux, il y a l'industrie ou en tous les cas le pôle qu'on a défini comme tel, qui est plutôt le pôle technologique, télécom, etc., qui est le pôle transverse, qui est
• 16:15
  le plus en retard aujourd'hui.
• 16:17
  Et donc, étant donné que celui-ci est commun à l'intégralité des autres secteurs d'activité, il est indispensable de faire quelque chose dessus et donc, du coup, de les aider sur cette partie-là.
• 16:27
  Et donc, ce qu'on s'aperçoit, c'est que, un, tout est possible parce qu'aujourd'hui, on a la capacité d'identifier un certain nombre de choses et donc, on peut le faire.
• 16:34
  Et trois, quand on le fait avec un écosystème ou quand on le fait avec ses pairs, en tous les cas, on bénéficie de l'expertise de certains sur les sujets qu'on va rencontrer.
• 16:45
  Et après, on descend par taille d'entreprise, on descend par secteur d'activité, on descend par position géographique.
• 16:49
  Donc après, il y a plein d'autres choses qu'on peut voir là-dedans.
• 16:52
  Mais c'est ça qu'on retient, c'est qu'on pourrait déjà augmenter considérablement cette note-là avec un certain nombre de crises de conscience.
• 17:00
  Pour terminer, Sylvain, on va faire un petit peu de prospectives, même si ça n'en est pas tellement, je crois, puisque les entreprises se préparent.
• 17:09
  Quand l'intelligence artificielle qui va continuer à se développer Et quand le quantique sera véritablement là, qu'est-ce que ça va changer dans la cyber-sécurité?
• 17:21
  Je pense qu'on a la chance, parce que c'est une vraie chance, d'être à un moment où ce qu'on est en train de vivre aujourd'hui sera totalement différent dans 4 ou 5 ans.
• 17:33
  Quand vous pensez qu'il y a déjà des entreprises aux Etats-Unis qui sont montées, situées, équilibrées, sans une seule personne humaine à l'intérieur, uniquement avec des agents, l'agent du CEO qui va créer son board, qui va créer sa ligne
• 17:46
  de management, qui va créer ses équipes, ses développeurs, son marketing, ses ventes.
• 17:49
  Sans qu'il n'y ait qu'une seule personne à l'intérieur, vous dites que le changement est déjà bien plus loin que celui que vous pensiez qu'il serait demain.
• 17:57
  Donc il faut être très humble avec ça.
• 18:00
  La deuxième chose, c'est que les entreprises ont un besoin colossal d'informations et de connaissances pour un but essentiel qui est la décision, la décision notamment en termes de cybersécurité, a été trop peu souvent porté ou prise par un
• 18:25
  conseil d'administration, par un conseil de surveillance, par un COMEX, etc.
• 18:28
  Aujourd'hui, c'est de leur responsabilité de le faire et c'est de leur responsabilité de prévoir ce qui va se passer et voir de quelle manière il va se passer.
• 18:37
  Donc je ne pense pas qu'on soit en retard par rapport à ça.
• 18:39
  Je pense juste que nous n'avons pas encore commencé à pédaler à la bonne vitesse pour être capables de prendre ce train, ou en tous les cas de prendre le peloton qui est devant nous.
• 18:48
  Le dernier point que je rajouterais sur ça, c'est que que ce soit en termes de réglementation, que ce soit en termes de type d'attaque, que ce soit en termes de type de défense, je pense qu'on est encore au
• 19:02
  début d'un certain nombre de choses.
• 19:03
  Mais on ne fera jamais rien si on n'a pas l'information.
• 19:06
  Et donc la chose la plus importante aujourd'hui, il faut l'information sur notamment ma surface externe et ma surface interne, etc.
• 19:13
  Il faut l'information pour mes équipes aujourd'hui, qui doivent mettre à jour, qui doivent suivre, qui doivent maintenir.
• 19:18
  Il faut l''information pour ceux qui doivent choisir les technologies de demain.
• 19:21
  Et enfin, il faut de l'information pour la direction, pour qu'elle soit capable de s'engager aujourd'hui sur quelque chose.
• 19:28
  Voilà en quelques minutes ce que vous pouvez dire sur ce sujet.
• 19:30
  Merci Fabrice, c'était un vrai plaisir.
• 19:34
  Partagez.