Summit 2024 · Vers une souveraineté numérique européenne ? · 28 mai 2024 · Flagey, Bruxelles
Trois spécialistes, de CyberWayFinder, d’Expleo et de l’Union wallonne des entreprises, ont détaillé à Flagey, en mai 2024, comment les petites et moyennes entreprises (PME) peuvent renforcer leur cybersécurité. Leurs pistes : regarder toute la chaîne des fournisseurs, former les équipes et faire de la sécurité une culture.
L’essentiel
- Pour Sylvie Angeli, même hors du champ de NIS 2, toute PME aura besoin d’un minimum d’hygiène cyber
- Olivier De Visscher juge essentiel de gérer les risques vraiment critiques, pas de tout couvrir
- Selon Lisa Lombardi, trop de dirigeants se croient trop petits pour être pris dans les filets des cybercriminels
Dans la salle, peu de personnes ont dit travailler dans une organisation dotée d’un programme de conformité en cybersécurité. La modératrice, Isabelle Roccia, directrice générale Europe de l’IAPP, venait de leur poser la question.
Une industrie du crime
Lisa Lombardi, conseillère à l’Union wallonne des entreprises, a planté le décor avec une série de chiffres. Son diagnostic : « La cybercriminalité, à l’heure actuelle, c’est un écosystème industriel organisé et redoutablement efficace. » Si la cybercriminalité était un pays, ce serait selon elle la troisième économie du monde.
D’après ses chiffres, 92 % des cyberattaques commenceraient par un phishing. Les entreprises en Belgique en subiraient 650 par semaine. Dans 38 % des cas, l’attaque mettrait à l’arrêt l’activité de l’entreprise. Une perte sur cinq dépasserait 100 000 euros. Sa conclusion : mieux vaut investir avant que réparer après.
Petites entreprises, longues chaînes
Sylvie Angeli, de CyberWayFinder, a posé le cadre : la directive européenne NIS 2 vise normalement les entreprises de plus de 50 personnes. Mais les grandes organisations visées par NIS 2, celles qui fournissent des services essentiels, contrôleront de plus en plus leurs fournisseurs. Toutes les PME auront donc besoin d’au moins un minimum d’hygiène cyber. Elle a donné un chiffre, sans étude à l’appui : « En adoptant simplement cinq mesures de best practice […], on peut déjà contrer jusqu’à 98 % des attaques cyber. »
Olivier De Visscher, d’Expleo, a mis l’accent sur les fournisseurs et les sous-traitants. Les petites entreprises hébergent ou développent rarement tous leurs systèmes elles-mêmes. Leur plan cyber doit donc s’étendre à leurs prestataires. Cela veut dire cartographier les systèmes et les flux de données, savoir qui assure la maintenance, et signer des contrats avec des clauses cyber claires et un partage des responsabilités. Il faut aussi vérifier les propres fournisseurs du fournisseur, la « fourth party ».
Autre défi, selon Lisa Lombardi : la taille des entreprises. En Wallonie, l’entreprise moyenne compterait 9,2 personnes. La cybersécurité relève donc souvent du dirigeant, déjà pris par bien d’autres choix. Trop de dirigeants pensent encore être un trop petit poisson pour être pris, alors que les cybercriminels lancent leurs filets sur des entreprises de toutes tailles.
Avec NIS 2, a-t-elle ajouté, les dirigeants ou les conseils d’administration pourraient être tenus directement responsables d’une négligence cyber. Les effets se feraient sentir en cascade jusqu’aux sous-traitants que la directive ne vise pas directement.
Où trouver de l’aide
En Belgique, Olivier De Visscher a invité les entreprises à utiliser le budget du SPF Economie, le service public fédéral, qui cofinance une partie de leurs investissements cyber. L’essentiel, à ses yeux, est de comprendre ce qui est vraiment critique et de gérer ces risques, pas de tout couvrir, avec un plan étalé sur plusieurs années. Il a aussi plaidé pour la sensibilisation du personnel et de la direction.
Sylvie Angeli a appelé à une culture de la sécurité. Elle a cité l’exemple de CyberWayFinder, lauréat d’un programme du SPF Economie sur la cyberrésilience des PME. L’entreprise donnait, a-t-elle précisé, des ateliers gratuits pour la plupart des entreprises belges, et un accompagnement individuel pour un nombre limité d’entre elles. Parmi cinq pratiques de base, elle a nommé les deux premières : l’authentification à deux facteurs pour les applications essentielles, et la mise à jour de ces applications.
Lisa Lombardi a demandé aux chefs d’entreprise de montrer l’exemple : les membres du conseil d’administration eux-mêmes peuvent être un point faible. Elle a recommandé des tests gratuits en ligne, qui envoient de faux e-mails de phishing au personnel, pour mesurer le problème et cibler la formation.
Encore faut-il s’en saisir. Les aides publiques sont efficaces mais complètement sous-utilisées, a jugé Lisa Lombardi. En Wallonie, selon elle, un programme public couvrait 75 % du coût de l’intervention d’un expert en cybersécurité.
La troisième édition du French Tech Sovereignty Summit Brussels a lieu le 28 janvier 2027 chez BNP Paribas Fortis, à Bruxelles.