- il y a 28 minutes
Mardi 15 septembre, Frédéric Simottel a reçu Gabriel Dabi-Schwebel, fondateur de DécisionIA, Bruno Marie-Rose, fondateur et président de Sprint Tech Consulting, Guillaume Vassault-Houlière, PDG fondateur de YesWeHack, Pascal Le Digol, directeur général France de WatchGuard Technologies, Benoît Grunenwald, expert en cybersécurité chez ESET, ainsi qu'Adrien Merveille, directeur technique Check Point France, dans l'émission Tech&Co Business sur BFM Business. Retrouvez l'émission le samedi et réécoutez la en podcast.
Catégorie
📺
TVTranscription
00:05BFM Business présente Tech & Co-Business, le magazine de l'accélération digitale, Frédéric Simotel.
00:13Bonjour et bienvenue dans Tech & Co-Business. Au sommaire, aujourd'hui, nous allons tiens à parler des ligues, des
00:17associations, des clubs de sport qui, on a entendu beaucoup d'affaires de piratage,
00:21mais ce sont des clubs aussi, des associations qui ont très peu de budget. Comment faire pour justement qu'ils
00:27puissent profiter de l'IA pour changer un peu leur modèle économique, changer leur organisation ?
00:31On va en parler avec le patron de Décision IA et puis avec une personne que vous connaissez certainement pour
00:36les plus anciens, Bruno Marie-Rose, l'ancien athlète qui est aussi ingénieur, qui était le DSI des JO 2024.
00:41Il y a une conseille, voilà, tout ce dispositif. On parlera cybersécurité aussi avec le patron de YesWeHack, c'est
00:48Hacker Ethic, qui a lancé une tribune.
00:50Moi, président, qu'est-ce que je ferais pour hacker l'État ? Et justement, il donne tout un ensemble
00:54de propositions pour essayer de pallier à tout ce qui est arrivé cet été à la NTS, à la DGFIP.
00:59Et ce sont des sujets sur lesquels on reviendra ensuite dans la dernière demi-heure de l'émission avec nos
01:05débriefeurs, la cybersécurité, voilà, tout ce qui s'est passé ces dernières heures.
01:08On va débriefer tout cela. Allez, c'est parti. Pendant une heure, Tech & Co-Business, restez avec nous sur
01:13BFM Business.
01:20Les invités, ils sont de comment les ligues, les clubs, les fédérations sportives doivent réinventer leur modèle avec l'intelligence
01:28artificielle.
01:28On va en parler avec Gabriel Dabishwebel, qui est fondateur de Décision IA. Bonjour Gabriel.
01:33Bonjour.
01:33Et vous êtes aussi l'auteur d'un ouvrage, c'est ça, qui s'appelle Consultant Puissancia, aux éditions Vuibert.
01:40Et qui s'adresse donc aux consultants pour bien utiliser l'IA dans leur pratique.
01:43Et on en a bien besoin aujourd'hui, on va en parler dans un instant.
01:46Et puis avec nous également Bruno-Marie-Rose. Bonjour Bruno.
01:48Bonjour.
01:49Merci d'être avec nous. Donc vous êtes fondateur et président de Sprint Technologies,
01:54directeur de la technologie des systèmes d'information des Jeux olympiques de Paris 2024.
01:57Et évidemment, pour quelques plus anciens, on vous connaît évidemment, médaillé olympique duré les 4 fois 100 mètres à Séoul
02:03en 88.
02:04Ancien recordman du monde du 4 fois 100 mètres, du 200 mètres en salle, champion d'Europe.
02:08Ingénieur de formation, vous avez mené vraiment les deux carrières en parallèle.
02:12Et puis vous avez présidé aussi la ligne nationale d'athlétisme à une époque.
02:16Et puis avant, vous dirigez vers toute cette technologie en mêlant évidemment votre passion, la technologie.
02:23Il y a beaucoup de choses à faire dans ce domaine.
02:26Tiens, si on vous reçoit aujourd'hui, c'est parce que vous animez le 17 septembre, c'est bien ça,
02:31une masterclass à destination des ligues, des clubs, des fédérations sportives
02:36pour réinventer son modèle économique à l'heure de l'IA.
02:38On va revenir dessus dans un instant parce qu'il y a un besoin de donner un peu de dynamisme
02:45à tout ça
02:45et pourquoi pas avec de l'IA.
02:47Mais d'abord, tiens, je voulais juste avoir votre avis, commençant par Gabriel.
02:51Tout ce qui se passe dans l'IA depuis ce week-end, où ça y est, les Américains disent
02:55« Ouh là là, ça va trop vite, il faut qu'on ralentisse ».
02:57Vous, en tant que consultant, vous regardez ça comment ?
03:00Avec intérêt, mais aussi en se projetant dans un monde où effectivement,
03:04c'est une technologie extrêmement puissante, mais comme l'était avant le nucléaire,
03:09comme le changement climatique aussi nous mène des risques.
03:12Donc, il y a des probabilités.
03:14Ces probabilités existent et le vrai sujet, c'est qu'est-ce qu'on fait de tout ça ?
03:18Comment on utilise cette technologie pour faire le bien
03:20et pas qu'elle se retrouve à être utilisée contre nous ou pour faire le mal ?
03:25Donc, en tant que génération qui voit l'essor de cette technologie,
03:29je crois vraiment qu'on a la responsabilité de porter une utilisation vertueuse
03:35au service de l'humanité de cette technologie.
03:36C'est ce qu'on essaye de faire avec Bruno.
03:38Et justement, j'imagine que dans cette initiative, on va faire le lien avec les deux,
03:41il va falloir aussi rassurer tous ceux que vous allez voir.
03:46Je parlais de ces associations, ces clubs, ces ligues, pour les rassurer aussi autour de l'IA.
03:50Parce qu'évidemment, ils savent qu'il faut utiliser l'IA, mais à entendre tout ça,
03:53ça peut affoler, ça peut en affoler certains.
03:56Oui, ça pourrait affoler, mais en fait, ça va directement dans la lignée
03:59de ce qu'on va expliquer pendant la masterclass et le bootcamp.
04:03Par exemple, c'est d'avoir une utilisation rationnelle, optimisée de l'IA.
04:09Effectivement, si on donne les clés à l'IA, ça pourrait amener un certain nombre de peurs.
04:14Mais ce qu'on va expliquer, c'est que vous gardez les clés.
04:17C'est comment utiliser l'IA tout en gardant les clés.
04:20Et je pense que justement, à l'heure des débats sur le devenir de l'IA,
04:25expliquer aux gens que c'est entre les mains, c'est vraiment ce qu'on va essayer de faire.
04:28Alors justement, je regardais en France, c'est 17 millions de licenciés.
04:3258% des Français déclarent une activité régulière, une activité sportive.
04:37Mais lorsqu'on s'intéresse de près, alors des petits budgets, 63% des associations, des clubs,
04:42fonctionnent avec moins de 10 000 euros.
04:44Et vous, votre but, c'est de dire, grâce à l'IA, vous allez pouvoir déployer des choses.
04:50C'est ça l'idée de départ ?
04:51Oui, c'est ça l'idée.
04:52Alors, pour compléter le constat de départ.
04:54Elle est venue comment ?
04:56Eh bien, tout simplement, moi, j'ai vécu l'ère de Paris 2024.
05:00On a beaucoup parlé de l'héritage de Paris 2024.
05:04Ça a beaucoup concerné les équipements.
05:06Et puis, on s'est aperçu, quelque part, on voit tous qu'il y a des difficultés de subvention.
05:11On s'aperçoit que le sport professionnel drive, je dirais, 80% de la richesse sportive.
05:17Oui, c'est ça.
05:18Mais au quotidien...
05:19Et en plus, quelques sports.
05:20On a parlé du foot.
05:21Mais au quotidien, ce sont les clubs sportifs qui font le tissu du sport, qui se battent pour chercher des
05:27subventions, qui se battent pour chercher des partenaires.
05:30On sait tous que le modèle subvention, partenariat classique est en train de s'essouffler.
05:35Et donc, il faut trouver des nouvelles idées, réinventer le modèle.
05:38Et donc, c'est pour ça qu'on a voulu l'adapter dans le monde du sport.
05:40Alors, en quoi l'IA peut aider très concrètement, Gabriel Dabich-Webel ?
05:48Qu'est-ce qu'on peut proposer à ces clubs, ces associations ?
05:51Bien sûr.
05:51Juste pour la petite histoire, Bruno a suivi le bootcamp Consultant Puissance IA.
05:56C'est comme ça qu'on fait rencontrer.
05:56Ah oui, c'est comme ça qu'il a...
05:58Il a suivi cette formation.
06:00On a appris à se connaître.
06:01Et c'est ce qui nous a amenés à vouloir faire un bootcamp et une masterclass adaptée à cette cible
06:08particulière que Bruno connaît très bien.
06:11Et avec, effectivement, la possibilité pour un président d'association d'utiliser l'IA pour l'aider à construire un
06:18dossier de subvention,
06:19que ce soit à la fois la partie texte, mais aussi potentiellement la partie chiffrée,
06:24à proposer des meilleurs sponsoring aux sponsors et construire des dossiers là-dessus.
06:31Un président d'association n'est pas un expert d'Excel, n'est pas nécessairement un expert des dossiers de
06:37sponsoring.
06:38L'IA, bien utilisé, quand on lui donne les clés, peut être l'expert au service de ce président d
06:43'association.
06:44Donc ça va se présenter comment ?
06:45Pour aider à construire ces dossiers.
06:46Gabriel, ça va te présenter des fiches, par exemple, comment monter un dossier de sponsoring,
06:50et on va avoir la fiche, quel type de prompt il faut faire, c'est ça l'idée ?
06:54Nous, ce qu'on aime faire, c'est rendre les gens autonomes et compétents avec l'IA.
06:58Donc apprendre à bien parler à l'IA, c'est une vraie question de maillotique.
07:03On parle à une IA comme on parle à un collaborateur quand on veut lui déléguer quelque chose,
07:08comment on lui cadre les choses pour l'expliquer, etc.
07:12Et c'est très simple parce que l'IA n'est pas quelque chose de technique,
07:15c'est un outil auquel on parle, où on écrit en bon français comme on parle à sa femme,
07:20ou à son collègue, etc.
07:22Donc on essaye, et c'est ce qu'on fait dans les bootcamps consultants,
07:25c'est ce qu'on va faire dans le bootcamp sport,
07:27on a un mentor IA qui s'intègre à l'IA de l'utilisateur
07:30et qui le guide pour apprendre à bien parler à l'IA.
07:34Et donc, à un moment donné, il y a un exercice qui sera construire son dossier de financement.
07:39Mais le principe, c'est qu'à l'issue de cet accompagnement,
07:43les gens soient autonomes et s'ils ont besoin d'un dossier de financement différent,
07:47spécifique pour une autre organisation,
07:49où s'ils ont un autre besoin, ils sont en capacité de le faire.
07:52Donc on n'est pas du tout sur une bibliothèque de prompt,
07:54on est vraiment sur l'autonomisation des présidents de clubs,
07:59des membres du bootcamp pour travailler avec ce nouvel outil.
08:03Et Bruno, évidemment, vous, ce qui intervient là-dedans,
08:05c'est avoir connaissance à la fois de la technologie
08:07et de tout cet univers du sport,
08:09savoir comment un peu tout ça fonctionne,
08:11de la plus petite association à des plus grosses ligues
08:16qui n'ont pas forcément tous les moyens escomptés.
08:18Oui, tout à fait.
08:19Quand on voit le fonctionnement aujourd'hui du sport,
08:21avec une entité opérationnelle d'un côté,
08:24avec un bureau élu de l'autre côté, un président qui est élu,
08:28on sent qu'il y a un besoin de fluidité pour pouvoir réinventer ce modèle.
08:32Donc on a parlé du club local qui va chercher des sponsors,
08:35mais comme vous l'avez cité tout à l'heure,
08:38il y a un vrai sujet aussi pour les fédérations,
08:40d'aller conquérir l'ensemble des pratiquants non licenciés.
08:44Qu'on voit l'engouement d'un marathon, d'une épreuve cycliste.
08:49Moi, j'habite sur l'ouest de Paris,
08:52aller au bois de Boulogne le samedi-dimanche, c'est de la folie.
08:55Est-ce que ces gens-là sont au courant qu'une fédération existe
08:58et qu'il peut leur proposer des services ?
09:00Donc il y a aussi des enjeux côté, je dirais,
09:02fédération dans le mouvement sportif,
09:04d'aller proposer des nouveaux services pour aller les chercher.
09:07C'est aussi bien le club local, le responsable d'une fédération, d'une ligue,
09:13mais c'est aussi le partenaire, entreprise privée,
09:16qui dit « je veux investir dans le sport, quel est le meilleur moyen pour moi ? »
09:19Oui, pour mes collaborateurs, mes clients, mes partenaires.
09:22Exactement.
09:22Des bases de données licenciées,
09:25vos modèles vont pouvoir s'appuyer sur ces bases de données licenciées aussi ?
09:29Elles pourraient.
09:30Après, vous savez, moi j'ai été à Paris 2024,
09:33je suis très sensibilisé, je dirais, à la souveraineté
09:36et à la cybersécurité et à la confidentialité.
09:39C'est aussi ce qu'on va expliquer lors du bootcamp.
09:42Attention à ne pas mettre vos données confidentielles sur l'IA.
09:46On l'a vu, je vous interromps,
09:48on a vu les piratages de la fédération française de tir,
09:51qui derrière peuvent donner lieu à des choses un peu plus dramatiques.
09:53Donc forcément, on est très sensibles à ce sujet.
09:56Donc il y a toujours ce discernement, je dirais,
09:58de fournir l'information suffisante à l'IA
10:01pour pouvoir avoir son point de vue et décider.
10:03sans fournir de la donnée, je dirais, non maîtrisée.
10:07Le but de Gabriel, derrière, c'est de s'associer
10:09à des éditeurs de logiciels, à des professionnels,
10:12je ne sais pas, pour proposer des outils génériques,
10:16des petites choses clés en main ?
10:19Le but, vraiment, c'est que,
10:22et on l'a évoqué en introduction,
10:23ces outils sont extrêmement puissants.
10:26Aujourd'hui, ils ont des capacités de raisonnement, d'intelligence
10:30qui se rapprochent quand même de plus en plus d'humains,
10:34et en tout cas, qui viennent vraiment potentiellement nous renforcer
10:37sur notre capacité d'analyse, de synthèse,
10:40mais on ne les utilise pas bien.
10:42Ou on ne sait pas les utiliser,
10:43parce qu'on ne sait pas bien cadrer,
10:45parce qu'on ne sait pas ce qu'on peut leur demander,
10:48et comment leur demander pour avoir des résultats de qualité
10:52qui sont du niveau de ce que peut faire le meilleur consultant
10:56du meilleur cabinet au service de la Fédé de football,
10:59qui a peut-être plus de moyens que d'autres Fédé.
11:01Oui, c'est toujours ça, c'est ce que disait...
11:04Et en fait, quand on utilise bien ChatGPT,
11:09ou quand on utilise bien Claude,
11:11ou même quand on utilise bien Mistral,
11:13mais c'est vrai que j'ai une préférence pour les outils agentiques
11:15qui ont une capacité d'analyse plus complexe,
11:17d'aller regarder des documents,
11:19faire plusieurs tâches à la fois,
11:21quand on utilise bien ces outils,
11:22on a à son service un consultant
11:28des plus grands cabinets de conseil
11:31pour résoudre ce dont on a besoin,
11:33une étude de marché,
11:35une stratégie vis-à-vis des licenciés,
11:38des dossiers de financement, etc.
11:40Ça, c'est vrai dans le monde du sport,
11:41mais c'est vrai dans le monde de l'entreprise.
11:43Et notre objectif, c'est non pas de créer des nouveaux outils,
11:48mais de faire en sorte que les gens les utilisent bien
11:53et tout leur potentiel.
11:55Pour moi, j'ai vraiment cette conviction
11:56qu'aujourd'hui, ces outils d'IA agentiques
11:59sont la nouvelle bureautique.
12:01Ils viennent remplacer ce qui était notre panoplie d'outils,
12:05nos cadres, à savoir Microsoft Word, Excel, PowerPoint.
12:09Avec ce côté dialogue naturel qui est le plus évident,
12:12que le petit onglet aide où on pose la question,
12:16on essaie un peu de trouver ça.
12:17Et avec cette dimension où on leur fait faire,
12:19alors qu'avant, c'était nous qui faisions,
12:21et les premiers modèles d'IA nous aidaient à faire,
12:24là, on passe à l'étape suivante,
12:26c'est qu'on leur fait faire.
12:26Donc l'étape, 17 septembre, ce bootcamp et tout ça,
12:30et ensuite, ça va être quoi ?
12:31Comment ça va se donner par la suite ?
12:33Le 17 septembre, on va expliquer,
12:36on va faire une masterclass pour expliquer de manière plus détaillée
12:39les sujets qu'on a évoqués aujourd'hui.
12:41Et on va proposer aux participants de s'inscrire à ce bootcamp.
12:46C'est l'équivalent d'une formation sur cinq semaines,
12:50mais chacun arrive avec sa problématique en amont,
12:53et on va l'aider justement avec le cas d'usage
12:56qu'il va proposer, à finir ces cinq semaines
12:59avec un dossier qu'il pourra exploiter,
13:03améliorer tranquillement dans son coin.
13:04Et donc, c'est vraiment cet objectif d'avoir,
13:07je dirais, l'utilisation utile dès le départ de l'IA
13:10pour chaque cas d'usage.
13:12Si je veux retrouver ça, ceux qui nous écoutent,
13:14qui nous regardent, s'ils veulent retrouver les infos
13:15sur celui à venir du 17 septembre,
13:18mais sur les autres aussi ?
13:19Vous retrouvez ça sur le site décisionia.com,
13:22et il y a la masterclass SportIA qui est présente sur le site.
13:26Bon, dernière question, je m'adresse à l'athlète.
13:27Vous avez vu Bruno Marie-Rose,
13:29ces courses de robots, vous les avez vues en Chine,
13:33ils avaient fait des Jeux olympiques de robots,
13:35ça, ça vous impressionne aussi de vous dire que,
13:37de voir ces technologies, bon, il y a un côté,
13:39c'est pour montrer la technologie, mais...
13:40C'est du spectacle, il y a même un robot
13:41qui a battu le record du 7 bol sur 100 mètres.
13:44Bon, après, voilà, il faut bien s'amuser,
13:47il y a eu les jeux du cirque,
13:48maintenant il y a les jeux de la technologie,
13:49mais ça ne remplacera jamais,
13:51nous on préfère utiliser la technologie,
13:54je dirais, au service de l'amélioration globale du sport,
13:58mais remplacer les sportifs par des robots,
14:00c'est encore différent.
14:02C'était marrant, mais ça restera là.
14:03C'était une vitrine, ça restait une vitrine,
14:05en tout cas, puisque ça s'est déroulé en Chine.
14:07Merci à tous les deux.
14:08Donc Bruno Marie-Rose,
14:09fondateur et président de Spring Tech Consulting,
14:12et directeur de la technologie
14:14des SIE des Jeux Olympiques Paris 2024,
14:17et Gabriel Dabi-Schwebel,
14:19fondateur Décision IA,
14:20le livre, on le rappelle,
14:22Consultant, Puissance IA,
14:23aux éditions Viber,
14:24et donc Masterclass le 17 septembre
14:28sur décisionia.com,
14:29voilà, si on veut avoir davantage d'informations,
14:31et je pense que tous ceux qui nous écoutent,
14:33qui ont des associations, des clubs,
14:34ou des petites ligues,
14:36parce que quand on parle de ligues,
14:38on a l'impression que c'est une immense,
14:39enfin que ça peut être des grosses structures,
14:41mais pas du tout.
14:42Regardez les différents sports.
14:43Merci à tous les deux.
14:45Alors on marque une courte pause
14:45et on va parler cyber dans un instant
14:47avec notre invité suivant.
14:53Allez, notre invité,
14:55Guillaume Bassolière.
14:56Bonjour Guillaume.
14:57Bonjour Frédéric.
14:57Merci d'être avec nous,
14:58PDG et fondateur de YesWeHack,
14:59une plateforme de Buck Bounty
15:01qui référence 160 000 hackers
15:03de 150 nationalités.
15:04C'est important de dire que
15:05ce ne sont pas uniquement
15:06des Français ou des Anglo-Saxons.
15:08Plus de 600 clients aujourd'hui,
15:09plus de 1000 programmes
15:11de hacking éthique
15:13des clients répartis
15:14dans plus de 50 pays.
15:16Et là, ce pourquoi je vous ai demandé
15:18de venir aujourd'hui,
15:19c'est que vous avez écrit une tribune.
15:20Moi, président,
15:21je ferai hacker l'État.
15:23Alors racontez-nous un peu
15:24d'où ça vient
15:26et pourquoi,
15:26et qu'est-ce que vous dites
15:27dans cette tribune ?
15:28En fait, l'idée,
15:29c'est un peu le constat
15:30qu'on a vu,
15:31notamment cet été,
15:32mais je crois que
15:33mes compères suivants
15:35vont un peu en parler.
15:36Je pense que tout le monde
15:37a vu le hack
15:38de la DGFIP,
15:40le mystère...
15:40Il y a vu la NTS,
15:43les passeports,
15:44les permis de conduire,
15:45etc.
15:46Donc nous, citoyens,
15:47on a un droit
15:49qui doit s'appliquer,
15:50c'est protéger
15:51nos données.
15:52Donc un petit peu
15:53ce côté
15:54un peu révolutionnaire
15:57qui me dit
15:57qu'on a un super boutique
15:59qui est la cyber en France
16:00et notamment
16:01tout un tas d'experts.
16:01pourquoi utiliser la cyber
16:05pour faire notamment
16:09des tests
16:09plutôt pour le régulateur
16:11alors qu'il faut
16:11des tests opérationnels
16:12et éviter que nos données
16:13se fassent voler.
16:14Et de toute façon,
16:15on le voit bien
16:15que là,
16:17on réagit aux attaques,
16:19on ne les anticipe pas
16:20et aujourd'hui,
16:21je pense que,
16:21comme je dis toujours,
16:22c'est la rue
16:23qui a raison
16:23et la rue,
16:24c'est les cybercriminels
16:25et donc du coup,
16:26il faut des outils
16:27adaptés au terrain
16:28et tester en continu l'État.
16:30Donc hacker l'État,
16:3124 heures sur 24.
16:32Et on voit qu'il a fallu
16:33un coup de poing
16:33sur la table du Premier ministre
16:35pour notamment donner
16:37à l'Annecy
16:37d'autres pouvoirs
16:39avec l'initiative réactive
16:41justement
16:41pour qu'ils puissent
16:42prendre un peu la main.
16:43Parce que le but,
16:44vous dites aujourd'hui,
16:46les systèmes publics,
16:48ce n'est pas leur métier
16:49de faire de la cyber
16:50mais comme toutes les entreprises,
16:52ils doivent quand même
16:52se protéger
16:53mais il faut qu'ils connaissent
16:57leurs failles.
16:57Il faut qu'ils fassent appel
16:58notamment à des hackers éthiques
16:59et ça,
17:00ils ne le font pas suffisamment.
17:01Alors aujourd'hui,
17:02on a la chance de travailler
17:03quasiment avec tous les ministères
17:04régaliens.
17:05On va avoir 1%
17:06de la surface d'attaque
17:07mais là,
17:07ce qui est important,
17:08c'est d'avoir une gouvernance globale.
17:09Voilà,
17:09c'est une des meilleures propositions
17:10justement,
17:11c'est d'avoir une gouvernance
17:12qui permet de suivre au quotidien
17:14qu'une politique de sécurité,
17:16donc opérationnelle,
17:17et pas une sensation
17:20de sécurité,
17:21c'est-à-dire check the box
17:22parce que le régulateur
17:23m'a demandé
17:24d'être compliance,
17:25quelque chose.
17:26Mais là,
17:26aujourd'hui,
17:26d'avoir des effets opérationnels,
17:28donc d'avoir des tests
17:29en continu,
17:30de s'assurer que tout
17:31est bien mis en place
17:32et donc d'avoir une gouvernance
17:33sur l'ensemble des ministères
17:34qui va justement trouver...
17:37Mais ça,
17:37c'est pas le rôle de...
17:38Alors,
17:38pas de l'ANSI,
17:39d'accord,
17:39mais pas de l'ADINUM ?
17:41Aujourd'hui,
17:42c'est pas le rôle de l'ADINUM,
17:43clairement pas.
17:44Et on voit que,
17:45aujourd'hui,
17:46on a une surface d'attaque
17:47qui a explosé,
17:48notamment avec le Covid,
17:50tout le monde a voulu
17:50son projet numérique,
17:52etc.
17:53On croit qu'on est sécurisé
17:54alors qu'on ne l'est pas.
17:55Il y a beaucoup d'interconnexions,
17:56encore plus avec les IA.
17:58En fait,
17:58on va avoir beaucoup de données
17:59qui vont se croiser.
18:00On est sur des réseaux
18:01qui sont étanches,
18:02normalement,
18:02mais on ouvre des flux,
18:03comme dans toute vie d'entreprise.
18:05Et à un moment donné,
18:06il faut gouverner
18:07une politique au global.
18:09– Surtout,
18:10on va revenir sur chacune
18:11de ce que vous proposez,
18:14mais on le voit,
18:16que ce soit pour l'ANTS
18:17et pour l'ADG FIP,
18:19quelque part,
18:20c'est juste de l'hygiène numérique.
18:22Les choses auraient été
18:23correctement faites,
18:25ça aurait peut-être été piraté,
18:26mais de façon
18:26beaucoup plus difficile.
18:27L'ANTS s'est échangé
18:28un numéro dans l'adresse.
18:31D'ailleurs,
18:32on voit les hackers,
18:33ce ne sont pas des grosses structures,
18:34ce sont des jeunes de 18 ans
18:35un peu futés,
18:37un peu malins,
18:37mais ce n'est pas
18:39des boostés à l'IA,
18:40ce ne sont pas des surdoués,
18:41ce ne sont pas des gens
18:42qui ont des armées
18:42de développeurs avec eux.
18:46Vous dites,
18:47là, vraiment,
18:47il faut qu'on bouge davantage.
18:49– Exactement,
18:50et puis on a des systèmes
18:51d'informatique vieillissants
18:52qui ne peuvent pas être sécurisés,
18:54ni maintenus en condition
18:55de sécurité,
18:55donc peut-être les arrêter,
18:57donc avoir une bonne visibilité
18:58de sa surface d'attaque,
18:59déjà, dans un premier temps,
19:01décommissionner…
19:01– Donc, une gouvernance centralisée
19:03pour avoir une…
19:03– Exactement.
19:05– Enfin, une bonne visibilité
19:07de tout ça.
19:07– Exactement, décommissionner
19:08tout ce qui est obsolète,
19:09qu'on ne pourra jamais sécuriser.
19:11– Donc, une cartographie,
19:12un peu,
19:13dans chaque ministère,
19:13de ce dont on n'a plus besoin.
19:16On regardait aussi,
19:17souvent,
19:17on voit des gens
19:18qui sont encore…
19:19On regardait ça chez nous aussi,
19:20on a encore des gens
19:21qui sont référencés dans la base,
19:22qui sont partis depuis
19:23quelques années.
19:24Politique aussi
19:24de divulgation
19:25des vulnérabilités,
19:27ça aussi,
19:27il n'y a pas tellement
19:28de communication
19:29entre les uns et les autres.
19:30– Non, mais en fait,
19:30exactement,
19:31le problème,
19:31c'est que tout citoyen
19:32peut remonter une vulnérabilité.
19:33et ça, c'est quelque chose
19:34qui est poussé par l'OCDE,
19:36c'est comment on protège
19:37ces hackers,
19:38comment on va leur donner
19:39des canaux de communication.
19:39C'est un peu le fer de lance
19:41de YesWack depuis toujours.
19:42Et donc, du coup,
19:43aujourd'hui,
19:43on n'a pas quelque chose
19:44qui est coordonné
19:45dans l'ensemble des ministères.
19:46– D'accord.
19:46– Potentiellement,
19:47vous avez quelqu'un
19:48qui va faire son devoir de citoyen,
19:49qui va dire,
19:50il y a là une faille,
19:51je la signale,
19:51et en tout cas,
19:52j'ai un contact pour signaler.
19:53– Et puis,
19:54et l'information se répand
19:55dans les autres ministères.
19:56– Exactement,
19:57et après,
19:57on l'avait à la corriger,
19:58etc.
19:58Donc ça,
19:59c'est vraiment protéger
20:00ces hackers,
20:01utiliser des agents autonomes
20:03via IA.
20:04Maintenant,
20:04aujourd'hui,
20:04on a entre guillemets
20:05la chance.
20:06– Oui,
20:06c'est ce que vous appelez
20:06le pen-test agentique.
20:08– Exactement.
20:08– Vous lancez une plateforme,
20:09d'ailleurs,
20:09sur ce sujet-là.
20:10– Oui,
20:11on a des outils,
20:12justement…
20:13– Alors,
20:13c'est quoi un pen-test ?
20:14– Alors,
20:14du coup,
20:14un test d'intrusion,
20:15un test…
20:16Le bug bounty,
20:17c'est en continu.
20:18On va utiliser une communauté,
20:18le premier qu'il trouve,
20:19il remporte une prime
20:20en fonction de la criticité
20:22de la faille.
20:22Là,
20:22on est vraiment sur quelque chose
20:23qui est vieux
20:24comme le monde de la sécurité,
20:25qui est,
20:25on va faire,
20:26à un moment donné,
20:27un test.
20:29Originellement,
20:30on le faisait avec des humains,
20:31maintenant,
20:31on peut le faire avec des IA.
20:32Nous,
20:32on a développé
20:33notre propre agentique,
20:35c'est un de notre propre cerveau,
20:3710 ans d'expérience en offensif,
20:38on l'a mis sur du logiciel,
20:41des agents qui ont chacun un rôle,
20:42en fait,
20:43et qui sont inférés.
20:45Donc,
20:45en fait,
20:45on va utiliser une IA
20:47qui va réfléchir,
20:49mais qui va piloter ses agents
20:51en fonction de nous,
20:53comment on lui a appris,
20:54avec des gardes-fous,
20:55ne pas supprimer une base de données,
20:57et tout ça,
20:57c'est automatique.
20:58C'est-à-dire,
20:58quelque chose que vous faisiez
20:59avec des humains avant,
21:01que vous attendiez 10 jours,
21:02là,
21:03globalement,
21:03en 72 heures,
21:04vous pouvez déployer,
21:05vous avez les premiers résultats.
21:06Je voyais ce qui était intéressant aussi,
21:08vous soutenez aussi,
21:09il faut des indicateurs
21:10publics de performance,
21:11parce que c'est vrai que,
21:12ben voilà,
21:13c'est bien beau de se protéger,
21:14tout ça,
21:14mais il faut quelques chiffres clés,
21:16déjà,
21:16pour se comparer aux autres ministères,
21:18mais pour savoir
21:18quel est l'objectif à atteindre,
21:20si ça,
21:20c'est important.
21:21Oui,
21:21c'est important,
21:21comme toute direction,
21:23enfin,
21:23la direction,
21:24c'est un peu les citoyens,
21:25puisqu'on a besoin de chiffres,
21:28ben oui,
21:28on est dans une démocratie,
21:29donc je pense que la cyber
21:30ne doit pas être exempt
21:32de cette transparence,
21:34et à mon sens,
21:35je pense que c'est important
21:36d'avoir des indicateurs
21:38qui sont à l'état de l'art
21:39et qui permettent,
21:40par transparence,
21:41qui va permettre aussi
21:42de fidéliser les gens
21:44et s'intéresser
21:45et puis de démocratiser
21:46un peu la cyber,
21:47ce qui va permettre
21:48d'élever au global
21:50les ministères,
21:51les citoyens
21:51et de faire comprendre
21:52à tous
21:53via ces indicateurs.
21:55Autre proposition,
21:56Guillaume Vasoulière
21:57avec YesWeHack,
21:58c'est une reconnaissance
21:59de ces hackers éthiques,
22:00c'est-à-dire,
22:01ben voilà,
22:01ils existent,
22:02notamment vous,
22:02alors il y a d'autres entreprises,
22:04mais notamment YesWeHack,
22:05puisque vous êtes ici,
22:06160 000 hackers,
22:07autant, voilà,
22:08profiter de cette manne,
22:11de ces gens-là
22:11qui sont clairement identifiés
22:12et qui, voilà,
22:15encadrés,
22:15peuvent essayer
22:16d'aller chercher
22:16toutes ces failles.
22:17Exactement.
22:18Ce qui est important,
22:19c'est de se dire
22:19qu'on a quand même
22:20une des meilleures communautés
22:21au monde,
22:21qui est française,
22:23donc qui a des comptes
22:24chez Amélie,
22:24qui paye des impôts,
22:25etc.,
22:26qui ont la possibilité
22:27justement de tester
22:27les systèmes d'information
22:29avec des vrais comptes
22:30et donc de pouvoir
22:31rentrer au plus profond
22:32parce que c'est des utilisateurs.
22:34Donc déjà,
22:35utiliser cette communauté-là,
22:36mais plus globalement,
22:37la diversité fait la force
22:38du modèle
22:38et on a des pays
22:40comme nous,
22:41à Singapour,
22:42ce qu'on fait,
22:42on a tout le gouvernement,
22:43c'est un des pays
22:44les plus numérisés au monde,
22:45on sécurise,
22:46c'est plus gros.
22:47On peut s'inspirer
22:48de tout ça.
22:49Techniquement,
22:49c'est compliqué
22:50à mettre en place ?
22:51Tout est compliqué,
22:52mais il faut bien
22:53commencer par quelque chose
22:54et je pense que
22:57un système d'information,
22:58ça vit.
22:59Donc de toute façon,
22:59il faut paralyser les tâches
23:00et la surface d'attaque,
23:02elle sera toujours présente.
23:04Autant faire le maximum
23:05pour prioriser
23:06ce qu'on veut sécuriser,
23:07ce qui est sensible,
23:08décommissionner,
23:08les enlever peut-être
23:09et après être testé
23:11à son maximum
23:12et en plus de ça,
23:12on arrive rapidement
23:14vers les élections,
23:15on sait que les ingérences
23:16on sait qu'en moment
23:17des périodes...
23:18Ça a déjà commencé.
23:19Oui, voilà.
23:20Donc du coup,
23:20de toute façon,
23:21ce n'est pas en faisant
23:22de la compliance,
23:24des choses qu'on fait
23:25depuis toujours
23:26et qu'on check the box,
23:27ça ne marchera pas.
23:28Là, aujourd'hui,
23:28il faut passer aux actes.
23:29Vous avez déjà eu
23:30des retours un peu autour de...
23:32Écoutez,
23:33le Premier ministre
23:33a notamment cité
23:34le Bug Bounty
23:35qui est notre modèle historique
23:36et la Juntic,
23:38enfin le Pentest Paria
23:38qu'on fait.
23:39Pour l'instant,
23:40on a des discussions.
23:41Comme je le disais,
23:42c'est plutôt
23:43des initiatives individuelles
23:44qu'on fait depuis 10 ans
23:45dans certains ministères.
23:46Là, ce qu'on souhaite,
23:47c'est mettre en place
23:47une stratégie globale.
23:51Eh bien, merci.
23:52Guillaume Basso-Houlière,
23:54PDG fondateur
23:54de YesWiak.
23:55Donc,
23:56la Tide d'Atrune,
23:57c'est moi président,
23:58je ferai hacker l'État,
24:00mais le but,
24:01évidemment,
24:01c'est d'aller chercher
24:02derrière toutes les propositions
24:03que vous faites.
24:04Une gouvernance centralisée,
24:05une politique de divulgation
24:06des vulnérabilités,
24:07des programmes de Bug Bounty,
24:09le recours
24:09au Pentest agentique,
24:11reconnaissance des hackers éthiques
24:12et puis indicateur de performance.
24:15Voilà,
24:15on va suivre ça.
24:16On essaiera de se voir
24:17dans six mois
24:18pour voir si tout ça avance.
24:19Je suis à disposition
24:21des candidats de l'État
24:23pour justement
24:23mettre en place tout ça.
24:24Eh bien,
24:25merci d'avoir été avec nous.
24:25Allez,
24:26on reste sur ce sujet
24:27avec nos invités suivants.
24:28Un débrief sur l'actu cyber
24:30et elle est encore très riche
24:31cette semaine.
24:32C'est tout de suite
24:32sur BFM Business.
24:39BFM Business présente
24:40Tech & Co. Business,
24:42le magazine de l'accélération digitale.
24:45Frédéric Simotel.
24:47Allez,
24:47on est parti
24:47pour une demi-heure
24:48de décryptage
24:49de l'actualité cyber
24:50et elle est très riche.
24:51On vient de parler cyber
24:51justement à l'instant
24:52avec le patron
24:53de YesWeYak
24:54mais là,
24:54on va se projeter
24:56un peu dans l'actualité
24:56et surtout essayer
24:57de comprendre un peu
24:58comment résoudre
24:59un peu tous ces défis
25:01qui se dressent devant
25:02les entreprises
25:03avec nos trois experts
25:03Bruno Grunemwald,
25:04expert en cybersécurité
25:06chez ISET.
25:06Bonjour.
25:07Bonjour.
25:07Bruno,
25:07à tes côtés,
25:08Adrien Merveille,
25:09directeur technique
25:09chez Bonne France.
25:10Bonjour Adrien.
25:11Et puis Pascal Lediguel,
25:13DG France de WatchGuard.
25:14Merci Pascal.
25:15Bonjour d'être avec nous.
25:17On démarre,
25:17on est dans l'actualité.
25:19Alors,
25:19près de deux ans
25:19après son entrée en vigueur,
25:20le Cyber Resilient Act,
25:22le CRA,
25:23pour donner son acronyme,
25:25impose depuis vendredi,
25:27le 10 septembre,
25:29aux acteurs du numérique
25:30de notifier leur vulnérabilité.
25:32Ça veut dire les éditeurs
25:33de logiciels,
25:33ça veut dire les fabricants
25:34d'équipements numériques,
25:35ceux qui font des objets connectés,
25:37ça peut aller du jouer
25:37à des choses beaucoup plus sérieuses.
25:40Alors,
25:40il y a juste le domaine automobile,
25:42le domaine aéros,
25:43le domaine des dispositifs médicaux
25:45qui ne sont pas,
25:45enfin,
25:46le domaine aérien,
25:47qui ne sont pas totalement
25:48dans ce dispositif.
25:51Mais en tout cas,
25:51voilà,
25:52qui commence Pascal ?
25:53Si tu veux.
25:55Oui,
25:56dispositif important,
25:57c'est s'assurer
25:58que tous les acteurs
25:59jouent le jeu
26:00de la divulgation,
26:02que ça soit fait dans les temps.
26:0324 heures,
26:04il ne faut pas traîner.
26:06Donc,
26:07très concrètement,
26:08je suis un vendeur de caméras,
26:09des petites caméras web,
26:11tout ça,
26:11j'apprends qu'il y a...
26:12Je suis au courant
26:13qu'il y a une vulnérabilité
26:14qui est exploitée
26:15ou qui est sévère,
26:16il y a les deux cas.
26:18Je dois la notifier
26:21en express
26:22à l'ENISA
26:23sous 24 heures.
26:26Et ensuite,
26:27on doit...
26:28L'ENISA
26:28qui est la sorte
26:29de l'ANSI européenne ?
26:31C'est l'ANSI européenne,
26:31si on veut le dire comme ça.
26:33Donc,
26:33c'est elle qui va recueillir
26:34toutes ces vulnérabilités
26:36et puis les mettre à disposition.
26:37On se rappelle d'ailleurs
26:38que l'ENISA
26:38a son portail de CVE.
26:41On en avait parlé
26:42dans des précédentes émissions.
26:44Donc,
26:44c'est 24 heures
26:45la première notification.
26:46Ensuite,
26:4672 heures
26:47pour en donner le détail,
26:48avoir un peu plus de temps
26:49pour donner l'ensemble
26:50et puis 14 jours
26:51pour donner le rapport complet
26:53sur l'exploitation.
26:55Et en quoi c'est important
26:56à tout ça ?
26:57Enfin,
26:57cette initiative ?
26:59Alors,
26:59c'est important
26:59parce que sur ce marché,
27:02on avait plein d'éditeurs
27:03de logiciels
27:03qui se fichaient
27:04de ces vulnérabilités
27:05qui pouvaient être au courant
27:09mais qui ne disaient rien.
27:11Donc,
27:11si on ne dit rien,
27:12on ne prévient pas
27:13les utilisateurs
27:14de ces mêmes logiciels
27:16qui sont tout de suite
27:18vulnérables
27:19sur des exploitations
27:20de ces vulnérabilités.
27:21Donc,
27:22c'est vraiment
27:23la base de la cyber.
27:24S'il y a une vulnérabilité,
27:25il faut qu'elle soit patchée.
27:26Si les gens ne sont pas au courant,
27:27ça va être compliqué
27:29de la patcher.
27:30Et pire,
27:30il y avait des éditeurs
27:31qui la patchaient
27:32un peu en sous-marin
27:33ou la patchaient pas du tout,
27:34d'ailleurs.
27:35Ça rappelle, Benoît,
27:36ce qui se passe dans l'alimentaire.
27:38On nous dit parfois,
27:39tiens,
27:39tel lot de pots de confiture,
27:41de je ne sais quoi,
27:43de conserves,
27:44il ne faut pas les utiliser.
27:45L'idée,
27:45c'est un peu la même ?
27:47C'est la traçabilité.
27:48Et c'est la traçabilité
27:49à la fois
27:50chez l'éditeur
27:51ou le fabricant,
27:52donc qui,
27:53en cas de sévérité,
27:54doit prendre conscience
27:55de ce qui se passe
27:56chez lui
27:57et corriger
27:58et avertir.
27:59Et puis,
28:00c'est aussi côté utilisateur
28:01cette surveillance
28:03des vulnérabilités
28:04diverses et variées
28:05qui constituent
28:07son système d'information,
28:08ses équipements,
28:09mais aussi,
28:09pourquoi pas,
28:10des tiers.
28:10Donc,
28:11ça veut dire,
28:11ça intéresse à la fois
28:12les éditeurs,
28:14les constructeurs,
28:15mais aussi
28:16les clients utilisateurs.
28:17En cybersécurité,
28:19on pousse le security by design.
28:21Pour nous,
28:22éditeurs de cybersécurité,
28:23ça nous semble relativement évident
28:24ce que ça implique.
28:26Mais il y a plein
28:27de fabricants
28:28d'objets connectés
28:29notamment.
28:29Je pensais que je citais
28:31les jouets,
28:31parce que souvent,
28:32de plus en plus,
28:32on aime bien avoir
28:33des petits jouets connectés,
28:34mais le fabricant
28:36n'y pense pas forcément.
28:37Exactement.
28:38Donc,
28:38c'est pour mettre
28:39dans sa tête
28:40un référentiel cyber
28:42et le pousser
28:42à avoir cette approche.
28:44Est-ce que le produit
28:44que je vends
28:45a des risques cyber ?
28:47Et si oui,
28:47je dois les communiquer,
28:48je dois les patcher.
28:49Donc,
28:49c'est un engagement
28:50de sa part
28:51pour augmenter.
28:52Et côté utilisateur,
28:53le point important,
28:54je pense,
28:55c'est savoir
28:55ce qu'on a chez soi
28:56pour pouvoir mettre
28:57en parallèle
28:58ces alertes qui arrivent
28:59par rapport à
29:00est-ce que je suis concerné
29:01ou non,
29:02même si j'ai ce logiciel-là,
29:04est-ce que je suis
29:04dans la version concernée
29:05ou non.
29:06Et c'est intéressant aussi
29:07parce que ça veut aussi dire
29:09que le fabricant
29:10doit proposer
29:11des mises à jour
29:12notamment de sécurité
29:13pendant un certain temps.
29:14Ce qui,
29:15lorsque vous faites
29:16des investissements
29:17en cybersécurité
29:18avec des investissements
29:19qui augmentent
29:20et donc une durée
29:21d'amortissement plus longue,
29:22à un moment,
29:23vous voulez vous assurer aussi
29:24que si vous achetez
29:25un matériel,
29:25au bout de deux jours,
29:26il n'est pas obsolète.
29:27Et ça,
29:28c'est très important.
29:28Ça marche pour le logiciel,
29:29ça marche pour le matériel.
29:31On veut pérenniser
29:32les investissements
29:33des entreprises.
29:34Pascal ?
29:35Oui,
29:35ça devrait mettre un peu
29:36de faire un petit peu
29:37le ménage
29:37au niveau de la communauté européenne
29:39sur les logiciels
29:40qui sont fournis
29:41ou logiciels embarqués.
29:43Et puis,
29:43d'un petit coup
29:44sur ce security by design aussi.
29:47Tout à fait.
29:48Après,
29:48il reste toujours
29:49la problématique de...
29:51Le patch est sorti,
29:52mais comment est-ce qu'on va patcher ?
29:53On parlera des patches
29:54dans un instant,
29:55je ne veux pas de patch Microsoft.
29:57Deuxième sujet.
29:58Tiens,
29:58je vais démarrer avec toi,
29:59Adrien.
30:00L'ANSI,
30:01donc,
30:01l'ANSI,
30:01qu'on connaît bien,
30:02l'Agence nationale
30:02de la sécurité
30:03et des systèmes d'information.
30:04Et puis,
30:04avec tout ce qui s'est passé cet été,
30:06on a entendu Sébastien Lecornu,
30:07Premier ministre,
30:07il a un peu tapé du poing
30:08sur la table.
30:10Et l'ANSI,
30:11c'est vrai,
30:11beaucoup de gens
30:12lui sont tombés dessus,
30:13je trouvais un peu de façon
30:15un peu...
30:16pas très correcte
30:18parce que l'ANSI,
30:18elle n'avait pas ce pouvoir
30:19de réactivité.
30:20Et donc,
30:21ils ont mis en place
30:23ce dispositif réactif
30:24qui consiste en quoi ?
30:25C'est-à-dire,
30:26l'ANSI,
30:26là,
30:26est dotée d'un peu plus de pouvoir,
30:28c'est ça l'idée ?
30:28Exactement.
30:29L'idée principale,
30:30c'est que l'ANSI arrive
30:31en tant que cellule de crise
30:32pour aider les entités
30:34interministérielles
30:34qui sont sous attaque.
30:36Donc,
30:36il y a un élément
30:37qui est très important en cyber,
30:38c'est la préparation.
30:40Quand on doit être préparé
30:43à une cyberattaque
30:44pour que quand elle arrive,
30:45on sache
30:45qui va être en charge
30:47de la communication,
30:48qui fait quoi,
30:49quels sont les points
30:50les plus critiques
30:51à remettre en premier ?
30:52Donc,
30:52si on ne prépare pas,
30:54ça va être la panique
30:55et les premières heures
30:56dans une cyberattaque
30:57sont hyper importantes.
30:59Donc là,
31:00on a une équipe de personnes
31:01qui va être mise
31:02à disposition
31:03des ministères,
31:04qui va gérer la crise,
31:05qui va gérer la communication
31:06et ce sont des gens
31:08qui vont faire
31:09beaucoup de ça.
31:10Oui,
31:10et qui vont pouvoir agir.
31:11Ce que je disais,
31:11c'était ça.
31:12Je cherchais le terme,
31:13c'était,
31:13l'ANSI a été un peu moqué.
31:15Les gens la montrent un peu du nom
31:16en disant,
31:16qu'est-ce que fait l'ANSI ?
31:17En fait,
31:18l'ANSI,
31:18elle faisait que le rôle
31:20pour lequel
31:20elle était dans ses prérogatives
31:24et aujourd'hui,
31:24on lui donne
31:25une petite couche de plus quand même.
31:27Exactement,
31:27donc ils vont pouvoir aller
31:28aider les gens
31:30dans les ministères
31:31qui sont sous attaque.
31:32Et ça,
31:32on en a besoin
31:33parce que c'est quand même,
31:34enfin,
31:35c'est des centaines d'experts
31:36qui sont en ANSI.
31:37Oui,
31:37la réponse à un incident,
31:39de mémoire quand même,
31:40l'ANSI le faisait déjà.
31:41Quand vous aviez des hôpitaux
31:42par exemple,
31:42qui étaient attaqués,
31:43l'ANSI dépêchait des experts
31:44plutôt techniques.
31:46Là,
31:46le volet communication
31:48et gestion de crise
31:49va venir apporter
31:49un élément supplémentaire.
31:51Dans le communiqué,
31:52il y a un mot pour moi
31:52qui est très important,
31:53c'est le terme d'autorité.
31:55L'ANSI a autorité maintenant
31:56dans différents secteurs.
31:58Certainement qu'on va pouvoir
32:00comme ça
32:00les écouter beaucoup plus,
32:03faire en sorte
32:03que ce qu'ils disent
32:04soit appliqué
32:05et qu'il n'y a pas juste
32:06un rôle de conseil.
32:09Conseil qui existe déjà
32:10depuis des années.
32:11je relisais le guide
32:13des 42 mesures d'hygiène
32:14de l'ANSI.
32:15Il date de septembre 2017.
32:1742 mesures.
32:18Vous pouvez même
32:19le lire en biais
32:20et vous y mettez
32:22un peu d'IA
32:22et ça couvre quand même,
32:23pas totalement,
32:24mais ça couvre quand même
32:25un certain nombre
32:26des mesures.
32:27Et quand on reprend
32:27la feuille de route
32:28qui est adossée
32:29à cette annonce,
32:30il y a 10 points
32:32qui sont quand même
32:33des points
32:34que l'on retrouve déjà
32:36dans ce guide d'hygiène
32:37qui date de 2017.
32:39Après,
32:39les contrôles,
32:40on les fait peut-être,
32:41mais personne n'y tient.
32:43Enfin,
32:44je sais qu'il y a des audits
32:44pour la DGFIP,
32:45il y avait évidemment
32:46des audits
32:46qui sont faits régulièrement,
32:47mais est-ce que quelqu'un
32:48a lu les rapports ?
32:49Pas sûr.
32:49Est-ce qu'on a les moyens
32:50de les corriger ?
32:50On peut auditer
32:51tout ce qu'on veut
32:52si on n'a pas les moyens
32:53de les corriger
32:54ou qu'on ne met pas
32:55la gouvernance qui dit
32:56OK, on a trouvé ça,
32:57maintenant on va les corriger.
33:00Ça n'avance pas beaucoup.
33:00C'est surtout,
33:01est-ce qu'on a les moyens
33:01d'identifier les risques ?
33:03Parce que les dernières
33:03cyberattaques,
33:04c'était des logins
33:05de mot de passe
33:05qui avaient fuité,
33:06c'était une clé API
33:07qu'on avait oubliée.
33:08Oui,
33:09je le disais tout à l'heure
33:10dans notre interview,
33:11c'était de l'hygiène,
33:13ce n'était pas des trucs
33:14des airs compliqués.
33:15C'était basique
33:16de la cybersécurité,
33:16mais tout le monde,
33:18je pense que dans n'importe
33:18quel ministère aujourd'hui,
33:19on sait qu'il faut mettre
33:20du MFA sur tous les portails.
33:23Donc du multifacteur,
33:25voilà ce qu'on a tous.
33:26On nous dit maintenant,
33:27dès qu'on se connecte,
33:28est-ce qu'il y a un code
33:29qui arrive sur le smartphone ?
33:33C'est l'initiative,
33:34donc ça lue évidemment,
33:36mais je vais faire mon ronchon.
33:39Alors oui,
33:39ils ont un pouvoir en plus
33:40et ça c'est bien.
33:41Ça c'est bien,
33:42c'est ça qui est bien.
33:44Mais sinon,
33:44on est dans un monde cyber
33:45où les attaques vont très vite,
33:47de plus en plus vite.
33:48On va encore en parler après.
33:51Quand la fuite de données est faite
33:52et qu'on fait intervenir à l'ANSI,
33:53la fuite de données,
33:54elle est faite.
33:55Donc je pense que
33:56Vincent Souvel,
33:57il a bien donné le bon nom
33:59à son service,
34:00c'est Réactive.
34:02Ce qu'on a besoin,
34:03c'est la phase d'avance
34:04et comment on les empêche,
34:05c'est comment on les bloque.
34:07C'est bien,
34:08il faudrait une autre liste en plus,
34:10mais là aussi,
34:12le bas blesse,
34:12c'est qu'il n'y a pas de budget en plus.
34:14Comment l'ANSI va le faire ?
34:15Parce que proactif,
34:15ça voudrait dire des gens
34:16qui vont en amont
34:17dans les entreprises,
34:18c'est la situation idéale,
34:21mais des dispositifs
34:22comme Nice 2,
34:23ça n'entraîne pas ce...
34:25On sera voté.
34:25Oui, c'est ça.
34:27On attend.
34:28Benoît ?
34:28Oui, et l'ANSI a les moyens
34:30parce que si on prend
34:32le scope de la cybersécurité,
34:34prédire, prévenir,
34:35détecter, répondre
34:36et malheureusement,
34:37parfois on n'aimerait pas,
34:38mais reconstruire.
34:39Et en fait,
34:40le CERT-FR
34:41et les éléments
34:42propres à l'ANSI
34:44font déjà prédire,
34:45ils font de l'analyse
34:46de la menace.
34:46Tous les ans,
34:47on a un excellent rapport
34:49sur le panorama
34:49de la menace
34:50qui analyse ce qui s'est passé,
34:52qui donne des éléments
34:53concrets
34:53pour comprendre
34:54contre quoi on doit se protéger,
34:55quels sont les risques.
34:56Et puis ensuite,
34:56vous avez prévenir,
34:58prédire,
34:59et ça,
35:00c'est vraiment
35:02le guide d'hygiène de l'ANSI
35:03car en deux mesures,
35:04il existe,
35:04prédire,
35:05prévenir,
35:06détecter, répondre.
35:06Peut-être qu'il faut encore
35:07améliorer, détecter, répondre,
35:08ça c'est évident,
35:09avec des SOC,
35:10avec plus de supervision.
35:12C'est peut-être,
35:13c'est ça,
35:14on ne va pas mettre à l'amende
35:15toutes les ans,
35:15alors là notamment,
35:16on ne va pas mettre à l'amende
35:17en plus des administrations
35:18parce qu'ils pourraient
35:20encore moins investir
35:21alors que le but
35:22c'est d'investir,
35:22mais peut-être parfois
35:24taper un peu
35:25sur les doigts
35:25des responsables.
35:26Moi quand j'entendais
35:27la directrice
35:28de la DG FIP
35:28qui est un peu fataliste,
35:31j'ai envie de lui dire
35:32quand même,
35:33il y a un moment...
35:35L'amende revient
35:37au budget cyber ?
35:39Oui, non mais pas une amende
35:41mais qu'il y ait des responsables
35:43que l'on sanctionne,
35:45je ne sais pas
35:45s'il faut les sanctionner
35:45mais que l'on leur dise
35:47maintenant ça fait partie
35:48de vos objectifs,
35:49vos objectifs de la DG FIP
35:50c'est récolter l'impôt,
35:52c'est que les datas
35:53soient bien gérées,
35:53les données financières
35:54soient bien gérées,
35:55ça doit être aussi
35:56que les données soient protégées,
35:57ça doit faire partie
35:58et si ce n'est pas fait,
35:59hop on passe à...
36:01Ce qui est la feuille de route
36:01du gouvernement
36:02de 2026-2027
36:04et tout ça c'est noté
36:05dans les dix points
36:05dont le dixième
36:06c'est le post quantique.
36:08Alors autre sujet,
36:10c'est Microsoft
36:10qui communique
36:11sur sa mise à jour
36:12de cybersécurité,
36:13le patch Tuesday,
36:14on en a l'habitude
36:14mais bien que maintenant
36:15on fait un patch Tuesday,
36:16un patch Monday,
36:17enfin voilà,
36:17un peu tous les jours
36:19mais là ce qu'on remarquait
36:21c'est un record 960 failles
36:23corrigées dans 2 0D
36:25et là c'est la mise à jour
36:29de cybersécurité
36:30la plus importante à ce jour,
36:31je ne sais pas qui l'avait heureux,
36:32c'est toi qui l'avait heureux Pascal ?
36:34Oui parce que c'est un mouvement
36:36qu'on ne voit pas que chez Microsoft,
36:38Microsoft c'est le...
36:39Mais là c'est parce qu'on est habitué,
36:40chaque mardi on a tous ces patchs-là.
36:42Mais en fait ils sont passés
36:44depuis mai à une technique
36:46qui devient à mon sens
36:47et ça a rejoint un peu
36:49le sujet d'avant,
36:50l'état de l'art de la cyber
36:51si on veut se protéger soi-même,
36:53c'est utiliser l'IA agentique
36:55pour se tester,
36:56pour trouver les vulnérabilités,
36:58pour les vérifier,
36:59pour voir si c'est exploitable,
37:00c'est ce que fait Microsoft,
37:01ils en déduisent
37:02comme conséquence
37:03énormément plus de vulnérabilités
37:05et c'est très bien.
37:06Je pense qu'on est un paquet d'éditeurs
37:08à le faire
37:09et à générer,
37:11à connaître plus de vulnérabilités,
37:13à les patcher plus, etc.
37:15Donc c'est vraiment
37:16un gros virage de la cyber cette année.
37:18Je crois que Microsoft...
37:19C'est-à-dire que c'est l'IA
37:20sur le rythme,
37:20c'est le fois 4.
37:21Non seulement,
37:22il y a toujours plus de failles,
37:23mais avec l'IA,
37:24on en découvre encore plus.
37:24Non, il n'y a pas plus de failles.
37:25On en découvre plus
37:26parce que les IA
37:28qui vont tester les vulnérabilités
37:29vont beaucoup plus loin.
37:30Donc effectivement,
37:31la croissance du nombre
37:32de vulnérabilités découvertes
37:34ne explose pas
37:34parce qu'il y a plus de trous,
37:36juste parce qu'on les trouve plus.
37:38Mais pour le coup,
37:39c'est important
37:39parce que ça veut dire
37:40que c'est des choses
37:41qu'on ne voyait pas avant
37:42qui potentiellement
37:43étaient des zéro-day pour les pirates
37:44qui allaient les trouver
37:45et les exploiter.
37:46Donc les trouver avant,
37:47c'est ça l'intérêt.
37:48Parce que ce qu'il faut savoir,
37:49c'est que les pirates...
37:50Donc l'impact,
37:50il est colossal.
37:52Il doit renforcer
37:52la cyber-résilience du monde
37:56à condition,
37:56pardon,
37:57ça va être ma phrase
37:58un peu leitmotiv,
37:59à condition qu'on patche.
38:00Et ça,
38:01c'est la grosse problématique.
38:03Et qu'on patche rapidement aussi.
38:05Et qu'on patche rapidement.
38:06J'avais encore
38:07un client récemment
38:09qui disait
38:09qu'il est hors de question
38:10d'imposer à un utilisateur
38:11de le faire au bouté
38:12pour patcher.
38:13Il faut attendre
38:14qu'il soit d'accord.
38:15On n'est pas prêts.
38:17C'est vrai qu'on a parfois
38:18ce message qui s'affiche
38:19en tant qu'utilisateur.
38:21On fait reporter, reporter, reporter.
38:23Et puis bon,
38:23il y a un moment,
38:24il faut quand même...
38:24Et on a le pendant aussi
38:27chez les pirates,
38:27le temps d'exploitation
38:29de ce qui a été découvert
38:31aujourd'hui...
38:32Oui, c'est immédiat.
38:33C'est 48 heures.
38:34Oui.
38:35Alors qu'avant, voilà...
38:36Donc un utilisateur
38:37qui repousse pendant trois semaines.
38:39C'est vrai qu'on se souvient encore
38:40il y a 18 mois,
38:41même deux...
38:42Enfin, plus de 18 mois
38:44où on disait
38:44voilà une faille
38:45qui existait
38:46mais qui a été découverte.
38:47Et il mettait un temps fou.
38:49Maintenant, c'est ça, Adrien.
38:49En 2018,
38:51la moyenne était autour
38:52de un peu plus de deux ans
38:53entre le moment
38:54où on découvrait
38:55la vulnérabilité,
38:56le moment où elle était référencée
38:57et le moment où on voyait
38:58des traces
38:58d'exploitation réelle.
39:01Aujourd'hui,
39:02on est passé en négatif,
39:03c'est-à-dire qu'elles sont exploitées
39:04avant même
39:04qu'elles soient documentées.
39:05Oui.
39:06Donc on est réellement
39:07dans l'urgence
39:08et je pense que c'est...
39:09Il faut absolument
39:10trouver des moyens
39:11de réduire...
39:12Ce que dit Pascal,
39:13c'est primordial,
39:13c'est le côté de patcher
39:15le plus vite possible
39:16et d'être un peu plus
39:18parfois sévère
39:19avec les utilisateurs,
39:20enfin direct
39:20avec les utilisateurs
39:21en tout cas.
39:22Tout à fait.
39:22Après, il y a les patchs
39:23mais il y a aussi peut-être
39:24des contre-mesures
39:25qu'on peut mettre en place
39:26pour éviter d'aller patcher
39:27dans l'urgence
39:28parce qu'un patch,
39:29si on doit patcher
39:30toute sa ferme de serveurs
39:31par exemple,
39:32potentiellement,
39:33ça serait bien qu'on regarde
39:34s'il n'y a pas des impacts avant.
39:36Donc peut-être que
39:37ces serveurs
39:38sont protégés par les équipements.
39:40Pour ceux qui nous suivent
39:41ou qui imaginent
39:41ce que c'est qu'un patch
39:42mais pour ceux
39:43qui sont moins avertis
39:45sur la cyber,
39:46on découvre une faille,
39:47on dit voilà l'éditeur,
39:49là c'est Microsoft
39:49en l'occurrence,
39:50il dit voilà le patch
39:51donc on doit...
39:52Typiquement,
39:53tout le monde le fait
39:53sur son téléphone
39:54quand vous recevez
39:55une notification
39:56mise à jour
39:57avec des correctifs
39:58de sécurité
39:58et la mise à jour
40:00va inclure des patchs.
40:01Parfois aussi,
40:02bien sûr,
40:02des nouvelles fonctionnalités
40:03mais aussi des correctifs
40:04de sécurité
40:05qui viennent protéger
40:06l'exploitation
40:07de ces vulnérables.
40:08Et donc ça,
40:09il faut voir l'impact
40:09que ça peut avoir aussi
40:10sur d'autres applications.
40:13Exactement,
40:13donc sur l'application
40:14surtout si on patch
40:15un serveur qui est critique,
40:17imaginez c'est le site web
40:18principal de l'entreprise,
40:19si on le patch
40:20et qu'il ne repart pas,
40:21si c'est un site d'e-commerce,
40:22il va plus faire entrer d'argent.
40:25Et on a connu ça aussi
40:26dans le passé.
40:26Benoît ?
40:27Oui,
40:28alors moi il y a deux éléments,
40:28le premier élément
40:29je vais mettre un peu de positif,
40:31c'est que
40:32effectivement ça permet
40:33aux cybercriminels
40:34de trouver plus de failles
40:36mais normalement nous aussi
40:39éditeurs,
40:39on va utiliser,
40:40on utilise déjà l'IA
40:41et on fait en sorte
40:42d'avoir du security by design.
40:44On teste avant de mettre
40:46en production.
40:47Chez les éditeurs de sécurité,
40:48on peut mettre à jour
40:49nos solutions
40:50peut-être 5, 6 fois par jour
40:52effectivement,
40:52des fois avec des patchs mineurs,
40:54avec des patchs majeurs,
40:55des nouvelles fonctionnalités.
40:55Donc cette possibilité
40:58de faire évoluer rapidement
41:01les solutions
41:02comprenant des patchs de sécurité,
41:04c'est toujours le jeu
41:05du chat et de la souris
41:06mais en tout cas
41:07on tient la route.
41:09Ça c'est la première chose.
41:10Et la deuxième chose
41:11c'est qu'effectivement
41:13quand on patch,
41:14on patch avec des tests souvent.
41:17C'est-à-dire que
41:18si vous mettez à jour
41:19un ordinateur,
41:21bon si l'ordinateur
41:22ne fonctionne plus
41:22c'est compliqué
41:23surtout si on en avait beaucoup.
41:24Mais effectivement
41:25si vous avez des serveurs
41:26qui ne fonctionnent plus
41:27c'est encore plus compliqué
41:28si c'est une chaîne de production
41:29vous avez en plus des fenêtres
41:31c'est-à-dire vous n'intervenez pas
41:32vous ne faites pas rebooter
41:32une machine sur une chaîne de production
41:34juste la nuit
41:34parce que vous dites
41:35que c'est le bon moment
41:36et il y a des métiers,
41:38des activités
41:39où on frise
41:40tout le système d'information.
41:42C'est-à-dire qu'on dit
41:43notamment pour des caisses
41:44des systèmes
41:45de grand public
41:47où on va avoir
41:48beaucoup de ventes
41:49au moment des soldes
41:50ou au moment des fêtes
41:51de fin d'année
41:51on dit
41:52on n'y touche plus.
41:53Ça fonctionne.
41:54L'objectif c'est
41:55opérationnel
41:56il ne faut pas qu'on loupe
41:57cette période-là.
41:58Donc il y a aussi
41:59cette question
41:59de comment est-ce qu'on va
42:01adapter
42:02la réalité
42:03de l'opérationnel
42:04avec la nécessité
42:06je ne vais pas dire
42:06de patcher toutes les heures
42:07mais presque.
42:09C'est particulièrement vrai
42:10dans l'industrie
42:10où on n'arrête pas
42:11une chaîne de montage
42:12pour patcher une machine.
42:14Si on arrête la chaîne
42:15c'est toute l'usine
42:16qui s'arrête.
42:17Alors que
42:18on sait que la surface d'attaque
42:20est ce qu'on connecte
42:21de plus en plus Pascal.
42:23Moi c'est ma grande inquiétude
42:25des mois à venir.
42:28Benoît positif
42:29c'est bien
42:30mais il faut aussi
42:31que nos logiciels
42:33soient patchés
42:34les logiciels de sécurité.
42:36Donc on est dans la problématique.
42:38La référence à laquelle
42:39je faisais tout à l'heure
42:39de l'utilisateur
42:40c'est pour patcher
42:41des solutions chez moi
42:42des solutions
42:43qui vont protéger.
42:45donc il va falloir trouver
42:47effectivement une façon
42:47de faire du patch
42:48à la volée
42:50sans qu'il y ait
42:51ces impacts de production.
42:53Et puis je trouve
42:54que maintenant
42:54on commence
42:56davantage
42:56on se sensibilise
42:58depuis des années
42:58mais encore plus
43:00aujourd'hui
43:01je trouve que
43:01les alertes
43:03sont quand même
43:03assez rudes.
43:05En fait
43:06on a une conjonction
43:07de choses
43:10en ce moment
43:10entre le nombre
43:13de vulnérabilités
43:14le rythme de vulnérabilité
43:16le rythme de l'exploitation
43:18en fait
43:18tout s'accélère
43:19en même temps
43:20sauf
43:20les fenêtres de patch.
43:23Donc
43:24et le nombre
43:25de personnes
43:26qui les déploient.
43:27Oui
43:27parce que ça aussi
43:28c'est un des soucis.
43:31Justement
43:32on va rebondir
43:33vers notre dernier sujet
43:34il nous reste
43:35un peu moins de 10 minutes
43:36j'avais titré
43:37moi ça
43:37fuite de deux en série
43:38la France et l'Europe
43:38paient le prix
43:39de leur légèreté.
43:40C'est-à-dire
43:40les uns les autres
43:41vous avez remonté
43:42plusieurs choses
43:42c'est un hôpital privé
43:43de la Loire
43:44qui a eu une amende
43:45de 500 000 euros
43:45par la CNIL
43:46parce que
43:47pas de VPN
43:48ni d'autosification
43:50multifacteur
43:52bon
43:53il y a
43:53un
43:55assez Berlin
43:56qui a été touché
43:57qui a été touché
43:58qui a refusé
43:58de payer
44:00une rançon
44:01et qui donc
44:01a été attaqué
44:02l'association
44:03des maires de France
44:04voilà
44:05on est encore
44:06dans ce côté
44:06notre légèreté
44:08face à la cyber
44:10oui
44:10le sujet est grave
44:12si j'osais
44:14un ton humoristique
44:15je leur dirais
44:16de télécharger
44:16le fameux guide
44:17de l'Annecy
44:17des 42 mesures
44:18mais quand on voit
44:19les données de santé
44:21qui ont fuité
44:22de cet hôpital
44:23on ne peut pas
44:24avoir cette légèreté
44:25et effectivement
44:26surtout que les hôpitaux
44:27ça fait quand même
44:27un moment
44:28qu'on en parle
44:29il y a bien 3-4 ans
44:30qu'on voit
44:31ces hôpitaux attaqués
44:31avec des hôpitaux
44:32qui ont
44:32je pensais à Mignot
44:34à Versailles
44:34qui a été
44:34complètement stoppé
44:36on a repris
44:37les crayons
44:38les papiers
44:38il n'y avait pas
44:39d'opération
44:39on était vraiment
44:40dans le côté
44:41opérationnel
44:42de l'hôpital
44:42on oublie un peu vite
44:43et là on voit
44:44que la CNIL
44:45a quand même
44:46fait son travail
44:47ils ont listé
44:47les éléments manquants
44:48et à partir de là
44:49ils ont dressé
44:50une amende
44:51donc on est
44:52dans un constat
44:53qui certainement
44:55a été
44:56entre guillemets
44:57déclenché
44:58il y a une sorte
44:59d'électrochoc
45:00avec la fuite
45:01des impôts
45:01où on pouvait se dire
45:03avant
45:03bon
45:03mon état civil
45:04fuitait
45:05c'est pas si grave
45:06on avait un peu
45:07de défaitisme
45:07mais là
45:09avec des données
45:10aussi sensibles
45:11et qui nous touchent
45:12personnellement
45:12la santé
45:13les finances
45:14le sexe
45:15c'est vraiment
45:16les trois éléments
45:16que l'on n'a pas envie
45:17de voir fuiter
45:18et donc
45:19avec un hôpital
45:20on est clairement
45:21dans la santé
45:21et oui
45:22la récréation
45:23doit se terminer
45:24oui effectivement
45:26il y avait eu
45:27un petit calme
45:28moi je trouve
45:28sur les hôpitaux
45:29depuis quelques années
45:32mais je ne suis pas certain
45:34qu'il y ait une explication
45:34il fallait déclencher
45:35un plan blanc
45:36le programme CARE
45:37quand même
45:37il y a eu plus de mémoire
45:39c'était dans les 300 millions d'euros
45:40avec un objectif jusqu'à 700
45:42je ne suis pas sûr
45:42qu'il ait été atteint
45:43jusqu'à 700
45:43mais en tout cas
45:44il y a eu un effort financier
45:45je pense que personne
45:46n'est à l'abri
45:47aujourd'hui
45:48on a tous
45:49à la fois à titre individuel
45:50et à l'échelle
45:52d'une entreprise
45:52on a tous
45:53des points faibles
45:55et on est tous
45:56sujet au phishing
45:58qui est de plus en plus
46:00réaliste
46:00de mieux en mieux
46:02fait
46:03on a des vraies arnaques
46:04qui arrivent
46:05dans nos téléphones
46:06dans nos boîtes
46:07dans l'émission
46:07Tech & Co
46:08la quotidienne
46:08qui passe le soir
46:09l'un des invités
46:10il est venu
46:11nous montrer un courrier
46:12un courrier papier
46:14envoyé par Ledger
46:16qui disait
46:16il faut mettre à jour
46:17son portefeuille Ledger
46:18c'était fait complet
46:20par contre
46:20le papier
46:21et il a dit
46:22j'ai failli me faire avoir
46:23c'est à dire
46:24au moment
46:24c'est le
46:25au moment où j'allais
46:26le truc de barre
46:27c'est quand même bizarre
46:27qu'il communique
46:28par courrier papier
46:30dans un monde
46:31aujourd'hui
46:31c'est ça qui l'a alerté
46:33mais il a failli
46:34comme souvent
46:35on ouvre un papier
46:36on voit une facture
46:38QR code
46:38pour aller voir le montant
46:40c'est vrai qu'on se laisse
46:40facilement avoir
46:41Pascal
46:42à moins d'être positif
46:43pour le coup
46:44il n'y a pas que nous
46:45du coup
46:45il n'y a pas que la France
46:46il y a Berlin
46:47il y a eu aussi
46:48les Etats-Unis
46:48il y a eu 4 millions
46:49il y a d'autres pays européens
46:50donc on voit
46:53que le problème
46:53il est un peu
46:54le même partout
46:55avec certains endroits
46:56où le manque d'investissement
46:58se ressent un peu plus
46:59mais globalement
47:00la tendance est la même
47:01c'est que cette courte
47:02de cyber là
47:02on est en train
47:03un peu de la perdre
47:04il va falloir pousser
47:05un peu sur les jambes
47:06pour aller plus vite
47:08et à part utiliser
47:10de l'IA massivement
47:12pour se défendre
47:13se défendre
47:14tester
47:14s'assurer
47:17Benoît le dit souvent
47:17et c'est important
47:18c'est cet état de l'art
47:20de la cyber
47:21qui est mis
47:21dans les documents
47:24de l'Annecy
47:25enfin c'est le minimum
47:27c'est même pas le maximum
47:29c'est le minimum
47:30et on n'est pas au minimum
47:31en fait il ne faut pas
47:32qu'on s'étonne
47:32déjà qu'on soit au minimum
47:33et on va se rendre compte
47:34que ce minimum
47:35il bouge
47:36et il augmente
47:37en permanence
47:38donc il faut se mettre
47:39au minimum
47:39et suivre la cadence
47:40et on n'y est pas
47:41nulle part
47:41et puis surtout
47:42c'est toi Adrien
47:43qui l'a souligné
47:45c'est ces risques cyber
47:46liés à la facturation électronique
47:47on a 100
47:48alors c'était Michel Juvain
47:49qui était là
47:49l'autre jour avec nous
47:50qui disait
47:50il y a 160 plateformes
47:52de facturation électronique
47:53bon le contrôle est fait
47:54par l'ADG FIP
47:54donc c'était un petit peu
47:56voilà
47:56c'était un petit peu
47:57un petit peu érodique
47:58de noter ça
48:00mais effectivement
48:01là ça y est
48:01tout le monde doit y être
48:03sur cette facturation électronique
48:04depuis le 1er septembre
48:05et là ça fait autant
48:06de surface d'attaque
48:07et plutôt que faire le choix
48:09d'avoir 2-3 plateformes
48:10le choix était fait
48:11de la diversité
48:12160 plateformes
48:13et là il y a de nouveau
48:15de vrais risques
48:16Adrien
48:16Tout à fait
48:17les pirates suivent l'argent
48:18de toute façon
48:19donc la facturation électronique
48:21on peut trouver
48:22des scénarios
48:22d'arnaques
48:23qui vont
48:24qui vont plaire
48:26aux pirates
48:26par exemple
48:27vous recevez un message
48:28en vous disant
48:29que votre compte
48:30sur la plateforme
48:30agréée
48:31n'est plus aux normes
48:33et que les paiements
48:34ne seront plus processés
48:35vous allez cliquer
48:36sur le lien
48:36rentrer vos identifiants
48:38changer de risque
48:39peu importe
48:39mais voilà
48:40et puis on est à la fois
48:42dans une architecture
48:43qui est très décentralisée
48:44vous l'avez dit
48:44il y a plus de 160
48:45plateformes agréées
48:46mais on a quand même
48:48la PFF
48:49qui est la DG FIP
48:51qui est centralisée
48:52c'est à dire que
48:52chaque plateforme
48:53va communiquer
48:54avec la plateforme
48:55de la DG FIP
48:56pour savoir
48:56à quel autre organisme
48:58envoyer les factures
49:00donc il y a à la fois
49:00ce côté décentralisé
49:02qui permet d'avoir
49:03une surface d'attaque
49:03très grande
49:04mais d'un autre côté
49:05ça va diluer
49:06un petit peu le risque
49:06et vous avez aussi
49:07cette plateforme centrale
49:09qui elle contiendra
49:10toutes les informations
49:10de toutes les plateformes
49:11agréées
49:12là quand on voit
49:13ce qui s'est passé
49:13avec la DG FIP
49:14on peut faire un petit peu
49:15le voir
49:15oui
49:17moi je vois
49:18effectivement
49:18un problème
49:19de supply chain
49:19on en parle énormément
49:22je me souviens
49:22notamment de Jaguar Land Rover
49:24l'arrêt total
49:256 à 8 mois
49:26l'arrêt total
49:27des échelles de production
49:28et l'impact
49:29global
49:30que ça a eu
49:30même sur le PIB
49:31du Royaume-Uni
49:32je crois que le même
49:34gouvernement britannique
49:34avait remis
49:352 millions de livres
49:35en fait ils ont cautionné
49:37ils se sont portés caution
49:38pour des prêts
49:38qui étaient elles
49:39dans des banques privées
49:40donc c'est vraiment
49:41aller très loin
49:41et donc
49:42cet environnement
49:44où nous sommes tous connectés
49:46au-delà des logiciels
49:47avec le CRA
49:47et les patches
49:48que l'on doit faire
49:49on est tous connectés
49:50avec soit des API
49:52soit avec ce qu'on appelait
49:54avant l'EDI
49:54l'échange électronique
49:56déinformatisé
49:57exactement
49:57et donc forcément
49:59on s'envoie
50:00et on reçoit des éléments
50:01il y a un moment
50:02au-delà des hameçonnages
50:03qui sont clairement
50:05l'apanage des cybercriminels
50:06et qui suivent les tendances
50:08on a une surface attaque
50:10qui s'est ouverte
50:12potentiellement assez importante
50:13qu'est-ce qu'il faut faire
50:14Pascal
50:14là encore
50:16enfin rappeler
50:17évidemment les conditions
50:18toute la liste d'hygiène
50:20de l'ANSI
50:21mais
50:22il n'y a pas un moment
50:23il faut un peu plus sanctionner
50:26alors il faut
50:28sanctionner
50:29pour le domaine public
50:29c'est compliqué
50:30encore une fois
50:30je dis
50:31ils ont besoin
50:31de cet argent
50:32mais pour les entreprises
50:33parfois
50:33pour le domaine public
50:35c'est compliqué
50:36de sanctionner
50:36mais par contre
50:37réussir à isoler
50:38les responsabilités
50:39ce serait déjà
50:40un bon début
50:41parce que là
50:42ça s'en renvoie
50:43un peu la balle
50:43quand même
50:44sur les responsabilités
50:45et après
50:46les sanctions
50:48elles sont prévues
50:49quand on aura
50:50transposé
50:51Nice 2
50:51il y a des sanctions
50:52dedans
50:53le CRA
50:54il y a des sanctions
50:54dedans
50:55donc il faut
50:56que ça soit mis en place
50:57que ça soit contrôlé
50:59et surtout
51:00pour moi
51:01le plus important
51:01c'est qu'il faut
51:02que le rythme
51:03de ces lois
51:03et de ces contrôles
51:04et de ces sanctions
51:06suivent le monde
51:06de la cyber
51:07c'est à dire que
51:08si on a toujours
51:08un wagon de retard
51:09on aura toujours
51:10un wagon de retard
51:11est-ce que ça veut dire
51:12parfois
51:13je me souviens
51:13il y a quelques années
51:14c'était avant Covid
51:15c'était une grande
51:16c'est genre
51:17le CTLM américain
51:18qui s'était fait pirater
51:19le nom m'échappe
51:19c'est X à la fin
51:21et Qifax
51:22oui c'était
51:23et eux
51:24le DG
51:25il a sauté
51:25il n'y a pas que le DSI
51:27le RSSI
51:27qui ont sauté
51:28il y a le DG
51:28qui a sauté
51:29question de gouvernance
51:30et nous aujourd'hui
51:32enfin je ne souhaite pas
51:33au PDG
51:34piraté
51:34de sauter
51:35mais parfois
51:36quand on voit
51:38la façon
51:39dont ils ont été piratés
51:40la facilité
51:41avec laquelle
51:41ils sont rentrés
51:42il y a peut-être un moment
51:43où il faut aussi
51:43sanctionner au plus haut
51:44j'en connais
51:45quand on sautait
51:46chez les clients
51:46mais je ne sais pas
51:47si c'est ça
51:48qui va
51:49enfin
51:50il faut qu'il y ait
51:50les différents volets
51:51la sanction
51:52c'est une chose
51:54la sanction
51:54une fois que tout est fait
51:55et que de toute manière
51:56ça s'est passé
51:57ok c'est comme
51:58depuis il y a un enfant
51:58c'est trop tard
52:01ça a été fait
52:02donc il faut vraiment
52:03que tous les axes
52:04soient solides
52:06l'axe légal
52:07l'axe de l'audit
52:07se donner les moyens
52:08d'auditer
52:09se donner les moyens
52:10de vérifier
52:11et je pense que là-dessus
52:12il y a une grosse faiblesse
52:13souvent on met des choses
52:14en place
52:14et puis c'est fait
52:15c'est pas fait
52:16je pense que c'était
52:17moi pour la DG FIP
52:18c'est Michel Juvain
52:19qui était avec nous
52:20l'autre jour
52:21vous pouvez voir l'émission
52:22en replay
52:22il avait listé un peu
52:23tous les organismes
52:24de contrôle
52:25interne
52:25cours des comptes
52:26etc
52:27et sans doute
52:27ils ont tous sorti
52:28des rapports
52:29mais personne ne les a lus
52:30personne ne les a appliqués
52:32voilà
52:32messieurs merci
52:33alors on va rester positif
52:35pour tout ça
52:36se dire
52:37voilà
52:37on est en train d'avancer
52:38la sensibilisation
52:39de ton part
52:40ça y est
52:40tout le monde
52:40s'y met
52:41en tout cas
52:41merci à tous les trois
52:42Benoît Grinemba
52:43l'expert en cybersécurité
52:44chez IZ
52:45Pascal Lediguel
52:45DG France
52:46de WatchGuard
52:47et Adrien Merveille
52:48directeur technique
52:49Cheikh Pen France
52:49et puis donc
52:50ben voilà
52:51c'est continuer cette hygiène
52:52on rappelle
52:53aller sur le site de l'Annecy
52:54il y a tout cet ensemble
52:55d'hygiène
52:56à voir
52:56et comme le disait Pascal
52:58c'est déjà le minimum
53:00donc mais déjà
53:00si vous faites ça
53:01c'est déjà un premier pas
53:02allez merci
53:04à tous les trois
53:05nous on se retrouve
53:05la semaine prochaine
53:06même en même endroit
53:06d'ici là
53:07excellente semaine
53:07sur BFM Business
53:10Tech & Co Business
53:11sur BFM Business
Commentaires