En dépit des précautions connues, chacun d’entre nous reste vulnérable en matière de sécurité. C’est dans notre nature. Un exemple simple : Celui du voyageur d’affaires ou membre d’entreprise voyageant en train. Confortablement installé sur son siège devant l’écran de son ordinateur portable, dès le départ du train, il est concentré sur le travail à effectuer, durant les quelques heures de voyage, qui séparent Lorient de Paris. Équipé de son masque, exécutant parfaitement les recommandations sanitaires face à la pandémie, utilisant à bon escient le gel hydro alcoolique, il oublie les recommandations #cyber « sécuritaires ». Il ne se souviendra pas du coup de téléphone, important, urgent mais aussi confidentiel, qu’il a passé dans l’espace bar, entre un café bien chaud et deux croissants bien frais ...
Bien sûr, ce même voyageur aura assisté un jour à une matinée de #sensibilisation, où il lui aura été dit, que l’homme derrière lui au bar, a écouté sa conversation et a même pris des notes. Pourtant, il lui aura été indiqué que le WIFI public n’était pas la meilleure façon de se rendre sur internet de manière sécurisée. Qu’un écran de confidentialité apposé à son écran d’ordinateur ne coûte pas si cher au regard de la confidentialité de ses travaux mais les préserve beaucoup du regard du voisin. Non, notre voyageur était pressé et puis le risque c’est pour les autres ... il ne saura jamais, ce qu’il a perdu, de toute manière ... il fallait téléphoner impérativement...
L’évolution de l’environnement concurrentiel et juridique, l’évolution permanente des modes d’attaque et des vulnérabilités (extraterritorialité, cyber, social media ...), font qu’une démarche d’intelligence économique (#IE) émerge comme le facteur clé dans la réduction des risques, dans l’amélioration de la connaissance de son environnement et les actions d’influence. Une démarche qui permettra aux entreprises de se positionner dans un contexte plus favorable à la promotion ou à la défense de leurs intérêts. L’entreprise actuelle doit pouvoir évaluer les risques associés à ses décisions, mais aussi être ouverte aux opportunités qui se présentent et aux défis auxquels elle est confrontée.
Dans ce contexte changeant, incertain, imprévisible la priorité est de transmettre une information ouverte à la bonne personne et au bon moment, une information qui sera analysée et synthétisée, pour en devenir pertinente et stratégique, dans une finalité d’aide à la décision. Mais, bien sûr, dans un environnement stratégique que l’on a protégé et sécurisé ...
Entre 2016 et 2020, on estime que les services de police et de gendarmerie ont enregistré entre 1580 et 1870 procédures en lien avec des attaques par rançongiciel. Le nombre de cyberattaques a été multiplié par 4 en 2020 (source Ministère de l’Intérieur).
Depuis le début de la crise du COVID, nous avons tous expérimenté le télétravail, en appréciant les avancées technologiques permettant les échanges en mode « hybride ».
Dans le même temps les entreprises ont enregistré une recrudescence des cyber- attaques, parmi lesquelles les ransomwares tiennent le haut du podium. Des ransomwares évoluant au fil des attaques pour devenir plutôt des « ransomwares As A Service » (RAAS) élargissant de ce fait, le spectre des attaquants, avec des cybercriminels n’ayant plus besoin spécialement de compétences « techniques ». La faible protection et sensibilisation des collaborateurs, conjuguée à l’élargissement de la cyber-surface attaquable lié à ce nouveau mode de travail « hybride », a fait des télétravailleurs, l’une des principales cibles des cyberattaques.
En 2021, en dépit de la mise en place effective dans nombre d’entités d’une protection au risque cyber et d’une sensibilisation des équipes (l’humain devant devenir le maillon fort de la chaine sécurité), la protection s’est révélée encore insuffisamment efficace. Le coût, devenant aussi, une préoccupation majeure des dirigeants des PME/TPE en termes de cyber-protection. Il apparaît aujourd’hui comme impératif de sensibiliser les divers collaborateurs à la multitude de stratagèmes dont ils pourraient être la cible, qu’ils soient physiques ou numériques. Une précaution supplémentaire devrait être prise dans le cas d’individus travaillant dans des petites structures en sous-traitance pour des entreprises de secteurs sensibles, pouvant attirer les prédations d’acteurs entraînés. Il conviendrait ainsi de former ses collaborateurs stratégiques à certaines procédures traditionnelles (M.I.C.E/ social engineering) afin de prévenir au maximum toute fuite involontaire.
« Aujourd’hui, tout le monde connaît l’intelligence économique. Mais la notion reste floue, en particulier pour les PME ... Si nous voulons les convaincre de l’intérêt d’utiliser les techniques de l’IE, il faut se mettre à leur portée ». Alain Juillet
La mise en place d’un dispositif de veille spécifique est devenue incontournable, pour guetter l’émergence des nouveaux risques (par exemple, au niveau des crypto monnaies), pour des entreprises de toutes tailles, soucieuses de leur pérennité. Cette veille qui doit être à la fois, fiable, agile, collaborative et innovante, afin de pouvoir mettre en place des protections efficaces. A défaut on risque de le regretter. Ne vous est-il jamais arrivé de vous dire « Si j’avais su cela en amont ... j’en aurai profité ! » Ou encore « Si j’avais été prévenu, je ne me serais pas fait avoir ... j’aurai été plus méfiant » ... Une veille qui se montrera autant offensive que défensive ... sans rester figée, en s’adaptant et en évoluant dans le temps et se remettant en question ... afin de réduire les risques connus mais surtout ceux qui vont impacter l’entité dans le futur. Le nouvel état d’esprit, résidera dans la capacité à capter les signaux faibles, à être en mouvement et en adaptation en matière de protection, afin de forcer les cybercriminels à commettre des erreurs et échouer dans leurs tentatives.
Car, comme le signale le Général Didier TISSEYRE pour le FIC de LILLE 2021 « Les attaques cyber se multiplient et se complexifient chaque année ! ».
Bien évidemment, cette démarche de veille ne doit pas être exclusivement tournée vers la défensive.
Ainsi, dans le département : Marketing/communication : à l’aube de 2022, avec l’E- réputation, on ne surveille plus uniquement l’image/ la marque mais on cherche à exploiter au maximum le potentiel des informations disponibles sur les médias sociaux en parlant de « veille stratégique digitale » ...
Le département Commercial : avec l’anticipation des besoins des clients, l’identification des nouveaux relais de croissance qui font partie intégrante de la boîte à outils du département.
Au niveau des risques : Juridique, avec l’anticipation des modifications réglementaires impactant son marché ou au travers de loi Sapin 2, l’obligation de conformité en matière de lutte contre la fraude, la corruption et le blanchiment d’argent entrainant de ce fait pour les entreprises, la mise en place des études de compliance. En gestion de crise : captation d’informations permettant d’anticiper et de désamorcer une crise) et, bien sûr, les Cyber menaces mettant en lumière le RGPD et son obligation de mettre en œuvre des mesures de protection sur les systèmes sensibles empêchant que les fichiers ne soient déformés ou que des tiers y puissent y avoir accès (Art. 32 RGPD précise que la protection des données personnelles nécessite de prendre des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque).
Il s’agit de créer et de développer un véritable "état d’esprit" intégrant la sécurité dans le cycle de vie d’un projet.
Dès les premières réflexions, analyser les différents risques en amont. Inclure lors de l’étude faisabilité, les mesures de sécurité adéquates et une estimation des coûts. Lors du déploiement, la veille doit être omniprésente comme au sein de la gestion des incidents, notamment la question de la capacité d’une analyse « Forensique » (analyse du système d’information (SI) après une attaque informatique). Cette intégration de la sécurité au sein de la vie du projet permettra à l’entreprise une bonne gestion de ses sauvegardes, des mises au rebut ou en encore de la mise en place du plan de continuation d’activité.
Ce nouvel état d’esprit d’intelligence stratégique, reposant sur une méthodologie simple et claire, impliquera l’ensemble des collaborateurs qui se sentiront tous concernés. Sur le même principe, dès l’étape 1 d’une réflexion de #veille, les collaborateurs doivent se sentir impliqués et concernés. L’entreprise au regard de sa taille, de ses ambitions et de ses moyens, choisira ses outils spécifiques (gratuit/payant) la méthodologie et les recours ou non à des experts (accompagnement/ formation/ prestation clé en main).
Dans le domaine de la veille, l’intelligence artificielle fait de plus en plus partie du quotidien des acteurs de cette dernière ... Une Intelligence Artificielle (IA), qui par sa puissance de calcul et sa rapidité à relier entre elles les informations, libérera le personnel des tâches répétitives et chronophages. Une intelligence artificielle (IA) qui sera très utile également en matière défensive pour détecter et alerter des menaces. Bien évidemment, à l’image des « DeepFake » ou « DeepFake audio » utilisés massivement par les attaquants, l’intelligence artificielle (IA) est déjà un outil pour les cyberattaquants, notamment à travers des campagnes de phishing ou de désinformation.
L’information et la désinformation sont à prendre en compte de manière primordiale en 2022, avec une forme de conflit, ou l’information joue un rôle central, une sorte de guerre par l’information, où les États déjà s’opposent mais au même titre que dans la guerre économique. Les entités du territoire, quelle que soit leur taille, doivent dès à présent être en capacité à capter les « signaux faibles » sur cette thématique.
Il est essentiel que cette démarche soit collective et participative en plaçant « l’humain » au centre du dispositif, dans un esprit d’intelligence collective, partageant les informations issues de la veille entre les différents acteurs de l’entreprise ...
« Ne dites jamais aux gens comment faire les choses. Dites-leur simplement ce que vous voulez obtenir et ils vous étonneront par leur ingéniosité. » George S. Patton.
Ce nouvel état d’esprit au sein des équipes, favorisera l’empathie et l’esprit de résilience. Il permettra d’instaurer une culture du « feedback » et de la reconnaissance. L’état d’esprit d’intelligence économique qu’adopteront vos collaborateurs devra posséder les caractéristiques structurelles et managériales nécessaires pour aider à détecter les signaux faibles, construire des scénarios prospectifs et anticiper sur les menaces actuelles et futures. Très souvent, les collaborateurs sur le terrain sont parfois les mieux placés pour détecter des informations « informelles » afin d’initier des innovations. Être curieux de ce qui se fait dans son environnement, constitue le meilleur moyen de capter ces fameux « signaux faibles » chers à l’univers de l’intelligence économique ... En outre, il en sortira un intérêt, parfois salutaire pour l’entité mais aussi pour soi-même.
Cet « état d’esprit d’intelligence stratégique » concerne tous les types d’entreprises, PME comme TPE de notre région. Il favorise la promotion et la protection de nos intérêts locaux, régionaux, français voire européens. On peut le rapporter au principe connu suivant : « Si vous continuez de faire ce que vous avez toujours fait ... Vous continuerez d’obtenir ce que vous avez toujours obtenu !!! Pour avoir des résultats différents, que ce soit en matière offensive ou défensive, vous devez faire les choses différemment ! ». Par conséquent, vous devez interagir avec votre environnement et vous adapter aux changements. Cartographier les informations sensibles pour les protéger et définir la zone d’influence sur laquelle vous voulez travailler constituent une démarche indispensable !!
En matière d’état d’esprit de veille, je prendrais l’exemple, du réseau des référents cyber menaces de la Direction Zonale de la Police judiciaire. Dans ce cadre, les réservistes au-delà des formations et sensibilisations régulières sur les problématiques de cybers menaces, reçoivent une veille d’actualité signalant les différentes attaques et nouvelles méthodes qui ont cours. Mais également, chaque réserviste sur le terrain dans une démarche de proximité, peut effectuer sa propre veille en faisant remonter des « signaux faibles » de sa région qui seront repartagés entre les différents acteurs du réseau dans un esprit de coopération transverse. Chaque entité, chaque entreprise, à l’image de cette démarche, peut initier la même chose, en matière défensive mais également, dans le domaine offensif ou de développement économique.
Ceci met en évidence l’importance de la création de cet état d’esprit collaboratif, précieux au sein d’une entité.
"L'efficacité globale s'appuie sur la solidarité" Alain Juillet
Olivier CARDINI (décembre 2021)