Pour une certification en sécurité économique

Des dizaines de millions de dollars de pertes, une image durablement ternie, des disques durs détruits, l’entreprise paralysée pendant une semaine, des informations stratégiques dérobées, les données personnelles des dirigeants, collaborateurs et clients volées et mises en ligne… Tels sont les dégâts subis par Sony Pictures lors de la cyberattaque récente. Elle a atteint tous les objectifs que peuvent se fixer des attaquants : déstabiliser, paralyser, voire détruire une entreprise ou institution ; voler des informations stratégiques et des données personnelles.

Mais attention ! D’autres vecteurs que le cyber sont souvent utilisés pour attaquer. De la contrefaçon à la destruction de machines, du débauchage de personnels-clés au harcèlement judiciaire, en passant par l’attaque sur la réputation : les moyens sont nombreux et doivent être tous combattus. Et dans cette guerre économique, toutes les entreprises sont des cibles potentielles, quels que soient leur taille ou leur secteur, dès lors qu’elles recèlent un atout différenciant, technologique, commercial ou financier.

Les attaques se multiplient. Il faut donc agir pour limiter les risques. Le texte de loi renforçant la protection des informations stratégiques des entreprises – ce qu’on appelle le secret d’affaires –, élaboré par la délégation interministérielle à l’intelligence économique entre 2010 et 2013, repris et amélioré par les députés, n’a finalement pas été soumis au vote du Parlement il y a quelques semaines. Dans le strict respect de la liberté d’investigation des journalistes, il donne pourtant des armes efficaces face aux vols d’informations stratégiques. D’autres grandes démocraties, où la liberté de la presse est un principe fondamental, ont adopté des dispositifs similaires. Il sera donc utile de relancer le débat.

Mais il faut aussi agir dans les entreprises, et ce sur trois niveaux. Technique tout d’abord : au-delà des firewalls, il est indispensable, comme dans la coque d’un bateau, de mettre en place des compartiments étanches pour isoler strictement les différents types d’informations en cas de pénétration des systèmes. Et avoir une protection renforcée pour les données les plus sensibles : c’est le « coffre-fort dans le château-fort ». Organisationnel ensuite : il faut désigner des responsables sûreté, mettre en place des procédures et des indicateurs, comme pour toute démarche d’entreprise. En tenant bien évidemment compte de la taille et des moyens de l’entreprise. Le troisième niveau, comportemental, est essentiel : il faut former l’ensemble du personnel aux questions de sûreté. Chacun est concerné et doit comprendre que protéger son entreprise, c’est protéger son emploi.

Beaucoup d’entreprises ont déjà entamé de telles démarches. Pour les autres, tout reste à faire. Or le temps presse. Pour aller vite, elles ont besoin d’être aidées et guidées. Elles peuvent faire appel aux services spécialisés de l’Etat, particulièrement compétents et engagés, mais dont les moyens restent limités, ou aux conseils d’experts. Mais pour agir efficacement et au moindre coût, il faut un cadre d’action. Non contraignant et non obligatoire, mais servant de référence. De la même façon qu’on a des certifications en matière de qualité des produits et services, ou de respect de l’environnement, il faut élaborer une certification dans le domaine de la sécurité économique. L’Afnor, en liaison étroite avec les organisations professionnelles, pourrait lancer des travaux sur le sujet au niveau national, en élargissant le plus vite possible au niveau européen voire mondial.

C’est l’un des moyens à déployer pour limiter les risques de catastrophes économiques telles que Sony Pictures. Sans compter qu’au-delà des impacts économiques, il s’agit également d’un sujet de sécurité nationale : la prise de contrôle des systèmes informatiques d’entreprises gérant des infrastructures vitales – transports, énergies, banques, etc. – pourrait entraîner des dommages bien plus importants pour la France. Il faut donc agir : la sécurité économique est l’affaire de tous.
 

Par Olivier Buquen,
ancien délégué interministériel à l’intelligence économique