[Dossier spécial Cybercriminalité ] Vers un cloud souverain français

Résumé 1+2+3/4: Les chiffres de la cybercriminalité ciblant les entreprises ont explosé en France en 2020 à cause du télétravail principalement et de l'usage des objets connectés qu'il a de facto imposé. Et ce, sans que des règles de sécurité draconiennes soient toujours respectées. Face à la nécessité d'une prise de conscience collective nationale, l'État entend prendre de nombreuses nouvelles mesures. À commencer par l'instauration d'une certification de cybersécurité et, à terme, la création d'un clous souverain français annoncé par le Sénat dans un rapport plutôt alarmiste intitulé La cybersécurité des entreprises – Prévenir et guérir : quels remèdes contre les cyber virus ?

La course à la Certification est lancée. Mais, trouver un spécialiste de la cybersécurité n'est pas chose aisée. Nouveau coup dur pour les plus petites entreprises : Toutes les ETI, PME et TPI ne sauraient d'ailleurs disposer dans leurs rangs d'un professionnel nécessairement hyper pointu à même de neutraliser les dernières subtilités de cyberprédateurs aussi inventifs qu'âpres au gain. Il règne en effet, comme le souligne le Sénat, une pénurie mondiale de compétences en matière de cybersécurité depuis plusieurs années. En 2021, partout en France, les entreprises qui rêvent d'embaucher une telle perle rare n'ont que 30% de chances d'y parvenir sans courir un marathon si l'on en croit l'Observatoire de la Grande école du numérique (GEN). Les GAFAM disposent d'autres moyens pour convaincre les meilleurs cyberspécialistes à leurs yeux de rejoindre leurs centres de recherche parisiens.

Expertise please !

La rareté des pure players de la cybersécurité explique pourquoi les responsables de la lutte contre le piratage en entreprise sont bien souvent des développeurs voire des ingénieurs généralistes formés, pour les besoins de la cause, à cette discipline aussi stratégique que pointue. Ce n'est pas leur faire insulte de dire que c'était eux ou personne. Des formations sont prévues pour les aider à devenir des experts certifiés. Cette pénurie de savoir-faire vient s'ajouter aux autres nombreux obstacles à franchir pour nos petites entreprises. Elles n'en ont pas moins, comme toute autre, besoin d'une solution à court terme dans l'optique de leur propre candidature à la certification.

Le cloud : 560 milliards en 2030

Il faudra du temps pour que les nouveaux berceaux d'une intelligence française de la cybersécurité portent leurs fruits. On ne peut que saluer des initiatives comme le Campus Cyber dédié aux enjeux du numérique ou le Pôle d'excellence cyber orienté start-up et PME innovantes. Tous deux confirment le nouveau parti pris perfectionniste français en matière de cybersécurité. Ces structure d'avant-garde créeront des synergies qui construiront l'avenir. Mais une réponse à court terme au problème d'accessibilité à l'infogérance pour nos ETI, PME et TPE s'imposait. Pour le Sénat, la solution satisfaisant l'ensemble des critères à observer tient en deux mots : cloud souverain. Les réalités du terrain convergent en effet vers cette conclusion. C'est une tendance générale. Les experts prévoient une explosion du marché mondial du cloud qui le verra passer de 63 milliards d'euros en 2021 à 560 milliards en 2030.

Données pas données

L'idée d'un Cloud souverain français a pu faire son chemin au plus niveau de l'État lorsque l'évidence s'est imposée que de nombreuses entreprises françaises se trouvent maintenues sous la dépendance de leurs fournisseurs de services d'infogérance. Sans la moindre garantie de cybersécurité. Et bien souvent, au contraire, avec un maximum de risques de perdre leurs données propres ou confiées. Si nos grandes entreprises risquent d'avoir maille à partir avec leur fournisseur de cloud quant à leur liberté, il est clair que les petites sont soumises à un rapport de force encore plus asymétrique. Le rapport du Sénat rappelle que le marché mondial du stockage de données appartient à Amazon «(33%), Microsoft (18%), Google (9%) , Alibaba (5%), IBM(5%) , Salesforce (3%), Tencent (2%). On retrouve les trois premiers sensiblement aux mêmes positions sur le marché des services applicatifs. Difficile de savoir à qui parler et, pire encore, adresser une plainte pour cybermalveillance quand on est une petite entreprise française spoliée et rackettée par des voleurs sans état ni lois.Et kidnappée par ses fournisseurs de cloud.

La loi du plus faible

Les ETI, PME et TPI d'ici comme d'ailleurs n'ont aucunement les moyens de négocier la certitude que le stockage de leur données sera sécurisé. Et que ces information qui leur appartiennent ou leur ont été confiées ne se retrouveront jamais bloquées de façon inique pour cause de différend commercial. Cette position de faiblesse des ETI, PME et TPE constitue un facteur de blocages et de risques pour tous. Sans aucune garantie de gagner en justice en cas de problème. La France s'est déjà dotée d'une cyberdouane et de plusieurs entités judiciaires spécialisées en cybercriminalité. Mais il manque des règles du jeu claires au niveau mondial assorties de sanctions en rapport avec l'importance des préjudices occasionnés.

La case prison du Monopoly

La création d'un Parquet national de lutte contre la cybercriminalité avec des chambres spécialisées de proximité est ainsi envisagée au sein de l'ensemble des dispositifs juridiques prévus. Des négociations accélérées avec l'Europe sont menées afin qu'une harmonisation des législations mondiales permette d'établir les procédures et les réponses pénales nécessaires à l'établissement du climat de confiance souhaité. C'est pourquoi est également menée une réflexion globale sur les garanties légales des produits et services à contenus numériques. Nous sommes loin des exportations d'agrumes.

Profession Expert Cyber certifié

Avec le rapport d'information du Sénat sur la cybersécurité, l'État français prend officiellement acte de ces pratiques de gangsters intolérables. Une réponse s'imposait à tous ces vols, demandes de rançons, détournements ou destructions d'information d'un intérêt stratégique parfois crucial. Voire inestimable. D'où la tentation de payer. Le versement d'une rançon sera-t-il bientôt interdit mondialement ? Plusieurs actions dans plusieurs pays convergent en ce sens. C'est l'hypothèse la plus vraisemblable. Ou verra-t-on apparaître des contrats d'assurance couvrant ce genre de nuisances anonymes et masquées qui sont vécues en pratique comme des « accidents » par leurs victimes ? Pas évident. Tout commence en tout cas par l'émergence impérative d'experts certifiés. Le titre officiel d'Expert Cyber est d'ores et déjà entériné.

Excellence Cyb

La réponse aux dernières questions encore en suspens sur l'avenir de la cybersécurité des entreprises françaises pourra différer du tout au tout si l'inculture en matière de cybersécurité de nombreuses petites structures trouve un terme grâce l'instauration de certifications. Par-delà la question de la cybersécurité, c'est en effet l'excellence de toute la filière française qui est visée. Le rapport du Sénat pose résolument ce point avec certitude sur la base d'un horizon bien défini : les Jeux Olympiques de Paris 24. Avec une médaille d'or pour la France en cybersécurité par équipes à la clé ?

AODB a toute confiance dans le talent déjà bien rodé des « Experts Cyber » made in France pour l'emporter dans ce sport d'auto-défense digital sur tatami miné.