Une démarche globale de la cybersécurité autour de six piliers

À l’heure où la moitié des PME pourraient subir une cyberattaque dans les prochaines années, il devient essentiel de combiner protection, culture du risque et approche transversale afin de garantir une sécurité efficiente. Pour Olivier Trientz, Responsable Commercial Cybersecurity Services chez Proximus NXT, « il ne s’agit plus seulement de protéger, mais de se préparer, de comprendre ce qui compte vraiment pour l’entreprise et de développer une posture globale et cohérente. »

Personne n’est aujourd’hui à l’abri d’un incident de sécurité. Face à la multiplication des menaces – phishing, ransomware, exfiltration de données –, les entreprises doivent apprendre à identifier ce qui est vraiment vital pour leur activité. On estime qu’au cours des prochaines années, une PME sur deux fera les frais d’une cyberattaque. Comment, dès lors, les prévenir ?
« La protection constitue aujourd’hui l’un des piliers d’une approche globale de cybersécurité. Mais encore faut-il savoir ce qu’il est essentiel de protéger, ce qui est vital pour l’activité de l’entreprise, souligne Olivier Trientz. Quand un ransomware paralyse l’ensemble des systèmes, il n’est pas rare que la direction décrète qu’il faut restaurer en priorité la comptabilité ou la fonction finance. Dans les faits, on peut se rendre compte que les priorités métiers sont ailleurs. Par exemple, la remise en production d’un simple système d’impression peut accélérer la reprise d’activité d’une société. »

Apprécier les risques, au-delà de la conformité

D’une entreprise à l’autre, les fonctions vitales varient selon le secteur et les services offerts.
« La première étape, dans la mise en œuvre d’une approche globale de la cybersécurité, consiste donc à analyser les risques : connaître ses actifs, ses vulnérabilités, les menaces potentielles, leur probabilité et leur impact, poursuit l’expert. La sécurité à 100 % n’existe pas. On ne peut pas tout couvrir, faute de moyens. Il faut choisir ses combats et allouer ses budgets en fonction du risque réel. »
Si cette approche basée sur les risques est désormais imposée par des cadres comme DORA ou NIS2, elle exige de regarder au-delà des seuls enjeux de conformité. « On ne met pas la ceinture de sécurité pour éviter une amende, mais pour protéger son enfant, précise Olivier Trientz. C’est pareil avec la cybersécurité. La conformité doit être une conséquence, pas le moteur. »
 

6 piliers au services d’une approche globale

Proximus NXT a structuré sa démarche autour de six piliers complémentaires, qui couvrent l’ensemble du cycle de vie de la sécurité : prévention, défense, détection, réaction, proactivité et offensive.

1.    La prévention, ou pilier de gouvernance, constitue la base de toute approche. Elle inclut l’analyse de risques, la définition des politiques de sécurité et la sensibilisation. « C’est ici qu’on établit les règles du jeu. La gouvernance, le risque et la conformité (GRC) donnent la direction. Et la sensibilisation, l’awareness, c’est l’humain : il faut former, expliquer, rendre vigilant », explique Olivier Trientz. Un clic sur un lien frauduleux reste à l’origine de plus de 90 % des attaques. Et aujourd’hui, même les plus avertis peuvent se laisser piéger.

2.    La défense, c’est la mise en œuvre concrète des moyens : pare-feu, filtres de messagerie, Web Gateway, WAF…
« Mais on ne protège pas tout de la même manière. Il faut mettre le budget là où c’est critique pour le business », poursuit le responsable de Proximus NXT.

3.    La détection est le socle indispensable pour réduire le temps entre intrusion et réaction.
« Aujourd’hui, il faut encore en moyenne 250 jours pour détecter une attaque », rappelle Olivier Trientz. Longtemps réservés aux grands groupes, les SOC et solutions EDR/MDR deviennent désormais accessibles aux PME.

4.    La réaction englobe la gestion de crise et le forensic.
« Le jour où l’attaque survient, il faut pouvoir contenir, enquêter et restaurer. »
Cette réactivité repose sur des contrats 24/7 et sur la présence d’experts capables d’intervenir immédiatement.

5.    L’offensive vise à tester la résilience des défenses : pentests, scans de vulnérabilité, Red Team, Purple Team.
« Il faut éprouver les défenses, mais aussi la capacité de détection », souligne-t-il.

6.    Enfin, la proactivité consiste à anticiper : surveillance du Dark Web, threat intelligence, détection de domaines frauduleux ou de fuites de données.
« Il faut développer des capacités d’analyse des signaux faibles, pour anticiper les potentielles attaques et les désamorcer bien en amont de l’incident. »

Vers des approches transversales

Pour Olivier Trientz, l’un des principaux freins à une approche de sécurité efficiente réside dans le cloisonnement organisationnel. « Dans beaucoup d’entreprises, l’infrastructure ne parle qu’avec l’infra, le business ne parle pas avec l’IT, et la sécurité reste le vilain petit canard, explique-t-il. Trop souvent, on s’inquiète de la sécurité quand le développement est terminé. » Il est donc recommandé de promouvoir davantage de transversalité. « La sécurité doit être intégrée dès la conception des applications, au même titre que la performance ou l’expérience utilisateur », précise Olivier Trientz.

Développer une culture du risque

À l’échelle du Luxembourg, la maturité des organisations reste hétérogène. « Une PME n’a souvent pas de CISO, parfois même pas de responsable IT dédié. On parle alors au CFO ou au directeur, et il faut leur expliquer les risques avec des exemples concrets », raconte Olivier Trientz. Dans cette optique, il faut vulgariser le discours, rendre les enjeux tangibles. « En sport, on ne va pas protéger un basketteur avec des protège tibia,  c’est un risque spécifique au football, illustre l’expert. Il faut adapter les mesures aux risques. L’expliquer ainsi aide souvent les dirigeants non-initiés à comprendre. Surtout, on positionne la sécurité non plus comme une contrainte, mais comme un levier de continuité et de crédibilité. La cybersécurité ne se limite plus à la technologie : elle repose sur la culture du risque, la réactivité et la capacité à faire dialoguer les équipes. »

Soutenir la résilience

La cybersécurité devient ainsi un enjeu stratégique, un facteur de confiance dans les relations avec les clients et les partenaires. « Une banque ne travaillera plus avec un prestataire incapable de prouver sa maturité en cybersécurité », ajoute Olivier Trientz.

Proximus NXT, en tant qu’opérateur et intégrateur, mais aussi fournisseur de services de sécurité managée, est idéalement positionné pour accompagner les clients face à ces défis. « Nous gérons déjà plus d’une centaine de clients via nos datacenters et notre solution d’hébergement. Cela nous permet d’avoir une vision très concrète de leurs besoins et de leurs contraintes, commente Olivier Trientz. Cette connaissance du terrain permet d’éviter les approches trop théoriques. Nous aidons nos clients à bâtir une sécurité pragmatique, en mettant en œuvre des programmes adaptés à la réalité de leur métier. »