« Le choix technologique n’est qu’un élément : il doit aussi s’accompagner d’un volet juridique »

Pour Formind, la dépendance est un risque cyber comme les autres. Grégory Demule, directeur associé de cette société française de cybersécurité de 300 personnes, voit la souveraineté peser dans les décisions de tous les secteurs. Formind en tire des offres concrètes, dont un SOC souverain.

Chez Formind, la souveraineté n’est pas un thème à part. Elle s’inscrit dans l’approche par les risques que le cabinet applique chez ses clients. « La dépendance fait partie des risques. On pense souvent aux cyberattaques, mais cette notion de dépendance est également importante », explique Grégory Demule. Le sujet était déjà présent ; il l’est « encore beaucoup plus depuis 18 à 24 mois ».

Un critère de décision dans tous les secteurs

Ce qui change, selon lui, c’est le passage d’une notion qui « flottait un petit peu ces dernières années » à un critère qui pèse réellement dans les dossiers, bien au-delà des secteurs habituellement exposés.

On voit chez nos clients des dossiers dans tous les secteurs d’activité, pas uniquement la défense ou le secteur public, qui posent ce critère comme un critère important de décision, ce qui n’était pas nécessairement le cas avant.

Grégory Demule, Formind

Il ne prédit pas pour autant un grand remplacement des outils : « On ne remplacera pas tout l’écosystème du jour au lendemain, mais ça devient un vrai sujet. » Les clients viennent moins pour la souveraineté en soi que pour leurs risques et pour gagner en maîtrise, avec le souhait de disposer de briques technologiques sur lesquelles ils soient « davantage en boîte blanche qu’en boîte noire ». Le sujet a aussi quitté le cercle des spécialistes : « ce n’est plus uniquement un sujet d’experts et d’ingénieurs ».

Doser selon les données

En cybersécurité, la souveraineté passe à la fois par la maîtrise des données et des accès et par le choix des outils. Le point de départ reste l’identification des données les plus critiques, « celles qu’on appelle parfois les joyaux de la couronne, celles dont j’ai absolument besoin pour redémarrer ». L’entreprise peut ensuite mettre « une dose de souveraineté » plus importante à certains endroits et moindre à d’autres. Et la technologie ne fait pas tout : « le choix technologique n’est qu’un élément : il doit aussi s’accompagner d’un volet juridique ».

Un système d’information 100 % souverain ? Possible, répond Grégory Demule, mais pas forcément souhaitable partout. Sur des périmètres bien identifiés, oui ; « à l’échelle de toute une entreprise, ça posera potentiellement des questions de compétitivité et de coûts ». Il rappelle enfin que l’échelle pertinente est européenne : « On a parfois tendance à la voir de manière très franco-française, alors qu’en réalité c’est aussi un sujet européen. »

Un SOC souverain et un panorama de partenaires

Formind vient d’annoncer, la semaine même de la matinale, une offre de SOC souverain bâtie avec son partenaire Elastic, société de droit néerlandais fondée à Amsterdam et cotée aux États-Unis, et un hébergement chez OVH en SecNumCloud. « Pourquoi le fait-on ? Parce qu’il y a une demande réelle, et que certains acteurs ont besoin de ça. » L’offre est concurrentielle, assure-t-il, sur le plan technologique comme sur celui des compétences, et apporte « un certain nombre de garanties juridiques et contractuelles qui sont importantes ».

La demande reste « à maille variable » : elle peut se limiter au lieu d’hébergement des données ou aller beaucoup plus loin. Au-delà du SOC, Formind s’appuie sur Wallix pour la gestion des comptes à privilèges et les bastions, sur Seckiot, désormais Seclab, pour les sondes des environnements industriels, et sur Egerie ou CISO Assistant pour la gouvernance, le risque et la conformité. Avant de retenir une solution, le premier critère reste sa qualité, le service rendu et le bon fonctionnement, jugés par les 300 experts et ingénieurs du cabinet. Vient ensuite l’examen de l’éditeur lui-même.

Ensuite, on va s’intéresser à la société, à son fonctionnement, à ce qui peut figurer dans les petites lignes, à ce qu’on trouve dans les contrats, dans les conditions générales de service, et à la manière d’interagir. Et puis on peut pousser un cran plus loin sur l’identité de la société : son capital, ses investisseurs, etc. On essaie vraiment de regarder la chaîne à 360 degrés.

Grégory Demule, Formind

Quant à un label de souveraineté, il juge « qu’il est urgent d’attendre » et évoque un petit risque marketing, voire de « sovereignty washing ». Pour les PME et les ETI, le premier levier reste les donneurs d’ordre, ces grands groupes « qui vont l’exiger en cascade ».