Pour lutter contre l’explosion des cyberattaques, la Commission européenne lance un plan cybersécurité couvrant la période 2020-2025. Objectifs : mettre en commun des informations entre les pays, développer des formations et des certifications, élaborer des réglementations … Une stratégie européenne préservant les souverainetés nationales.
Dans le cadre de cette stratégie, la CE marque aussi une volonté d’aider les entreprises, quelle que soit leur taille et leur secteur d’activité, à s’organiser pour lutter contre les cyberattaques. Mais si cette initiative est louable, sa concrétisation reste en revanche complexe car le marché souffre d’une forte pénurie de profils spécialisés. Dans le deuxième axe marqué par l’investissement humain, la CE propose plusieurs actions: développer des cursus préparatoires dédiés à la cybersécurité et généraliser des plateformes d’entraînement. Un souhait, qui espérons-le, ne se résumera pas à une simple lettre d’intention, mais sera soutenue par une véritable politique de formation afin de donner à l’Europe les moyens de gagner son autonomie en cybersécurité. Peut-être aurait-il fallu orienter davantage l’investissement vers la technologie, intrinsèquement plus capable de passer à l’échelle ?
Troisième axe : la coopération inter-pays. La France est l’un des pays européens les plus structurés en matière de cybersécurité, grâce notamment à l’ANSSI et d’autres structures qui insufflent depuis plus de 10 ans une dynamique rigoureuse et initient de nombreux chantiers. La stratégie nationale proposée par Emmanuel Macron avec un plan de relance d’1 milliard d’euros sur la table semble pertinente, tant sur l’articulation avec l’ambition européenne que sur le contenu !
Dans cette volonté du concret, le sujet du partage d’informations communautaire doit être creusé en profondeur et rapidement mis en place. Les États-Unis utilisent ceci depuis longtemps à travers des centres de partage sectoriels comme les ISACs. Nos secteurs industriels doivent apprendre à mieux partager de l’information cyber car dans ces domaines, le renseignement diffusé par l’un fait la protection de tous les autres.
La cybersécurité existe depuis plus de 20 ans et sur ce terrain l’Europe n’a pas particulièrement brillé en comparaison d’autres blocs. Pour autant tout n’est pas encore perdu mais il faut regarder les choses en face et tirer les constats.
A l‘heure actuelle, il faut arrêter les investissements scientifico-scientifiques non appliqués à un besoin marché. Il est important de développer les partenariats publics-privés à l’échelle européenne pour avoir une vraie stratégie d’action dans les domaines qui seront nécessaires demain et dans 10 ans. (l’automatisation orchestrée de la cybersécurité, la modélisation des techniques d’attaques, la détection prédictive des attaques et des anomalies…)
Comme évoqué, le Cybersecurity Act est un bon point de départ mais il nous faut accepter d’aller plus loin dans les programmes de certifications pour les rendre obligatoires pour le marché européen. Cela se traduira notamment pour les entreprises par des obligations à créer des liens avec les industriels cyber autour d’eux et d’offrir une chance aux startups européennes du secteur en leur allouant une partie des budgets cyber…
Enfin, il est nécessaire d’expérimenter des modèles vertueux et pragmatiques dans lesquelles les entreprises expriment des besoins, les fournisseurs candidats calibrent des roadmaps pour y répondre et les organismes publics accompagnent et soutiennent financièrement certains investissements. Les structures académiques ayant elles aussi un rôle majeur à jouer pour les sujets faisant appel à la recherche. (Par David Bizeul, CTO de Sekoia)
