GDPR, NIS, LPM, OIV : plus contraignante, la règlementation pousse à davantage de rigueur

Une industrialisation limitée de la détection

Dès lors, les entreprises françaises apparaissent tiraillées entre deux approches. La première consiste à essayer de suivre au plus près les textes qui les concernent. La seconde est plus attentiste et, dans certains cas, consiste tout bonnement à ne pas investir… « parce que moins on va détecter d’incidents, moins il y en aura à signaler », lance Gérôme Billois. Selon lui, cette approche reste isolée. Mais la logique est bien présente dans certains esprits : « l’exigence de notification peut être perçue comme pénalisante après les efforts consentis pour mieux détecter ».

Pour autant, difficile d’imaginer que les évolutions réglementaires ne contribuent pas à tirer tout un tissu économique vers le haut en matière de cybersécurité : « aujourd’hui, l’industrialisation de la détection des incidents est au mieux parcellaire, au pire inexistante ». Mais partir de loin signifie investir beaucoup. Gérôme Billois évoque des projets à plusieurs centaines de milliers d’euros, voire dépassant le million, pour simplement « booster la capacité technique de détection ».

De nouveaux chantiers à anticiper

Et cela ne s’arrête pas là : « cela ouvre la voie à des projets en lien avec les services juridiques – car il n’apparaît pas dans le rôle du RSSI de gérer seul des notifications qui relèvent du juridique – mais aussi de la relation clients ». Et c’est peut-être là que la fracture est la plus grande, entre des secteurs où la gestion de crise est déjà bien rodée, et d’autres pour qui notifier des incidents à des clients est nouveau. Et là, « avoir les moyens nécessaires, en envoi de courrier, d’e-mails, en création de call center, peut être très difficile si cela n’a pas été bien anticipé. Statistiquement, aux Etats-Unis en particulier, les clients rappellent beaucoup et cela tend à saturer les canaux de relation clients habituels ». D’où un double risque de perte de chiffre d’affaires : par la perte de la confiance des clients, mais aussi par « rebond », lié à la  désorganisation des cycles de vente.

Une inévitable professionnalisation

Une chose est sûre :  l’ensemble impose une lourde professionnalisation de nombreuses activités. « Avant, la gestion des incidents n’était qu’une problématique  de la DSI, qui communiquait un peu comme elle le voulait aux métiers et à la direction. Maintenant, on passe à une question juridique, avec des capacités d’enquête du régulateur à posteriori »,  voire à une  découverte de l’incident par un tiers, extérieur à l’organisation concernée… Pour Gérôme Billois, c’est bien simple : « on change complètement de dimension ».