La difficile définition d’une politique industrielle de cybersécurité

C’était le 28 janvier dernier, à Lille : en ouverture du Forum International de la Cybersécurité, Fleur Pellerin, ministre de l’Economie numérique, expliquait qu’il faut que «la cybersécurité se structure davantage. La France souffre de l’absence d’une véritable politique industrielle dans ce domaine.» Frédéric Cerbelaud, directeur délégué de la DSI groupe de la SNCF, n’aurait pas dit mieux, lui qui, en ouverture des Rencontres de l’Identité, de l’Audit et du Management de la sécurité (RIAMS), qui se déroulent actuellement à Saint Tropez, indiquait justement être «preneur» d’une telle politique. Pour lui, la professionnalisation croissante des auteurs d’intrusions et autres attaques conduit à une «course à l’armement technologique» dans laquelle il préfèrerait ne pas avoir à sa lancer alors même qu’il doit baisser les coûts récurrents de ses systèmes d’information de 30 %. Selon Frédéric Cerbelaud, «les entreprises en France ont besoin d’un tel environnement industriel» car «ça n’a pas de sens que chaque entreprise investisse énormément dans une technologie de sécurité très sophistiquée alors qu’on a les mêmes besoins.» S’il n’est pas sûr qu’une politique industrielle de la cybersécurité conduise à une mutualisation de ressources et à une réduction des coûts qu’il semble souhaiter, l’idée a manifestement fait mouche.