Des grands groupes français s’entendent pour cartographier leurs dépendances IT

L’indice de résilience numérique, un outil de communication et d’aide à la décision

L’indice de résilience numérique vise d’abord l’évaluation des systèmes critiques au sein des entreprises. « La notion de système critique permet de faire le tri », explique David Djaïz. « Il y a ce sur quoi effectivement on ne peut pas se permettre d’être trop dépendant, notamment d’acteurs extraeuropéens, et puis il y a le reste », nuance-t-il. « Ce qui est important, c’est d’avoir une métrique, car l’on ne maîtrise vraiment que ce que l’on mesure ».

Cette analyse, selon David Djaïz, répond à une « approche Full Stack ». Elle s’étale sur huit dimensions : la stratégie, la Data et l’IA, la supply chain, la sécurité, le réglementaire, la technologie et l’environnement. Chacune de ces dimensions comporte trois critères quantitatifs et qualitatifs, notés de 0 à 100. Un score moyen doit indiquer si le système est résilient ou non résilient. Un diagramme de Kiviat (spider graph) devrait permettre d’établir les forces et les faiblesses d’une entreprise en la matière.

David Djaïz résume ces huit dimensions en grands blocs : le « business », la sécurité et la technologie.

Il s’agit d’établir la cartographie des risques en matière contractuel, par exemple pour anticiper les hausses tarifaires. L’objectif est de faire de même en matière de cybersécurité, mais aussi en ce qui concerne la continuité opérationnelle. C’est-à-dire « la capacité à faire fonctionner les systèmes envers et contre tous, même en mode dégradé », explicite David Djaïz. L’évaluation de la résilience technologique consiste à inspecter les dépendances au sein des infrastructures sur site et en cloud, des applications, SaaS ou non, et des logiciels open source.

L’objectif est d’identifier les risques de perte de contrôle, de vulnérabilité juridique, d’érosion des compétences et de continuité d’activité (en cas de crise géopolitique ou « d’aléas climatiques »).

La terminologie a son importance, estime Yann Lechelle. Les instigateurs du projet n’ont pas souhaité utiliser le terme de souveraineté numérique et préfèrent se concentrer sur la résilience. « L’idée c’est d’avoir une lecture sans jugement afin d’étudier les systèmes critiques au cœur des entreprises », indique l’ex-CEO de Scaleway. Il ne faut pas brusquer les entreprises et s’extraire du discours marketing, comprend LeMagIT.

L’effort doit s’appuyer sur les travaux déjà réalisés dans le cadre de la conformité réglementaire à DORA et NIS2. « Certaines entreprises ont déjà fait cet inventaire, d’autres devront le faire », considère-t-il.

Parmi ceux qui sont prêtés à cet effort de cartographie des dépendances numériques, la filiale numérique de la Poste, Docaposte. « Nous nous sommes autoappliqué l’indice. La bonne nouvelle, c’est que c’est réellement applicable et cela permet de remonter des éléments compréhensibles au COMEX », témoigne Benoît Parizet, directeur général adjoint chez Docaposte. « Dans cette expérience, nous avons compris qu’il est très important de mettre l’ensemble des composantes de l’entreprise autour de la table », recommande-t-il. « Il faut à la fois des responsables de la sécurité, des technologies, de l’aspect juridique, des risques et de la finance ». Jusqu’alors, ces analyses étaient effectuées en silos. Il s’agit de constituer une « vision collective ». Et de reconnaître que sans prise d’action, par exemple pour réduire les coûts, renforcer la conformité, l’innovation et l’agilité, l’exercice n’a que peu de valeur.

Vers une labélisation des systèmes critiques résilients

Docaposte s’est administré la solution de révélation des dépendances numériques. Elle compte aussi la proposer à sa clientèle. Au-delà d’une méthodologie ouverte, l’indice de résilience numérique s’accompagnera d’un service de certification, opéré par des ESN et des cabinets de conseil. « Cela ressemble aux démarches B Corp auprès d’un acteur comme Ecovadis », illustre David Djaïz. Les entreprises qualifiées de résiliente pourront arborer un logo « R », comme résilient. Ce processus n’est toutefois pas obligatoire, insistent les porte-parole. Les organisations peuvent très bien utiliser la matrice disponible publiquement pour explorer en interne leurs dépendances.

« L’objectif n’est pas d’aboutir à une réglementation », complète David Djaïz pour clarifier le soutien du ministère de l’Économie et de la ministre déléguée du Numérique. « Nous faisons le pari qu’un consensus d’acteurs privés joue le jeu de l’intelligence collective. Il se passe quelque chose dans le monde bancaire et de l’assurance : ils nous suivent pratiquement tous dans la démarche », avance-t-il. « Nous espérons que cela suscite l’intérêt des acteurs de l’industrie, notamment de la défense et de l’aéronautique ».

Reste à savoir si l’analyse des dépendances aboutira sur des changements de politique d’achats IT.

En tout cas, l’aDRI se tourne vers les instances de l’Union européenne. Elle compte s’enregistrer à Bruxelles pour obtenir le statut d’ASBL, une association sans but lucratif, qui simplifiera son effort d’influence auprès de la Commission. La Fondation Éclipse avait entamé la même démarche pour s’installer en Europe.