Dans le domaine de la sécurité informatique, et plus globalement dans le monde du business, la technologie ne devrait jamais précéder la relation. Pour Christophe Pléger (F3C Systems), il faut d’abord s’impliquer pour comprendre son interlocuteur, son métier, ses enjeux, pour construire des approches pertinentes et durables.

La transposition de NIS2, la multiplication des cyberattaques et l’arrivée d’outils d’intelligence artificielle capables d’accélérer la découverte de vulnérabilités replacent la cybersécurité au coeur des priorités des entreprises luxembourgeoises. Face à cette pression, la tentation est grande de répondre par l’empilement de solutions techniques, en négligeant à tort la dimension humaine. « La cybersécurité, et plus largement le business, ne se limitent pas à des enjeux techniques, commente Christophe Pléger, directeur commercial chez F3C Systems. Tout le monde parle d’intelligence artificielle, mais derrière, les enjeux sont humains. Et ce qui compte, c’est avant tout les relations que nous entretenons. » 

Cette conviction, Christophe Pléger la porte depuis toujours. Aujourd’hui, elle guide la manière dont F3C Systems construit ses relations, avec ses clients, mais aussi avec ses partenaires et, parfois, ses concurrents.

De l’outil technologique à la compréhension du métier

Répondre aux enjeux d’un client en matière de cybersécurité implique d’abord d’investir dans la relation, pour comprendre
ses besoins, ses risques, ses vulnérabilités critiques.

« Si on ne prend pas le temps de comprendre ce que fait le client et pourquoi il le fait, on ne peut pas le conseiller », souligne Christophe Pléger, directeur commercial chez F3C Systems. Une PME n’a pas intérêt à se ruiner, en se dotant d’une infrastructure complète, onéreuse, pour gérer sa facturation.

Au regard de ces enjeux, une solution de facturation simple mais sécurisée peut très bien faire l’affaire. « Cette étape de compréhension, qui passe par de longues discussions et des entretiens internes, conditionne la pertinence de toute réponse technique apportée par la suite », commente Christophe Pléger.

Du discours de la peur à la maturité progressive

L’un des problèmes, actuellement, réside dans le fait que le monde de la cybersécurité reste, pour beaucoup d’entreprises, technique et anxiogène. Et de nombreux acteurs jouent volontiers sur ces aspects, au risque de pousser des clients vers des investissements disproportionnés. « Si on se laisse driver par la peur, on est prêt à signer des montants faramineux, alors qu’on n’en a peut-être pas besoin, au regard de sa taille ou de sa criticité réelle », note Christophe Pléger, directeur commercial chez F3C Systems.

Une vente forcée, s’appuyant sur la peur, ne permet pas de construire une approche de sécurité pertinente dans la durée.

« Ce n’est pas comme ça que l’on construit une relation de confiance avec le marché », ajoute-t-il. F3C Systems privilégie dès lors une approche long terme. « Cela se traduit dans la relation que nous établissons avec chaque client. Nous commençons par interroger différentes personnes au sein de l’entreprise cliente pour cerner la criticité réelle de chaque métier, cela plutôt que de proposer d’emblée des audits standardisés, poursuit le responsable. Cette approche permet d’avancer progressivement avec le client, poste par poste, plutôt que d’imposer une feuille de route déconnectée de ses moyens et de son rythme. » 

Poser les fondations avant la prochaine vague

Face à une menace hétérogène, toujours plus intense, l’approche permet d’avancer de manière pragmatique, au départ de fondations solides. « Quand on est face à des technologies comme Mythos, l’IA qui permet d’accélérer la découverte de vulnérabilités, on peut vite se trouver dépourvu. Si la solution a été imaginée de manière constructive, dans les mains d’attaquants, elle se révèle redoutable, et oblige l’entreprise à faire des choix », explique-t-il.

Plutôt que de céder au vertige technologique, Christophe Pléger, directeur commercial chez F3C Systems, défend une démarche qui repart de fondements : identifier les actifs réellement critiques pour le business, les segmenter, et assurer une visibilité continue sur ce qui s’y passe. « Une petite équipe ne peut pas tout sécuriser au même niveau d’un seul coup. Le but, encore une fois, c’est d’avoir une discussion pragmatique et concrète : qu’est-ce qui est important pour vous, et comment on le sécurise ? », résume-t-il. 

Du maillon faible au levier de changement

L’humain reste aussi, souvent, le point d’entrée le plus exploité par les attaquants. Identifier les mauvaises pratiques ne suffit pas : il faut aussi convaincre pour les faire évoluer. « On ne peut pas se contenter d’envoyer des vidéos de sensibilisation que les trois quarts des collaborateurs ne regarderont pas », relève Christophe Pléger, directeur commercial chez F3C Systems. La sensibilisation efficace passe par l’échange direct, l’explication du risque concret, parfois en le reliant aux usages personnels de chacun. « Même quand on explique les risques, ça ne change pas toujours grand-chose. Mais si on ne les explique même pas, il ne faut pas s’attendre à ce que les comportements évoluent », ajoute-t- il. Un constat qui vaut aussi pour les fonctions chargées d’imposer des règles de sécurité aux autres : si elles n’en sont pas elles-mêmes convaincues, le message a peu de chances de passer.

De la concurrence à la coopération 

Cette logique relationnelle ne se limite pas au client. Elle structure aussi la manière dont les acteurs du marché luxembourgeois devraient interagir entre eux, y compris lorsqu’ils sont en situation de concurrence. « Au Luxembourg, le concurrent d’aujourd’hui peut être le partenaire de demain. On doit pouvoir travailler ensemble, et regarder au-delà de certaines rivalités », affirme Christophe Pléger. In fine, investir dans des relations saines à l’échelle de l’écosystème est bon pour le business.

Le partenariat noué entre F3C Systems, Cegecom et Luxcontrol, en témoigne. On y trouve trois entreprises luxembourgeoises, réunies pour couvrir ensemble l’intégralité de la chaîne de cybersécurité : la gouvernance et la conformité chez Luxcontrol, la connectivité sécurisée chez Cegecom, la détection et la réponse aux incidents, via un SOC opéré 24 heures sur 24, chez F3C Systems. « Cette collaboration est née d’une rencontre humaine. On a d’abord vu qu’on partageait les mêmes valeurs, avant de construire ensemble une offre qui couvre l’ensemble des besoins », précise Christophe Pléger. Les discussions entre les acteurs, menées sur plusieurs mois, ont porté autant sur les valeurs partagées que sur les modalités concrètes de collaboration : support, facturation, répartition des responsabilités.

À mesure que les outils des attaquants gagnent en puissance, cette toile de confiance, tissée avec les clients comme avec les autres acteurs du marché, devra elle aussi continuer à s’étendre.