Épisode 2 — Quatre façons de penser la sécurité autrement
Suite de l'épisode 1 — Cybersécurité, RGPD, RSE : et si le cloisonnement était le vrai risque ?
Dans l'épisode précédent, j'ai posé le constat : traiter la cybersécurité, le RGPD et la RSE comme trois sujets séparés coûte plus qu'on ne le pense. En coordination perdue, en énergie gaspillée, en cohérence sacrifiée.
Mais un constat sans suite ne sert à rien.
La formation que j'ai suivie propose une méthode structurée en quatre axes. Ce ne sont pas quatre cases à cocher. Ce sont quatre façons de reconsidérer ce qu'on fait déjà — et de le faire mieux, ensemble.
Axe 1 — Ce qu'on garde, ce qu'on lâche
La première question à se poser n'est pas "comment protéger tout ce qu'on a".
C'est "est-ce qu'on a besoin de tout ce qu'on protège ?"
C'est une question qui dérange un peu, parce qu'elle suppose qu'on a peut-être accumulé des données, des accès, des outils, des historiques sans vraiment décider de le faire. Par habitude, par facilité, parce que "ça pourrait servir un jour".
Or chaque donnée conservée inutilement est une donnée qui peut être volée, perdue, mal utilisée, ou qui entraîne des obligations légales qu'on aurait pu éviter. Chaque accès accordé sans réflexion est une porte qu'on laisse entrouverte. Chaque serveur qui tourne pour héberger des fichiers obsolètes consomme de l'énergie pour rien.
La sobriété numérique — concept qu'on associe souvent à la RSE — est en réalité l'un des gestes de sécurité les plus efficaces qui soit.
Réduire, c'est protéger. C'est aussi l'un des rares endroits où faire moins coûte moins et sécurise plus en même temps.
Axe 2 — On ne pilote pas ce qu'on ne regarde pas
Le deuxième axe, c'est l'évaluation. Et là, je veux être précise sur ce que ça signifie concrètement.
Évaluer ne veut pas dire produire des rapports. Ça veut dire se donner les moyens de voir la réalité telle qu'elle est, pas telle qu'on voudrait qu'elle soit.
Une des situations les plus courantes que j'observe dans les PME : les prestataires informatiques, d'hébergement ou de messagerie sont rarement évalués de façon structurée. On leur fait confiance parce qu'on les connaît, parce que ça fait longtemps qu'ils sont là, parce qu'on n'a jamais eu de problème.
Jusqu'au jour où.
Ce qu'une évaluation unifiée permet, c'est de poser les bonnes questions une seule fois et d'y voir clair sur trois plans à la fois : est-ce que ce prestataire est techniquement fiable ? Est-ce qu'il traite les données personnelles de façon conforme ? Est-ce que ses pratiques sont alignées avec nos engagements ?
Ce n'est pas une question de méfiance. C'est une question de responsabilité. Parce qu'en cas d'incident chez un sous-traitant, c'est souvent l'entreprise donneuse d'ordre qui répond devant ses clients et devant la loi.
Axe 3 — La règle qu'on n'a pas comprise, on ne l'applique pas
Le troisième axe, c'est la sensibilisation. Et c'est probablement celui où les organisations perdent le plus d'efficacité.
Pas parce qu'elles ne forment pas leurs équipes. Mais parce qu'elles le font trop souvent de façon cloisonnée : une formation cybersécurité ici, une session RGPD là, un atelier RSE ailleurs. Trois moments distincts, trois vocabulaires différents, trois fois où les collaborateurs se demandent en quoi ça les concerne vraiment dans leur quotidien.
Le résultat, c'est des équipes qui ont entendu les bons messages mais qui n'en ont pas fait des réflexes. Parce qu'un réflexe, ça s'installe quand on a compris le sens de ce qu'on fait — pas quand on a coché une case de formation annuelle.
Un collaborateur qui comprend pourquoi on ne laisse pas traîner des données clients dans un dossier partagé mal configuré — parce que c'est à la fois un risque de fuite, une non-conformité RGPD, et une question d'éthique vis-à-vis des personnes concernées — celui-là va adopter le bon comportement durablement.
La sensibilisation efficace, c'est celle qui relie les règles à leur sens. Et leur sens est souvent le même, quel que soit l'angle par lequel on l'aborde.
Axe 4 — La sécurité n'est pas un état, c'est un processus
Le dernier axe est peut-être celui qu'on sous-estime le plus.
Il concerne la maintenance — au sens large. Et l'histoire qui l'illustre le mieux est celle de WannaCry.
En 2017, une cyberattaque d'une ampleur sans précédent a paralysé des milliers d'organisations dans le monde entier. Des hôpitaux, des usines, des administrations. La faille exploitée par les attaquants dans les systèmes Windows était connue. Un correctif avait été publié deux mois avant l'attaque.
Deux mois. Et pourtant, des milliers de systèmes n'avaient pas été mis à jour.
Ce n'est pas une histoire de sophistication technique. C'est une histoire de procédure non appliquée. Et c'est une leçon qui reste d'actualité : ne pas maintenir ses systèmes à jour, c'est laisser une porte ouverte dont on connaît l'existence.
Mais la maintenance ne concerne pas que les mises à jour logicielles. Elle concerne aussi la conformité réglementaire — une procédure valide il y a trois ans peut être obsolète aujourd'hui, les textes évoluent — et la durée de vie du matériel. Un ordinateur qu'on remplace parce qu'il est "lent" alors qu'un nettoyage suffirait, c'est une dépense inutile et un appareil qui finit en déchet électronique prématurément.
Maintenir, c'est donc à la fois protéger, rester conforme, et prendre soin de ce qu'on utilise.
Ce que ces quatre axes ont en commun
Réduire l'inutile, regarder la réalité en face, donner du sens aux règles, inscrire les efforts dans la durée.
Aucun de ces quatre axes n'appartient exclusivement à la cybersécurité, au RGPD ou à la RSE. Ils traversent les trois, et c'est précisément ce qui en fait un cadre commun plutôt qu'une liste de tâches supplémentaires.
C'est sur cette base que la Charte Cyber Éco Éthique est construite : non pas comme un document de plus à faire signer, mais comme un outil de pilotage qui donne à l'organisation une façon cohérente de s'engager et de vérifier qu'elle tient ses engagements dans le temps.
Ce que ça donne concrètement — la structure de la charte, comment on la construit, comment on la fait vivre — c'est ce que j'aborde dans l'épisode 3.
Avec, en toile de fond, une question plus large : pourquoi ces problématiques de convergence ne sont pas nouvelles pour qui travaille en QSE ou en management des systèmes d'information. Et pourquoi c'est justement là que réside une partie de la solution.
Dans l'épisode 3 : de l'intention à l'action — comment construire une charte qui ne finit pas dans un tiroir, et le lien avec ce que les démarches QSE et SI ont appris avant tout le monde.