(Interview) Cybersécurité en Belgique : Au-delà de la conformité, l'impératif de survie des organisations

Dans un paysage numérique où les menaces s’imposent comme une certitude, la quête de conformité se heurte aux réalités opérationnelles. Fabrice Hecquet, conseiller en stratégie cyber et fondateur de la société CyberXpert, partage sa vision de l'état de la résilience des entreprises belges. Entre les grands enjeux de la NIS2, la fragilité des chaînes d'approvisionnement et l'illusion de la sécurité dans le cloud, l’entretien fait la lumière sur les enjeux critiques pour les organisations, qu'elles soient publiques ou privées. L'heure n'est plus à l'inquiétude, mais à la survie financière de toutes les organisations.

 -Cyber Security News : On observe actuellement une accélération des attaques en France, tandis que la Belgique semble plus silencieuse (cette interview a été réalisée juste avant les incidents sur les systèmes de réfrigération des supermarchés Delhaize). La transposition de la directive NIS2 dans le droit belge, qui tarde à l’être en France, joue-t-elle un rôle dans cette différence apparente de la menace ?

 Fabrice Hecquet, Conseiller en stratégie cyber et fondateur de la société CyberXpert: Je ne pense pas que la transposition de NIS2 soit un facteur déterminant. La Belgique est probablement moins ciblée que la France en raison de sa taille et d’un contexte géopolitique différent. Mais la Belgique n’est pas en reste. Nous l’avons vu dernièrement avec des fuites de données majeures et des attaques récentes d’institutions publique. En outre, la transparence française est le résultat d'une structure plus mature et mieux dotée. Je ne crois pas que la directive NIS2 ait déjà produit des effets réels dans notre pays, si ce n’est une conscientisation des enjeux plus importante de la part des comités de direction car la plupart des organisations sont en retard. Le CCB a d'ailleurs dû prolonger d'un an la mise en conformité pour ce qui est des entreprises essentielles, ce qui témoigne de la difficulté du terrain. Les investissements demandés sont importants et cela demande des ressources pas uniquement financières mais humains.

 -Cyber Security News : Peut-on parler de « politique de l'autruche » de la part des autorités en Belgique ?

 Fabrice Hecquet : Nous avons une tendance à ne pas faire de vagues autour des attaques touchant des institutions critiques. Qu’il s’agisse du vol de 700.000 données de l’IFAPME, de la cyberattaque contre un hôpital bruxellois ou de la cyber attaque du SPF Finances dernièrement, ces événements ont été très peu médiatisés. Nous subissons autant d'attaques qu'ailleurs, mais beaucoup ne sont pas déclarées, surtout dans le secteur privé.

 -Cyber Security News : La Belgique héberge néanmoins des institutions critiques et hautement stratégiques comme l'OTAN ou la Commission européenne. Et autant de cibles prioritaires pour les criminels ?

 Fabrice Hecquet : Ces organisations savent qu'elles sont des cibles prioritaires. Elles disposent de moyens financiers et humains importants pour mettre en place des mesures de protection robustes. Elles comprennent la criticité de leur mission, contrairement à beaucoup d'entreprises privées ou publiques qui sous-estiment encore leur exposition.

 -Cyber Security News : Que penser de l'exclusion des autorités locales, comme les communes ou les CPAS, du champ d'application de la NIS2 ? Alors que ces organisations font partie de l’écosystème cyber. 

 Fabrice Hecquet : Elles ne sont pas retirées, Elles n’ont pas été incluses automatiquement. Le CCB a justifié cela des contraintes juridiques, constitutionnelles et opérationnelles. Pourtant, les CPAS et les administrations locales traitent des données extrêmement sensibles. Au minimum, un niveau basique de sécurité devrait être imposé. Sortir ce secteur de la loi NIS2, alors qu'il n'y a déjà pas de sanctions financières pour les services publics, affaiblit considérablement notre posture globale.

 -Cyber Security News : Qu'en est-il du degré de protection des ministères et services publics fédéraux belges ?

 Fabrice Hecquet : Les SPF avancent, notamment grâce à des contrats cadres qui devraient les aider. Les petits SPF n’ont pas toujours les moyens et les équipes en interne pour mettre en place les mesures demandées. La maturité globale reste insuffisante pour supporter une cyberattaque majeure. (On vient de le voir avec la cyber attaque du SPF Finance qui lui n’est pas un petit SPF).

 -Cyber Security News : Est-il envisageable de proposer des solutions de sécurité "tout-en-un" aux organisations critiques pour répondre aux prérequis de NIS2 ?

 Fabrice Hecquet : Je suis très sceptique quant à l’idée de proposer des solutions « clé sur porte » pour des secteurs complexes. C'est impossible à mettre en place à cause des incompatibilités techniques, des systèmes déjà existants et des préférences des équipes IT.  Je suis partisant de ne pas mettre tous mes œufs dans le même panier. Présenter cela comme une solution miracle pour couvrir tous les besoins est, à mon sens, une approche purement commerciale. La cybersécurité, ce n'est pas du prêt-à-porter, c'est du sur-mesure qui demande une configuration rigoureuse. Certains acteurs vendent de tout, sans réelle expertise, et je me méfie de ces packages qui promettent une conformité simplifiée.

-Cyber Security News : On entend souvent dire dans le secteur cyber : « la question n'est pas de savoir si vous serez attaqué, mais quand ». Mais on parle moins souvent de la capacité d’une entreprise à se relever suite à une attaque …

 Fabrice Hecquet : En effet, c'est un constat à côté de la plaque. La question n'est pas « quand », mais "est-ce que je suis prêt". L'attaque arrivera, c'est une certitude. Ce qui compte, c'est la capacité de l'entreprise à supporter l'attaque et à remettre ses activités en place rapidement. La résilience, c'est la capacité à se relever, pas à prédire la date de l'incident.

Il arrive fréquemment que les données volées soient irrécupérables ou disparues à jamais. Les systèmes de restauration de certains services publics ou organisations privées ne sont pas optimaux. On ne peut pas se contenter de sauvegarder des données. Il faut être capable de les restaurer intégralement, ce qui est loin d'être acquis pour toutes les entreprises.

 -Cyber Security News : On entend dire que les systèmes de restauration échouent souvent. Pourquoi ?

 Fabrice Hecquet : Parce qu'on ne teste pas. On met en place des procédures de sauvegarde, mais on ne fait jamais d'exercices de restauration. C'est comme vouloir reconstruire une maison qui s'est écroulée sans avoir les plans ni les équipes formées pour le faire.  

 -Cyber Security News : Les experts en cybersécurité insistent souvent sur l’importance du cloisonnement des réseaux, notamment entre l'IT et l'OT (industriel) …

 Fabrice Hecquet : Il s’agit souvent de failles structurelles majeures. Aujourd'hui, on met tout sur le même réseau par facilité. Si un attaquant pénètre dans votre réseau bureautique (IT), il a un boulevard pour atteindre vos systèmes industriels (OT). C'est comme avoir un château avec 45 fenêtres et 15 portes au lieu d’avoir un bunker avec une seule porte.: il est impossible de tout surveiller. L’ouverture vers le cloud et la digitalisation des processus font que nous multiplions les risques. C’est pourquoi, il est important de segmenter, c'est-à-dire avoir des clés différentes pour chaque zone. Si une clé est volée, l'attaquant ne peut pas accéder au reste. C'est un manque cruel dans beaucoup d'entreprises que j'audite, et c'est pourtant une des exigences de la NIS2.

 -Cyber Security News : Quel est l'impact financier réel d'une cyberattaque pour une entreprise ?

 Fabrice Hecquet : Il est colossal. Nous ne connaissaons pas les coûts exact mais pour certains cela ce chiffre en millions d’euros. Les entreprises sous-estiment souvent ces coûts par rapport à l'investissement nécessaire en prévention. C'est comme l'adage : la cybersécurité avant, c'est trop cher ; après, c'est trop tard".

-Cyber Security News : Les règlementations cyber se succèdent à un rythme soutenu. Dernièrement, le Cyber Resilience Act impose de contrôler toute la chaîne d'approvisionnement. Est-ce qu’on ne risque pas d'asphyxier les petits fournisseurs belges disposant de moyens financiers plus limités ?

 Fabrice Hecquet : En effet, l’impact pour des petites entreprises qui seraient concernées est important. Il y a :

•       Le coût d'entrée financier : Obtenir des certifications, réaliser des audits tiers pour les produits jugés "sensibles" ou "critiques", et documenter la "Nomenclature des composants logiciels" (SBOM - Software Bill of Materials) représente un investissement de plusieurs milliers (voire dizaines de milliers) d'euros.

•       La pénurie de compétences internes : Une petite entreprise ou une start-up tech belge ne dispose généralement pas d'un Responsable de la Sécurité des Systèmes d'Information (RSSI) à temps plein. Traduire des exigences réglementaires complexes en processus techniques consomme un temps que les équipes devraient passer à l'innovation ou à la production.

•       Le risque d'exclusion du marché : Si une PME n'est pas prête à temps, les grandes entreprises soumises à la directive NIS2 (qui encadre la sécurité des infrastructures critiques) refuseront ses composants pour ne pas compromettre leur propre conformité.

 De grande entreprises pourraient décider de changer de fournisseur. C'est brutal, mais c'est la réalité de la chaîne économique. On ne demande pas aux petites structures de monter des usines à gaz, mais d'avoir des pratiques de base. C'est une question de survie pour l'ensemble de la chaîne.

 -Cyber Security News : Il n’est pas toujours évident d’aborder la question des investissements en cybersécurité dans les entreprises de plus petite taille. Comment convaincre néanmoins un dirigeant d'investir dans ce domaine désormais critique pour tout le monde ?

 Fabrice Hecquet : Il faut arrêter de parler de technique et envisager le problème sous l’angle de la survie. Je pose deux questions aux dirigeants : "combien de jours pouvez-vous tenir sans aucun chiffre d'affaires en payant vos salaires, vos fournissuers et vos dettes ?" ou "Combien de jours pouvez vous tenir sans aucune rentrée financière ? Quand on présente la cybersécurité comme une question de survie financière plutôt que comme un coût informatique, le paradigme change radicalement.

 -Cyber Security News : Le discours alarmiste des professionnels de la cybersécurité est-il contre-productif ?

Fabrice Hecquet : Oui, il braque les directions. Si vous arrivez avec un discours de peur, le dirigeant vous demandera combien les attaques ont coûté sur les cinq dernières années. Si la réponse est "zéro", il refusera l'investissement. Il faut inverser la logique : parlons de continuité d'activité, de résilience, et de la capacité à se relever après une chute. C'est un discours de bon père de famille, pas de vendeur de peur.

 -Cyber Security News : Quel est le niveau de lucidité des responsables IT et des directions en Belgique ?

 Fabrice Hecquet : Les directeurs informatiques et RSSI en Belgique sont parfaitement lucides face à la menace.  Je pense qu'on atteint environ 80% de conscientisation. Mais la réorientation des budgets ne suit pas, pour deux raisons : le manque de fonds et les impératifs métiers. La cybersécurité est encore perçue comme un frein à la productivité, surtout avec l'intégration massive de l'IA pour rester compétitif. Les métiers ne veulent pas être ralentis par des contraintes de sécurité. Obtenir des budgets de prévention reste difficile tant qu'un incident majeur n'a pas eu lieu.

 -Cyber Security News : Le "Shadow IA" est-il devenu la nouvelle menace majeure pour nos organisations ?

 Fabrice Hecquet : C'est un problème immense. Aucun dirigeant ne sait réellement ce qui se fait avec l'IA au sein de son entreprise, ni quelles données sensibles sont exposées. Les audits classiques, souvent réalisés par des grands cabinets facturés au jour-homme, ne donnent qu'une vision partielle. Il existe pourtant des solutions européennes anonymes pour auditer ces usages, mais elles sont rarement mises en avant car elles réduiraient le temps d'audit et donc la facturation.

 -Cyber Security News : Vous êtes très critique sur la dépendance aux fournisseurs américains. La souveraineté numérique est-elle un mythe ?

 Fabrice Hecquet : Tant que les enjeux économiques et géopolitiques dominent, oui. Quand je demande à des responsables gouvernementaux ce qu'ils feront si, demain, un président américain décide de couper les accès à Microsoft pour des raisons politiques, la réponse est souvent le silence. Il n'y a pas de plan B. On fonce tête baissée vers des acteurs soumis à des lois extraterritoriales. Tant qu'on privilégiera les investissements de data centers étrangers à la souveraineté réelle, nous resterons vulnérables. L’europe ne doit pas être soumise à des lois extra territoriales.

 -Cyber Security News : Pour conclure, quelles sont les bonnes pratiques indispensables pour une TPE ou une PME ?

 Fabrice Hecquet : Le 2FA (authentification à deux facteurs) obligatoire partout. Ensuite, la règle des 3-2-1 pour les backups : trois copies, deux supports différents, une copie hors site. Il faut aussi appliquer le principe du moindre privilège, sensibiliser les collaborateurs pour réduire le risque humain, et déployer des EDR (Endpoint Detection and Response), des protections sur les réseaux, avoir un plan de continuité d’activité. Pour une PME de 100 personnes, un budget de 20 000 à 50 000 euros par an permet déjà une protection correcte. Le risque zéro n'existe pas, mais la préparation fait toute la différence.