Interview : Le péril invisible des PME belges face à la cyber menace industrielle

Alors que la menace cyber est entrée dans une phase industrielle et automatisée, les entreprises belges se retrouvent en première ligne. Entre méconnaissance des risques, réglementations complexes et l'essor incontrôlé du "Shadow AI", le tissu économique belge, composé majoritairement de PME, se trouve plus que jamais exposées à un danger existentiel. Entretien avec Nicolas Lenaerts, CTO de l’agence numérique La Niche, sur les réalités du terrain, les paradoxes de la souveraineté numérique et l'urgence d'une prise de conscience sur les risques cyber.

 -Cyber Security News : Pouvez-vous nous présenter le positionnement de votre agence dans le paysage numérique belge ?

 -Nicolas Lenaerts, CTO de l’agence La Niche: Nous sommes une structure agile spécialisée en stratégie, identité de marque et écosystèmes digitaux, désormais intégrée au groupe Miège, qui compte environ 900 consultants en Belgique. Auparavant, nous réalisions des projets sous l'entité Dog Studio, dont une partie des équipes a été rachetée par le groupe DEPT aux États-Unis. Nous avons basculé vers une offre de produits complets avec un suivi client sur le long terme. Cette intégration nous offre une force de frappe importante : nous conservons notre autonomie, mais nous pouvons mobiliser des renforts spécialisés du groupe, notamment en cybersécurité, pour des besoins spécifiques. Nous nous positionnons donc comme des partenaires de services numériques qui intègrent la sécurité dès la conception du projet. Nous comptons parmi nos clients aussi bien des entreprises internationales, des PME que des organisations publiques comme Bruxelles Environnement.

 -Cyber Security News : On parle aujourd’hui de cybermenace « industrielle ». Qu'est-ce que cela signifie concrètement pour vos clients ?

Nicolas Lenaerts : Nous sommes entrés dans une ère où l'attaque est devenue automatisée. Il est aujourd’hui possible pour un attaquant d’utiliser des plateformes pour lancer des attaques sophistiques sur des entreprises. En tant que CTO, je reçois entre 150 et 200 tentatives d'intrusion par jour sur nos systèmes. Ce sont la plupart du temps des « failed logins » systématiques, des tentatives de pénétration automatisées. Les adresses IP sont blacklistées pour des durées limitées. En réalité, l'IA a surtout accéléré la rapidité d'exécution. Lors d’une récente faille WordPress, nous avons vu des milliers d'alertes en un week-end, alors que la faille venait à peine d'être publiée. Le vrai danger, c'est quand l'attaque réussit. Dans ce cas, le vol de données et les demandes de rançon peuvent littéralement forcer une entreprise à mettre la clé sous le paillasson.

La menace est industrielle : les attaques ne sont plus artisanales mais automatisées, avec des plateformes criminelles accessibles pour 50 €.

-Cyber Security News : Quel est, selon votre expérience, le degré d'intérêt réel de vos clients pour la cybersécurité ? Sont-ils paniqués à l’idée d’être ciblés par une attaque ?

Nicolas Lenaerts : Il y a plusieurs profils. Les plus grosses structures viennent avec une véritable demande, souvent sans savoir par où commencer, et nous sollicitent pour des audits. À l'autre extrême, on trouve les petites PME qui ne se sentent tout simplement pas concernées. C'est nous qui devons les alerter sur les risques réels. Entre les deux, il y a des entreprises d'une vingtaine de personnes qui, conscientes du danger, cherchent des solutions pragmatiques. Mais elles ne peuvent pas toujours débourser 30.000 à 50.000 € dans des audits spécifiques. Nous mettons dès lors en place des check-lists et des conseils techniques concrets pour les faire avancer.

 -Cyber Security News : On entend dire que les attaquants se réorientent vers les petites structures, car elles sont moins protégées. Est-ce une réalité que vous observez au quotidien ?

Nicolas Lenaerts : Absolument. Les attaquants cherchent la facilité. Pour le même effort, ils ont plus de chances de réussir leur coup sur une petite structure. Mais le risque est souvent indirect : les organisations peuvent être attaquées via leurs partenaires. C'est donc toute la chaîne logistique qui est vulnérable.

-Cyber Security News : La réglementation NIS2 est sur toutes les lèvres. Vos clients sont-ils réellement préparés ?

Nicolas Lenaerts : C'est très inégal. Environ 15 % de nos clients sont réellement inquiets et proactifs. Il faut rappeler que NIS2 concerne principalement les entreprises de plus de 50 employés, mais le problème est celui du "maillon faible". Si vous travaillez avec un gros prestataire B2B, vous devez vous mettre en conformité. Pour beaucoup, c'est une découverte. Nous avons des clients historiques, comme Be-Life dans le parapharmaceutique, qui ont compris l'enjeu et travaillent main dans la main avec nous, ainsi que des auditeurs spécialisés pour respecter ces règles.

-Cyber Security News : Face à la multiplication des réglementations (RGPD, NIS2, DORA, AI Act), les entreprises belges disposent-elles des moyens pour suivre et se maintenir à jour ?

Nicolas Lenaerts : C'est en effet très difficile pour certaines d’entre elles. Si le RGPD est désormais intégré dans les mœurs, NIS2 pose encore souvent question. Pour une PME, se mettre en conformité totale peut coûter très cher. C’est pourquoi, notre approche reste pragmatique. Nous intégrons les mesures de sécurité de base, comme la double authentification ou des systèmes de logs, dès le développement des projets. Pour un projet web, nous pouvons atteindre une très bonne certitude de conformité pour environ 5.000 €, là où un audit complet peut grimper bien plus haut. En revanche, quand nous reprenons des projets existants où rien n'a été réfléchi à l’origine, la facture peut grimper jusqu’à 15.000 € pour sécuriser les fondations existantes. 

-Cyber Security News : Vous vous définissez comme une agence "IA augmentée". Est-ce une stratégie pour rester réactif et compétitif face, notamment, à cette complexité réglementaire ?

Nicolas Lenaerts : Exactement. Auparavant, la veille technologique et réglementaire prenait des journées entières. Aujourd'hui, nous avons développé nos propres outils IA qui résument les changements législatifs et les nouvelles menaces en temps réel. Cela nous permet de rester à jour sans sacrifier notre temps de production. Nous utilisons l'IA pour nous former extrêmement rapidement, ce qui nous permet de conseiller nos clients avec une réactivité accrue.

L'utilisation non contrôlée d'outils comme ChatGPT pour traiter des données confidentielles est un risque majeur de fuite de données.

-Cyber Security News : Un sujet brûlant est le "Shadow AI". Vos clients sont-ils conscients des risques liés à l'utilisation d'outils comme ChatGPT ?

 Nicolas Lenaerts : C'est un sujet majeur et très inquiétant. Prenons l'exemple d'un comptable « overbooké » qui, pour préparer un rapport en urgence, va copier-coller des tableaux Excel remplis de données clients dans un outil IA comme ChatGPT. Cette personne ne réalise pas que ces données partent sur des serveurs aux États-Unis et servent à entraîner les modèles. Il y a un mois, nous avons observé des conversations ChatGPT entières indexées dans Google via de simples recherches, exposant des données confidentielles d'entreprises en clair. C'est choquant. Nous passons beaucoup de temps à conscientiser nos clients en leur expliquant qu’on ne traite pas de données stratégiques dans un outil public.

-Cyber Security News : Comment concilier l'usage de l'IA et la protection des données sensibles ?

 Nicolas Lenaerts : « Nous ne cherchons pas à bannir l'IA, mais à l'encadrer par une architecture adaptée au niveau de risque de chaque client. Concrètement, cela passe par une approche à trois niveaux : la souveraineté, la gouvernance et la sécurité dès la conception. Nous proposons des solutions à la carte, allant de modèles européens comme Mistral pour les besoins standards, jusqu'au déploiement on-premise de modèles open source (type LLaMA) pour les données les plus critiques, garantissant ainsi qu'aucune information ne transite par des serveurs tiers. »

Utiliser des solutions belges ou européennes (Odoo, Mistral) est un argument de vente puissant qui rassure les clients.

-Cyber Security News : Au-delà des aspects techniques, comment conscientisez-vous vos clients à ces nouveaux dangers ?

 Nicolas Lenaerts : Nous proposons des formations spécifiques sur l'intelligence artificielle. C'est un travail d'éducation permanente ; un peu comme à l'époque lorsqu’on devait interdire aux employés de créer des réseaux Wi-Fi sauvages avec leur téléphone au bureau. Nous expliquons concrètement pourquoi certains usages sont dangereux et quels sont les risques de fuite de données. Une discussion ferme suffit souvent à changer les comportements. On rappelle également des règles de base, comme ne pas coller de post-it avec le mot de passe sur le bord de l'écran, ne pas mettre de photos sensibles sur LinkedIn.

 -Cyber Security News : Vous prônez une approche souveraine. Comment cela se traduit-il concrètement avec vos clients ?

 Nicolas Lenaerts : Nous proposons toujours un choix. Pour les clients soucieux de la souveraineté, nous conseillons des solutions européennes comme Mistral, ou même des déploiements locaux avec des modèles comme LLaMA, qui peuvent tourner sur des infrastructures internes. Pour le projet "Wallonie Entreprendre", par exemple, nous avons privilégié Odoo, une solution belge, qui garantit à la fois la sécurité, la conformité RGPD et une souveraineté des données, sans exploser les budgets. Les clients adorent l'argument « c'est du Belge », cela les rassure. Ils ont moins l'impression d’investir leur argent à l'étranger.

-Cyber Security News : Qu'en est-il des certifications techniques comme l'ISO 27001 ? Est-ce un objectif pour une agence de taille moyenne comme la vôtre ?

 Nicolas Lenaerts : En réalité, c'est un frein majeur pour les agences de notre taille. La certification demande un temps et un investissement financier considérables. Plutôt que de gérer nos propres serveurs en interne, ce qui serait professionnellement difficile en termes de sécurité, nous préférons nous appuyer sur des hébergeurs certifiés qui portent cette responsabilité.

Malgré l'IA, le conseil et la pédagogie restent les piliers de la relation client.

-Cyber Security News : Le secteur de la cybersécurité en Belgique est en pleine ébullition. Comment voyez-vous l'avenir dans ce domaine d’expertise ?

Nicolas Lenaerts : C'est un secteur qui va exploser dans les années à venir. Des événements, comme le Digital Wallonia Cyber Forum organisé par l'Agence du Numérique, démontrent cette montée en puissance. On sent que la maturité en matière de cybersécurité augmente, même si nous avons encore du chemin à faire. 

-Cyber Security News : Ne craignez-vous pas, à terme, d'être remplacés par ces mêmes outils que vous déployez ?

Nicolas Lenaerts : Pas du tout. L'IA excelle dans la rapidité, mais elle manque de ce "streak" humain, de cette capacité à rassurer le client et à expliquer le pourquoi des choses. Nous réinvestissons le temps gagné grâce à l'IA dans le conseil et la pédagogie. Un client préférera toujours discuter avec un humain pour comprendre un processus complexe plutôt qu'avec un robot. Le contact client reste plus important qu'avant.

-Cyber Security News : Pour conclure, quel conseil donneriez-vous à une entreprise qui se sent dépassée en matière de cybersécurité ?

 Nicolas Lenaerts : Ne cherchez pas à tout faire seul. La sécurité est un métier à plein temps. Il vaut mieux s'appuyer sur des prestataires qui intègrent ces réflexes de sécurité dès la conception. La sécurité ne doit pas nécessairement coûter des dizaines de milliers d'euros ; des mesures de base (2FA, logs, backups) permettent d'atteindre une conformité satisfaisante pour un budget maîtrisé. Et surtout, n'oubliez pas que la sécurité, c'est aussi de l'éducation : un mot de passe robuste et une vigilance humaine valent parfois mieux que tous les pares-feux du monde.