Rencontre avec Kermeur, les experts de l'intelligence économique.

Nous avons échangé avec les associés du cabinet Parisien Kermeur au sujet des menaces actuelles en termes d'intelligence économique et de cyber sécurité. Entre fantasmes et réalités, on en a beaucoup appris sur les risques encourus par les entreprises, même les plus petites.

Présentez-nous brièvement l'activité du cabinet Ker-Meur.

Frédéric Mouffle (directeur général associé) : Ker-Meur est un cabinet de conseil en intelligence économique et en cyber sécurité à Paris. Historiquement spécialisée en intelligence économique, la société a développé un département cyber sécurité, prolongement naturel de l’IE qui est son deuxième pilier. Ker-Meur intervient également en ingénierie de sûreté et sécurité et, de manière transverse, réalise des formations liées à ses métiers.

Quels sont les défis actuels relatifs à l'intelligence économique et à la cyber sécurité aujourd’hui ? 

Dans un monde où tout va très vite, trop vite à mon sens, il y a un besoin vital de vision à long terme et donc d’anticiper, un risque, une opportunité, une évolution… L’Intelligence Économique apporte aux dirigeants cette capacité à prendre une décision appuyée sur une analyse factuelle et donc, à se donner le temps de peser le pour comme le contre, à l’aune de la stratégie de son entreprise et de ses intérêts. Le renseignement est un outil puissant dans les mains de qui sait s’en servir.

La sécurité informatique elle, relève des éléments vitaux d’une entreprise. Sans informatique, saurions-nous encore travailler ? Vraisemblablement non, car nous n’aurions plus accès à nos données, à nos bases clients, à nos fournisseurs ou à notre argent. Nous ne serions plus capables de communiquer et ce d’autant plus que nous n’avons plus de moyens dégradés. Les lignes de téléphonie filaire n’existent plus, donc plus d’internet, plus de communication. Les voyous du net, comme les opérations d’états ou d’organismes puissants, privés ou non, se multiplient. Comme sur un champ de bataille, la cuirasse a souvent un temps de retard sur l’obus nouvelle génération. Si l’un des défis est clairement de se maintenir technologiquement au niveau pour résister aux agressions, l’autre est de prendre conscience que l’utilisateur est souvent l’auteur, involontaire, mais réel de ses déboires informatiques. Il faut donc dépasser la compulsivité de la connexion de notre société du « tout, tout de suite » et accepter une discipline de comportement face à la planète cyber. Il faut donc sensibiliser et former les utilisateurs pour diminuer les risques, ce qu’ils feront d’autant mieux s’ils les comprennent et qu’ils acceptent de respecter une bonne hygiène informatique.

Comment faire face à la mutation permanente de ces menaces ?

Concernant le risque cyber, il y a plusieurs niveaux de prévention et de réaction. Mais avant tout, il est nécessaire de rester modeste quant à ses capacités propres à gérer les menaces ou les risques. Il y a toujours à un moment ou à un autre quelqu’un qui franchit un palier que l’on pensait infranchissable. Il faut donc rester persuadé, sans être paranoïaque, que le risque est latent et qu’il faut vivre avec. Partant de là, il faut accepter la discipline de comportement, ce que je disais plus haut. C’est la première et la plus efficace des barrières. Ne pas créer de faille résout déjà une grande partie des problèmes. Le second niveau est affaire de spécialistes et de maintien au niveau des installations.

Pour la menace en intelligence économique, il faut également avoir en priorité un comportement adapté et rationnel. Avoir pris le temps d’identifier vos points clefs (production, brevets, grilles de prix, personnel spécialisé, concurrents…). Cela dépend de votre activité. La connaissance de ces points clefs permet d’être attentif à l’évolution de leur environnement et de déterminer les indicateurs d’alerte. À partir de là, ne pas hésiter à approfondir une recherche d’information sur tel ou tel point et lever un doute.

Que ce soit en cyber ou en économie, l’ennemi est la méconnaissance d’une situation et une mauvaise surprise coûte souvent plus cher à rattraper qu’à prévenir. Une due diligence revient moins cher que des honoraires d’avocats assaisonnés aux frais de justice par exemple.

Quelle est votre valeur ajoutée dans ce type d’interventions ?

En Intelligence économique, notre grande plus-value c’est notre connaissance des modes et des types de prédations et de malveillance qui nous permet de protéger nos clients. Et lorsque nous effectuons des due diligences à leur profit, nous nous appuyons sur une méthodologie éprouvée et confortée par l’expérience de situations très variées que nous traitons quotidiennement. Bien sûr, nous n’aurons jamais une connaissance aussi fine que nos clients de leur propre métier ou de leur secteur d’activité. Mais ce que nous leur apportons, c’est notre connaissance approfondie des risques et des méthodes utilisées par des gens malveillants ou des stratégies de déploiement, etc. Et, par-dessus tout, nous mettons à leur disposition un vaste réseau d’informateurs répartis dans le monde, issus de milieux divers, ce qui nous permet d’avoir des angles de vue différents sur une même situation et donc, d’en aborder les contours dans leur globalité. Nos clients sont des spécialistes de leur métier, nous sommes des spécialistes de la recherche de l’information.

Notre expertise cyber s’étend plus particulièrement aux aspects de prévention par les tests et les audits. Nos spécialistes réalisent en permanence des « tests de pénétration ou PenTests » qui permettent, en liaison avec les RSSI / DSI de mesurer le niveau de résistance des défenses des systèmes puis de les renforcer si besoin. D’autres types de tests servent à sensibiliser les utilisateurs aux bonnes pratiques en leur permettant de comprendre le fonctionnement d’une attaque qu’elle soit technique (botnet par exemple) ou plus subtile par de l’ingénierie sociale. Nous leur montrons donc comment protéger leur intimité internet. Les investigations cyber (Forensic) sont destinées à rechercher des opérations non conformes ou illicites dans les systèmes ou à prouver une malveillance. C’est par une connaissance fine des modes d’action et de la culture des cyber-malveillants et une actualisation permanente de nos connaissances techniques que nous procurons à nos clients une expertise dédiée et efficace.

Quel est le profil majoritaire de vos clients ? Est-ce que toutes les entreprise sont concernées par la cyber sécurité ?

Avec la révolution informatique, il n’y a pas de petit client ou d’entreprise plus visée qu’une autre. On ne doit pas se demander si on va être attaqué, mais quand et agir en conséquence. Un consultant qui perd ses données, c’est la même chose qu’un géant de la vente en ligne ou du stockage de données qui se fait pirater ses bases de clients. C’est une question d’échelle.

De même pour l’I.E, des TPE sont des clients et certaines peuvent avoir, au titre de leur expertise, une énorme valeur ajoutée. Il est clair que des entreprises plus importantes auront des moyens accrus à consacrer à des opérations d’I.E. Mais ce n’est pas toujours le cas.

Donc, dans un cas comme dans l’autre, nos clients sont majoritairement des PME / ETE de toutes catégories de services (avocats, experts-comptables, fonds d’investissement…) ou de production. De très grandes entreprises nous sollicitent sur les opérations qu’elles souhaitent garder confidentielles.

Quand on parle d'intelligence économique on pense aussi à l'espionnage industriel, est-ce encore une réalité aujourd’hui ? Quelles sont les entreprises visées?

Plus que jamais l’espionnage industriel est une réalité. Il vise tous types d’entreprises dès lors que son savoir-faire, ses brevets ou ses clients représentent un intérêt pour la domination d’un secteur, ou sont perçus comme une menace. Des entreprises sont espionnées pour contrefaire leurs produits ou copier un modèle économique, débaucher du personnel, identifier des faiblesses puis les racheter ou les faire disparaître. Ce ne sont pas uniquement les poids lourds de l’industrie tels Alcatel ou Alstom, la guerre que se livrent Airbus et Boeing. Des PME et des ETE à forte valeur ajoutée sont des cibles permanentes.

À ce sujet pensez-vous que les USA représentent actuellement la plus grande menace ? On pense aussi aux Russes et aux Chinois mais est-ce fantasmé ou réel ? 

Les USA ont érigé le droit comme arme d’espionnage économique et ont industrialisé des moyens technologiques de captation de l’information. De leur côté les chinois développent des outils et des opérations très offensives, plus centrées sur le terrain, et tout aussi efficaces. Les deux disposent de fonds d’investissement spécialisés largement dotés en moyens financiers. Alors, oui ces puissances doivent être considérées comme des adversaires potentiels. Il ne faut pas être naïfs. Leurs intérêts ne sont pas toujours compatibles avec les nôtres. Et en économie, comme en amour, tous les coups sont permis.

J’insiste aussi sur le fait que si l’on pointe du doigt la Chine et les USA auxquels nous pouvons ajouter la Russie, ces nations ne sont pas les seules à se montrer offensives. En Europe, certains pays ne sont pas en reste quand il s’agit de conquérir un marché ou d’éliminer un concurrent.

Dans ce contexte, anticiper par la veille et l’intelligence économique sont vitaux et sont un bon réflexe. Renforcer ses défenses informatiques contribue aussi à limiter les possibilités d’intrusion ou de diffusion non contrôlée d’informations importantes.

Le mot de la fin : Auriez-vous un conseil simple à destination des entreprises pour se prémunir d'une cyber attaque ?

Persuadez-vous qu’une cyber attaque se matérialisera un jour ou l’autre. Sensibilisez votre personnel pour qu’il puisse réagir s’il détecte des signaux ou des indices d’attaque et qu’il ait les bons réflexes. Travaillez de concert avec votre Responsable informatique pour qu’il puisse optimiser la sécurité de votre réseau et de votre outil de travail.

Vous souhaitez en savoir plus? Contactez le cabinet d'intelligence économique Kermeur.