Intelligence économique et cybersécurité
Jimmy Merlet
technique EBIOS, "moi ce que j'ai fait, j'ai repris toutes les étapes et complété avec de la littérature"
"on est à cheval sur l'aspect économique et l'aspect gestion, vous voyez que la passerelle entre les deux notions est assez fine"
"normalement j'ai 18h de cours pour parler d'intelligence économique, et là on me demande de faire le lien entre intelligence économique et cybersécurité en 9 heures, ça je l'ai dit à vos directeurs"
Intelligence économique des territoires/des entreprises
"c'est celle des entreprises qui va nous intéresser" => s'appuyer sur les données contenues dans le cadre de l'entreprise pour générer de la performance
"dans le processus décisionnel dans lequel vous êtes déjà inscrits en tant qu'apprentis, vous verrez que c'est intéressant bien au-delà du cours"
théorie de la contingence (Mintzberg): "c'est un peu une usine à gaz", "on ne va pas avoir le temps de développer"
3 piliers :
objectifs (Carlier 2012) :
interpréter de grands volumes de données
identifier de nouvelles opportunités
une stratégie efficace peut induire un avantage concurrentiel et une stabilité à long terme
l'intelligence économique aide donc les dirigeants à prendre ds décisions intelligentes
les donnés sont transformées pour les rendre "accessibles" aux décideurs => rapports, tableaux de bord et autres outils de data visualisation
les informations récoltées peuvent permettre de développer une veille concurrentielle => mettre en lumière les tendances du marché
optimiser ses KPI (e-commerce, organisationnel, financier...)
sources de données :
à l'origine, l'intelligence économique était réservée aux data analystes, modeleurs prédictifs et autres statisticiens
aujourd'hui, il existe des plateformes en libre-service qui permettent de sous-traiter cette tâche (ex. ReportOne)
Problématique (énoncer les questions) > Collecte des données > Analyse > Diffusion des résultats > S'assurer que les résultats correspondent à la problématique
Exemple du CRM : gérer et analyser les interaction et données des clients tout au long de leur cycle de vie
"quand vous passez devant certaines boutiques, vous allez recevoir une notification"
5 grands facteurs de prise de décision (Herbert Simon, 1955) :
Prise de décision (March et Simon, 1958) : l'optimisation est remplacée par la satisfaction (biais comportementaux)
les alternatives d'action et les conséquences de l'action sont découvertes séquentiellement par des processus de recherche
chaque action spécifique traite d'une gamme restreinte de situations et de conséquences
"ce qui fait un bon manager, c'est d'être capable de prendre en considération l'aspect humain"
modèle IMC (Intelligence, Modélisation, Choix) de Simon (1978) : la décision n'est pas optimale, car elle varie en fonction de facteurs personnels, propres à l'organisation ou à l'environnement (= rationalité limitée, par opposition à la rationalité parfaite)
autres critères d'influence :
la rationalité limitée vise à un minimum de satisfaction dans un cadre organisationnel contraignant : l'information est imparfaite, les capacités cognitives du décideur sont limitées
"montrez que vous avez une capacité à prendre du recul, de la hauteur"
modèle poubelle (Cohen, March et Olsen, 1972) : les individus ne sont pas tout à fait honnêtes sur leur capacité à effectuer les tâches en entreprise, ils vont "créer des problèmes plus que les résoudre" pour justifier leur place en entreprise
"l'exemple que j'aime bien prendre, c'est la DOSI qui ne fournit pas toujours les câbles pour les ordinateurs dans les amphis"
"si on embauche un expert en cybersécurité en freelance et qu'il est performant, il pourrait vous former pour faire son travail, mais c'est aussi son intérêt de revenir"
"ce genre de comportement ne sont pas si peu fréquents que ça"
"en déployant une solution qui risque d'introduire un nouveau problème, vous êtes dans le modèle poubelle"
garder une vision stratégique : une solution va vendre des problèmes à l'organisation, mais ces problèmes ne sont pas nécessairement les plus importants
"le piratage industriel ça peut être vite dramatique" (fuites d'informations d'éditeurs de jeu vidéo)
"on va sauter les définitions parce qu'on a pas le temps"
Les mesures à prendre doivent être en cohérence avec :
cette cohérence s'appuie sur 2 approches complémentaires (Salamon, 2020) :
le risque cyber est historiquement lié à la sphère technique, toutefois il s'étend aujourd'hui à la sphère des préoccupations des dirigeants et des décideurs -> prise de décision
approche par la "conformité" = mettre en œuvre des socles de mesures issues de référentiels adaptés au contexte de l'organisation
il peut aussi s'agir de listes de mesures très basiques : https://cyber.gouv.fr/publications/guide-dhygiene-informatique
permet de protéger des SI peu complexes contre des menaces génériques et peu sophistiquées
"la méthode EBIOS, je l'ai découverte il y a pas très longtemps, et je me suis rendu compte qu'elle était totalement cohérente avec les métiers que vous cherchez à pratiquer"
approche par l'analyse des risques = analyser la menace qui pèse spécifiquement sur le SI concerné, et mettre en avant les événements redoutés qui peuvent survenir
"on est plus dans un consultant"
plus adaptée aux systèmes complexes, soumis à des menaces significatives
le risque cyber doit être gouverné et donc mesuré, objectivé, piloté
axes liés à la gouvernance du risque cyber (Salmon 2020) : sensibilisation, management, homologation, documentation, veille et audits du marché (= intelligence économique), etc.
la méthode EBIOS a été développée en cohérence avec les normes existantes : ISO 31000 (gestion des risques), ISO/IEC 27001 (exigences pour un système de management de la sécurité de l'information) et 27005 (gestion des risques de sécurité de l'information, visas de sécurité de l'ANSSI...
"c'est pas les documents les plus sympas à lire"
EBIOS : temporalité par ateliers, "c'est très subjectif à mon sens"
pyramide de management du risque numérique
Atelier 1 : cadrage et socle, vise à identifier :
Atelier 2 : sources du risque (SR) - et objectif visé (OV) par la source (= l'attaquant)
"normalement si vous avez bien travaillé, au moment de revenir aux sources du risque, soit elles auront disparu, soit elles seront grandement atténuées"
les couples SR/OV jugés les plus pertinents sont conservés
Atelier 3 : scénarios stratégiques = chemins d'attaque de la source du risque
Atelier 4 : scénarios opérationnels, en fonction du niveau de vraisemblance ("vous n'allez pas faire un scénario opérationnel sur un risque de chute de météore sur la fac")
Atelier 5 : réunir tout ce qui a été mobilisé dans les ateliers précédents (synthèse des risques, stratégie de traitement, mesures de sécurités, risques résiduels)
"vous allez cibler ce qu'il faut mettre en œuvre dans le cadre des problématiques associées à votre sujet, en mobilisant de la littérature"
l'atelier 1 dure 3 séances dune demi-journée
"le plus compliqué c'est souvent la coordination des individus"
l'atelier 2 dure 2h à 1 journée de travail
atelier 3 : 1 à 1,5 journée de travail
atelier 4
atelier 5, "c'est un peu la même chose que le principe de la LOLF : d'année en année, l'État reprend la même structure, rejuge ses indicateurs pour voir ce qui a évolué"