NIS2 offre des opportunités !

Comment décririez-vous brièvement votre entreprise et vos services ?

Jan Martijn Broekhof : « Guardian360 est un éditeur néerlandais de logiciels de sécurité de l'information. Nous aidons les prestataires de services gérés, les prestataires de services informatiques, les développeurs d'applications web et les organisations de conseil à mieux maîtriser leur sécurité de l'information. Nous le faisons par le biais de services par abonnement qui accompagnent leurs clients sur les aspects techniques, préventifs, processuels et de détection de la sécurité de l'information. Et nous le faisons selon l'axe personnes, processus et technologie. »

Vous êtes surtout connus pour votre logiciel de scan. Pourriez-vous dire qu'il s'agit de votre joyau de la couronne ?

Broekhof : « Non, c'est surtout la combinaison de services au sein de notre plateforme qui nous distingue. L'analyse de vulnérabilités en est certainement un élément important, mais ces scans alimentent aussi notre module de conformité. Nous pouvons ainsi non seulement fournir une vision technique préventive, mais aussi accompagner les organisations dans le respect de normes et de réglementations telles que NIS2. Nous combinons cela avec la détection de criminels dans les réseaux, ce qui aboutit à un tableau de bord où différentes informations se rejoignent. »

Êtes-vous principalement actifs dans certains secteurs ou est-ce très diversifié ?

Broekhof : « C'est très diversifié. Nous nous concentrons surtout sur les Managed Services Providers qui servent principalement les PME. Notre portefeuille de clients finaux comprend un large éventail d'entreprises, telles que des cabinets administratifs, des usines, de grandes boutiques en ligne, et bien d'autres. Toute organisation disposant d'une bureautique, d'un réseau et/ou d'une application web peut devenir cliente chez nous. Nous servons des clients qui ont déjà raisonnablement mis de l'ordre dans les bases et qui comprennent l'importance de la sécurité de l'information. En même temps, nos tarifs conviennent à une PME qui ne dispose pas d'un budget important pour la sécurité de l'information. »

Pouvez-vous nous en dire plus sur la combinaison de modules que vous utilisez ?

Broekhof : « Nous avons des clients qui externalisent la gestion de leur informatique auprès de partenaires qui s'occupent de la gestion des systèmes et des réseaux. Beaucoup de ces clients entendent parler de solutions avancées comme le SIEM et le SOC, mais n'ont souvent pas les moyens de se les offrir ou ne disposent pas du personnel nécessaire pour les utiliser. Nous proposons une solution pour cela. Nous effectuons chaque jour un scan complet de l'environnement bureautique. Cela donne une vision de plus de 150 000 vulnérabilités potentielles dans la sécurité d'un réseau, telles que des mots de passe faibles et de nouveaux appareils. »

« Nous fournissons en outre une vision de la conformité à des normes telles que NEN 7510, ISO 27001, et à des réglementations telles que le RGPD et NIS2. Si un criminel parvient tout de même à pénétrer un réseau, nous le détectons rapidement et envoyons une alerte par SMS ou par e-mail afin d'éviter des dommages importants. Nous introduirons prochainement aussi notre application mobile, qui permettra de recevoir des notifications push en cas d'alerte. »

Avec l'arrivée de NIS2, votre service devient encore plus important, n'est-ce pas ? D'autant plus que les entreprises ont désormais une obligation de signalement.

Broekhof : « Oui, c'est exact. Notre outillage est essentiel pour pouvoir signaler les violations de données, mais bien entendu nous nous efforçons avant tout de les prévenir. Grâce à nos scans, nous cartographions tous les points d'entrée potentiels par lesquels quelque chose pourrait mal tourner, avant que cela ne se produise. Comme le processus est automatisé, il nécessite peu de travail manuel, ce qui est très pratique compte tenu de la pénurie de personnel dans de nombreux services informatiques. »

Vous êtes également impliqué dans Cyber Safe Netherlands. Pouvez-vous nous en dire un peu plus à ce sujet ?

Broekhof : « Oui, nous avons été l'une des huit parties à l'origine de Cyber Safe Netherlands. En 2017, nous avons constaté que de nombreux nouveaux acteurs entraient sur le marché de la sécurité de l'information. Il devenait de plus en plus difficile pour les clients finaux de distinguer le bon grain de l'ivraie. N'importe qui pouvait proposer des services de sécurité de l'information, ce qui a créé une sorte de far west. Nous avons voulu accroître la transparence et la qualité dans notre secteur afin d'aider les clients à mieux choisir et à se sentir en confiance dans la sélection des bons prestataires. »

Qu'est-ce que cette initiative a permis d'accomplir jusqu'à présent ?

Broekhof : « Il y a aujourd'hui plus de 120 parties membres de Cyber Safe Netherlands. Nous avons publié un dictionnaire cyber pour traduire la terminologie complexe de la sécurité de l'information en langage courant. Nous avons également développé un label de qualité pour les pentesters, qui permet à un client de demander directement si un prestataire dispose de ce label. »

Vous collaborez avec Samen Digitaal Veilig et le label NIS2 Quality Mark. Comment voyez-vous cela depuis votre expertise ?

Broekhof : « Ce qui me plaît, c'est que les entreprises peuvent utiliser ce label pour démontrer qu'elles font de leur mieux pour se conformer aux nouvelles règles en matière de cybersécurité, sans devoir immédiatement se soumettre à une certification lourde telle qu'ISO 27001. L'accent n'est pas mis sur les scénarios alarmistes, mais sur une amélioration pratique de la sécurité des entreprises. Il est également positif que la RDI soutienne cette initiative. »

Que pensez-vous du modèle par paliers du label NIS2 Quality Mark ?

Broekhof : « Ce modèle par paliers est attractif pour les PME car il leur propose des initiatives progressives. Il montre que tout ne doit pas être parfait d'emblée, mais que l'on peut commencer par une hygiène cyber de base et évoluer à partir de là. Et qu'à un certain moment, cela devient suffisant. Ce modèle aide les clients qui partent de zéro ou qui disposent déjà d'une certaine base et souhaitent évoluer vers une posture de sécurité de l'information plus complète. »

Les grandes entreprises continueront d'opter pour la norme ISO 27001, mais qu'en est-il des petits fournisseurs ?

Broekhof : « Oui, pour ces petits fournisseurs, qui ne voient pas toujours immédiatement les ressources ou la nécessité d'une norme stricte comme ISO 27001, le label NIS2 Quality Mark semble bien adapté. Leur activité quotidienne reste prioritaire, mais la cybersécurité demeure importante. Le label leur offre une voie réaliste pour répondre aux normes de sécurité pertinentes sans être submergés. »

Quoi qu'il en soit, la réglementation NIS2 arrive. Constatez-vous que le sujet vit chez vos clients, ou reste-t-il encore beaucoup de travail pour les préparer ?

Broekhof : « Le sujet est certainement bien vivant, mais nous devons en même temps encore travailler dur pour faire passer le message de la bonne manière. De nombreux entrepreneurs se sentent encore quelque peu dépassés par les nouvelles réglementations et législations. Ils se posent des questions telles que « qui exactement doit s'y conformer, comment s'organise-t-on et combien cela va-t-il coûter ? » Il reste encore beaucoup de clarté à apporter à ce sujet. »

Comment gérez-vous les préoccupations des entrepreneurs et des PME face à la réglementation et à ses implications ?

Broekhof : « En tant que président de VNO-NCW dans la province d'Utrecht, je m'entretiens avec de nombreux entrepreneurs. Nous essayons d'adopter une approche pragmatique de la cybersécurité en fournissant des conseils concrets, sans vendre directement nos produits ni promettre une conformité immédiate. Cela semble bien fonctionner. Nous rassurons les organisations et disons aux entrepreneurs qu'ils ne doivent pas immédiatement se soumettre à des certifications lourdes ni craindre des amendes. Mais en même temps, ils doivent se mettre au travail. NIS2 offre des opportunités. Si vous pouvez démontrer que vos affaires sont en ordre et que ce n'est pas le cas de votre concurrent, vous disposez d'un avantage dans les appels d'offres. Cette distinction entre les entreprises conformes et non conformes finira par séparer le bon grain de l'ivraie. »