La cybersécurité française passe à l'attaque

29 novembre 2012 Par PAR RIDHA LOUKIL, AVEC HASSAN MEDDAH - L'Usine Nouvelle n° 3309

Les industriels hexagonaux mettent les bouchées doubles en matière de défense informatique. Un marché en pleine expansion.

La France a-t-elle les moyens de sa cyberdéfense ? La révélation par "L'Express", la semaine dernière, des dessous du piratage informatique de l'Élysée survenu en mai rappelle, s'il en était besoin, les dangers du cyberespace. Loin d'être à l'abri des opérations d'espionnage informatique, la France possède toutefois de sérieux atouts pour se défendre. Elle dispose même d'une filière d'excellence, prospère et exportatrice, comme le révèle la récente étude du cabinet Pierre Audoin Consultants. Ainsi, qui aurait cru que le leader français de la carte à puce, Gemalto, sécurise l'accès au cloud d'Amazon ? On n'imagine pas non plus que Thales participe à la protection des systèmes de défense de 50 pays, dont 25 membres de l'Otan. Le spécialiste de l'électronique de défense équipe aussi 19 des 20 premières banques mondiales, 4 des 5 plus grandes compagnies pétrolières... sans oublier les systèmes de paiements électroniques Visa et Mastercard, qui représentent 70% des transactions par cartes bancaires dans le monde. Autres exemples : Cassidian, la branche défense et sécurité d'EADS, qui fournit un centre opérationnel de sécurité à l'armée britannique ; Atos, qui gère l'informatique et la sécurité des jeux Olympiques depuis douze ans ; ou encore Orange, qui apporte ses services de cybersécurité au géant australien minier BHP Billiton dans 18 pays.

UNE CARTE À JOUER

• Le marché mondial de la cybersécurité est estimé à 60 milliards de dollars en 2012
• + 8,4% de croissance annuelle
• 10 milliards de dollars d'acquisitions au premier semestre 2011

Sources : PwC, Gartner

Dans un secteur dominé par des acteurs américains, israéliens et russes, ces réussites témoignent d'une force insoupçonnée de l'industrie française. Face à la montée des risques d'attaques informatiques, les enjeux sont importants. Selon Pierre Audoin Consultants, le marché de la chaîne de confiance numérique affiche une croissance de 10% par an et génère en France un chiffre d'affaires de 10 milliards d'euros, dont la moitié à l'export. Les spécialistes français de la sécurité des échanges numériques, Gemalto, Morpho (groupe Safran) et Oberthur Technologies, tirent jusqu'à 80% de leurs revenus à l'étranger. Tout en "conservant l'essentiel de leur production et de leur R et D en France", souligne Mathieu Poujol, consultant chez Pierre Audoin.

De grandes ambitions

Contrairement aux concurrents connus du grand public pour leurs systèmes antivirus sur les postes informatiques, tels que McAfee, Symantec ou Trend Micro, les industriels français se distinguent par leur discrétion. Deux raisons à cela : leur ancrage sur le marché du "confidentiel-défense" et leur présence dans les couches cachées des systèmes d'information. Mais l'heure est venue pour eux de passer à l'offensive et d'investir d'autres maillons de la chaîne de sécurité. "Ils privilégient désormais la sécurité holistique, une approche globale de sécurité identifiée par le ministère de l'Industrie comme l'une des 85 technologies clés pour 2015, constate Mathieu Poujol. Du segment haut de gamme, ils cherchent à descendre dans les couches des systèmes d'information pour disposer au final de solutions complètes. Au risque de heurter les acteurs américains connus."

Cassidian a donné l'exemple en rachetant, en octobre, Netasq, une pépite spécialisée dans les systèmes anti-intrusion tout-en-un. La filiale d'EADS complète ainsi son portefeuille de solutions et entre en concurrence frontale avec les américains Fortinet, Watchguard et Sonicwall. Les perspectives de développement s'annoncent alléchantes. Selon le cabinet Gartner, le marché mondial de la cybersécurité devrait croître de 8,4% par an et bondir de 60 à 86 milliards de dollars entre 2012 et 2016.

Un dynamisme tiré par la recrudescence des cyberattaques, l'apparition de menaces contre les systèmes de contrôle industriel et la prise de conscience croissante des enjeux de la cybersécurité, tant par les États que par les entreprises. Les industriels français sont décidés à prendre une plus grande part du gâteau. D'autant que le poids du marché national accuse un retard sur les grands pays européens. D'après le cabinet PwC, qui l'estime à environ 2 milliards d'euros en 2010, il serait inférieur de 30% à celui de la Grande-Bretagne. En cause, le niveau encore insuffisant de protection des services de l'État, des administrations et des opérateurs d'infrastructures d'intérêt vital (énergie, eau, transports, hôpitaux...).

UNE FILIÈRE À STRUCTURER

FORCES Des grands acteurs internationaux L'expertise technologique (chiffrement, authentification...)

FAIBLESSES L'atomisation du secteur (800 PME) L'absence de réglementation nationale

OPPORTUNITÉS La forte demande des administrations et opérateurs vitaux Les services aux entreprises

MENACES La domination commerciale des Américains L'acquisition de start-up par des groupes étrangers

Les industriels ne cachent pas leurs ambitions. "Nous voulons apporter une alternative européenne aux solutions américaines, non seulement dans nos marchés traditionnels à caractère régalien - gouvernement et défense - mais aussi dans les industries critiques", explique Jean-Michel Orozco, le président de Cassidian Cybersecuriy, une filiale de 400 personnes créée en avril 2012. Objectif : un chiffre d'affaires de 500 millions d'euros à l'horizon 2017, contre 50 millions d'euros aujourd'hui. Les deux tiers de cette croissance proviendront d'acquisitions dans le cadre d'un plan d'investissement de 500 millions d'euros sur cinq ans. Le rachat de Netasq s'inscrit dans cette stratégie. Cassidian possède deux centres opérationnels de sécurité (SOC en anglais), en France et en Grande-Bretagne, pour surveiller les réseaux de ses clients. Un troisième est en projet en Allemagne. À terme, la filiale d'EADS pourrait rivaliser avec Thales, l'actuel leader français de la cybersécurité avec 1 500 personnes et un chiffre d'affaires de 350 millions d'euros.

Plus modeste, Bull, le numéro deux français (1 300 personnes et un chiffre d'affaires de 130 à 150 millions d'euros) n'en espère pas moins doubler cette activité dans cinq ans. Au programme : de la croissance organique mais aussi des acquisitions sélectives, à l'image du rachat, en 2010, d'Amesys (systèmes d'espionnage sur les réseaux) et, en 2011, de TRCom (une émanation de Sagem spécialisée dans la sécurisation des communications sans fil) qui a donné naissance, début 2012, au SPhone. Conçu et fabriqué entièrement en France, ce téléphone mobile sécurisé protège les communications en cryptant les conversations vocales, les messages SMS et les informations embarquées. "En termes de sécurité, il se situe un cran en dessous du téléphone Theorem de Thales, réservé aux plus hauts services de l'État et de l'armée, mais s'adresse à une population plus large : tous les cadres d'entreprises qui transmettent par téléphone des informations sensibles", explique Franck Greverie, le patron de l'activité sécurité de Bull, qui compte vendre quelques milliers de terminaux par an.

Orange n'est pas en reste. Il y a dix-huit mois, l'opérateur historique de télécoms a réorganisé son activité de services de cybersécurité afin d'en doubler le chiffre d'affaires en 2015. Il dispose de huit SOC dans huit pays, calqués sur son SOC dédié aux militaires et dont la localisation est tenue secrète. "Ils sont au bord de la saturation, précise Éric Domage, le directeur de la stratégie d'Orange en cybersécutité. Plutôt que d'en ouvrir d'autres, nous allons en rationaliser l'exploitation pour absorber une augmentation de demande de 10 à 20% par an." Selon Pierre Audoin Consultants, Orange est le leader français des services de cybersécurité, loin devant Sogeti, Atos et autres SSII françaises. Dans le monde, s'il est distancé par IBM, le numéro un, il soutient la comparaison avec l'américain Verizon, le britannique BT ou encore l'allemand T-Systems, filiale de Deutsche Telekom.

Une longueur d'avance grâce à la carte à puce

Dans leur offensive, les Fançais ont des atouts. Ils sont à la pointe en matière de cryptologie, technologie clé pour la protection des données. "Une dizaine de pays maîtrisent véritablement leurs propres technologies de chiffrement, parmi lesquels les États-Unis, Israël, le Royaume-Uni, l'Allemagne, la France et très probablement la Chine et la Russie", précise Guillaume Poupard, le chef du pôle sécurité des systèmes d'information à la Direction générale de l'armement. La France est aux avant-postes. En témoignent la renommée mondiale du cryptologue Jacques Stern [lire ci-contre] et la victoire d'une équipe de quatre experts, dont trois de STMicroelectronics, au concours international lancé en 2007 pour le développement d'un nouvel algorithme de cryptage. "Cette force découle de l'excellence de l'école française de mathématiques, analyse Mathieu Poujol. La France dispose des meilleurs talents au monde pour créer des algorithmes de cryptage. Ceci lui a valu d'être récompensée par 13 médailles Fields, l'équivalent du Nobel en mathématiques, la plaçant en deuxième position derrière les États-Unis, qui en ont obtenu 15."

La carte à puce, essentielle à la sécurisation des accès, constitue une autre pièce maîtresse du savoir-faire français. Après l'avoir boudée, les Américains viennent de l'adopter. Le laboratoire d'analyse de la fiabilité des composants électroniques de Thales à Toulouse s'inscrit dans ce champ de compétences. "Nous partageons avec le Cnes des équipements très sophistiqués qui nous permettent d'effectuer un "reverse engineering" de composant matériel, en l'examinant et même en le découpant physiquement en quelques dizaines de nanomètres. Ceci peut aller jusqu'à rechercher dans les circuits où les parties sensibles - par exemple, une clé de chiffrement - sont stockées", explique Vincent Marfaing, le vice-président en charge des activités cybersécurité chez Thales.

Dans les services, qui représentent 60 à 70% du marché, les Français jouissent d'un avantage naturel en France. "On donne les clés de son réseau à un prestataire pour y voir ce qui s'y passe, explique Gérôme Billois, manager chez Solucom, un cabinet de conseil informatique. C'est important qu'il soit un acteur de confiance et de proximité. Les acteurs français ont des cartes à jouer. À condition qu'ils parviennent à industrialiser leurs services aussi bien que les américains IBM, Verizon et Dell."

Ce pari n'est pas gagné pour autant. "La France a deux handicaps. D'une part, la prise de conscience par les entreprises françaises, et par l'État, des enjeux de la cybersécurité a été plus tardive qu'aux États-Unis ou qu'en Grande Bretagne. D'autre part, peu d'acteurs hexagonaux disposent d'une taille critique suffisante pour faire face aux champions américains comme le spécialiste des réseaux Cisco Systems ou encore IBM", explique Guillaume Rochard, associé de PwC chargé de l'activité aéronautique, défense et sécurité. La France compte à la fois peu de grands champions - cinq généralistes (Thales, Bull, Cassidian, Morpho et Gemalto) et une douzaine de prestataires de services - et trop de petits acteurs. Parmi ces industriels, les 30 premiers s'accaparent 80% du chiffre d'affaires global.

"La filière est pénalisée par son morcellement, avec beaucoup trop de PME souvent concurrentes entre elles, diagnostique Jean-Pierre Quémard, le vice-président sécurité et technologie chez Cassidan et président de l'Alliance pour la confiance numérique, syndicat professionnel créé en 2010. Elle a besoin d'être consolidée." La profession réclame de fait une politique plus cohérente de l'État, qui se traduirait par une instance unifiée de cyberdéfense, comme aux États-Unis et au Royaume-Uni. Elle appelle de ses voeux la mise en place d'une réglementation favorable (obligation d'audit de sécurité, de déclaration de sinistre...), comme le recommande le sénateur Jean-Marie Bockel dans son rapport "La cyberdéfense : un enjeu mondial, une priorité nationale", publié en juillet. Reste un mal français à soigner : la faiblesse en marketing.