Xavier Michaud, directeur de l’agence de Lyon d'Almond, acteur majeur de la cybersécurité en France, est l'invité de 6 minutes chrono / Lyon Capitale.
Xavier Michaud, directeur de l'agence lyonnaise d'Almond, acteur majeur de la cybersécurité en FRance, résume l'essentiel de son propos la cybersécurité en une phrase. "La cybersécurité n'est pas seulement pas un sujet informatique, c'est un sujet de direction générale".
Elle doit désormais se traiter au plus haut niveau de l'entreprise, et non plus comme un simple sujet technique confié à l'IT. Pourquoi ce basculement ? Parce que les conséquences d'une attaque dépassent largement l'informatique : problèmes d'approvisionnement, incapacité à livrer les clients, compromission de données... "Ce sont des sujets de direction générale." Pour lui, la cybersécurité devient aussi "un critère de compétitivité", les entreprises regardant de plus en plus le niveau de sécurité de leurs partenaires, avant de travailler avec eux.
"Industrialisation de la menace cyber"
Ce virage stratégique s'explique par l'ampleur de la menace. "On peut noter un doublement des attaques entre 2020 et 2025" du fait d'une "industrialisation de la menace". Un phénomène amplifié par l'IA qui "va permettre de réduire le coût de l'attaque et ce n'est pas une bonne nouvelle pour les défenseurs". Résultat : plus aucune entreprise n'est épargnée, les PME et ETI étant particulièrement exposées via "les attaques par rebond" qui remontent la chaîne d'approvisionnement jusqu'aux grands groupes.
Pour Almond, passé de 2 à 40 collaborateurs en dix ans à Lyon, l'objectif est d'accompagner les entreprises dans la durée pour "élever le niveau de sécurité".
La retranscription intégrale de l'entretien avec Xavier Michaud
Bonjour à tous et bienvenue dans ce nouveau rendez-vous de « 6 minutes chrono ». Nous accueillons aujourd’hui Xavier Michaud. Bonjour. Xavier Michaud, vous êtes le directeur de l’agence de Lyon d'Almond, qui est un acteur majeur de la cybersécurité en France. On va peut-être commencer par une question un peu globale. Aujourd’hui, la menace cyber a-t-elle vraiment changé d’échelle ces dernières années ?
Oui, effectivement. On peut noter un doublement des attaques entre 2020 et 2025. Cela s’explique par plusieurs facteurs. Le premier facteur, c’est notamment le fait que l’on observe une industrialisation de la menace, avec des groupes de plus en plus organisés et des outils de plus en plus performants. En parallèle de cette industrialisation de la menace, les entreprises sont également de plus en plus dépendantes du numérique, du cloud, des outils informatiques et des objets connectés. Cela explique effectivement ce doublement.
On parle beaucoup de cybersécurité, c’est le sujet de ce matin, mais aussi d’intelligence artificielle. Est-ce que l’intelligence artificielle est en train de rebattre les cartes de la cybersécurité ?
Oui. Quand on parle d’intelligence artificielle, on parle aussi de gains de productivité. Ces gains de productivité concernent à la fois les attaquants et la défense. Si je commence par les attaquants, ils vont effectivement pouvoir mener des attaques de plus en plus rapides, de plus en plus perfectionnées et de meilleure qualité. Finalement, l’IA va permettre de réduire le coût de l’attaque, et ce n’est pas une bonne nouvelle pour les défenseurs. Du côté de la défense, nous avons également recours à l’IA, évidemment. Nous nous en servons principalement pour aider à traiter de larges volumes de données, notamment pour tout ce qui concerne la détection d’événements de sécurité et de signaux faibles, mais aussi pour gagner en réactivité lorsque nous détectons des incidents de sécurité.
Justement, vos clients, quels sont-ils ? Des PME ? Des ETI ?
En fait, on travaille avec tout type d’entreprise. Cela va des grands groupes jusqu’aux TPE, PME et ETI. On se rend compte que toutes les entreprises ont finalement besoin de cybersécurité parce qu’elles utilisent toutes des services numériques. Elles ont toutes intégré ces outils collaboratifs. Évidemment, on travaille donc avec tout le monde.
Mais est-ce qu’il y a des entreprises, des profils d’entreprises plus privilégiés ? Je dis « profils », mais surtout : est-ce que les PME sont plus privilégiées, les ETI sont plus privilégiées ? Est-ce qu’il y a des secteurs plus privilégiés ?
Je ne dirais pas « privilégiés », mais je dirais qu’effectivement, les PME et les ETI sont des cibles importantes. Pourquoi ? Parce que, quand on est un grand groupe, on a peut-être plus de moyens financiers qu’une ETI ou qu’une PME à consacrer à la cybersécurité. On peut donc forcément être moins protégé quand on est une PME ou une ETI, puisqu’on n’a pas les mêmes moyens. Pour autant, la surface d’attaque est toujours à couvrir. On se rend compte aussi qu’on a de plus en plus d’attaques par rebond, c’est-à-dire des attaquants qui vont cibler des TPE-PME qui font également affaire avec de grands groupes. Ils vont passer par cette chaîne d’approvisionnement pour ensuite attaquer de grands groupes. Il est donc vraiment important de traiter la cybersécurité à tous les niveaux.
Est-ce que, finalement, la cybersécurité est encore un sujet informatique ou, au contraire, est-ce un sujet de direction générale, de compétitivité, voire de souveraineté de l’entreprise ?
La cybersécurité n’est pas seulement un sujet informatique. Cela fait des années qu’on traite absolument tous les aspects de la cybersécurité au sein des entreprises, notamment au sein de la direction générale et des métiers. Pour répondre à votre question, c’est effectivement un enjeu de direction générale. Quand on va avoir des problèmes d’approvisionnement, quand on ne va pas pouvoir livrer nos clients, quand on ne va pas pouvoir poursuivre notre activité ou quand on va devoir répondre de compromissions de données, ce sont des sujets de direction générale. Ensuite, sur la partie compétitivité, on va effectivement avoir de plus en plus d’entreprises qui vont regarder avec qui elles font du business, avec qui elles travaillent. On va donc forcément commencer à regarder la cybersécurité chez nos partenaires. Cela permet de faire monter tout le monde vers le haut et devient donc un critère de compétitivité.
Et Almon, je le disais, est un acteur de la cybersécurité installé partout en France. Vous inaugurez de nouveaux locaux. Vous êtes passé de deux personnes il y a dix ans à 40 aujourd’hui. Vous êtes donc 40. Il y a un enjeu : ce sujet de la cybersécurité est porteur. Est-ce que le tissu industriel lyonnais et régional présente des vulnérabilités particulières ?
Sur le tissu régional, on a à peu près 10 800 entreprises dans le secteur industriel. Dans le secteur industriel, typiquement, si on parle de la pharmacie ou des transports, un impact sur la partie informatique peut avoir des conséquences dans la vie réelle, puisqu’on peut mettre à mal des lignes de production. C’est l’une des spécificités de la région.
Almond, vous vous positionnez comment ? Finalement, quel est votre positionnement dans ce contexte dont vous venez de parler ?
Almond est un cabinet de cybersécurité. Nous sommes un pure player. « Pure player », qu’est-ce que cela veut dire ? Cela veut dire qu’on est en capacité d’intervenir sur absolument tous les domaines de la cybersécurité. Au sein du groupe, on a 450 experts capables d’intervenir sur différentes thématiques. On est présent en France et à l’international, notamment en Suisse, au Canada et en Corée du Sud, afin d’assurer la supervision de nos clients 24 heures sur 24, ce qui est primordial puisque les attaques ne s’arrêtent pas le week-end.
Lyon est donc devenu un territoire un peu stratégique pour Almond, ou pas ?
Absolument. On a un tissu économique assez important à Lyon, avec énormément d’entreprises que l’on a vocation à accompagner. C’est ce qu’on fait. Comme vous l’avez dit, en cinq ans, on est passé de deux à 40 collaborateurs. Ce sont forcément des entreprises qui ont beaucoup de besoins en matière de cybersécurité et que l’on va accompagner dans la durée, afin de construire ensemble des partenariats de confiance et de pouvoir élever le niveau de sécurité.
Élever le niveau de sécurité, ce sera le dernier mot. En tout cas, merci Xavier Michaud d’être venu nous présenter Almond, ainsi que la stratégie en matière de cybersécurité dans la région Auvergne-Rhône-Alpes. Je vous donne rendez-vous bientôt pour de nouvelles émissions. Au revoir.
