La cybersécurité est un domaine tellement vaste et complexe qu’il fallait privilégier une approche simple pour espérer avoir un écho auprès des chefs d’entreprises du secteur industriel. C’est en partant de ce constat que la Fedil et EY Luxembourg ont débuté il y a un an une étude pour tirer les 50 règles d’or à respecter au sein d’une entreprise pour réduire au maximum les risques de cyberattaques.

Désigner au sein du management exécutif un chief information security officer (CISO), informer et former tous les employés sur les bonnes pratiques en matière de cybersécurité, effectuer un test annuel des intrusions réseau, organiser des simulations d’incident... Il s’agit parfois de choses simples, mais qui peuvent faire la différence.

«Dans un premier temps, nous allons publier sur le site de la Fedil les conclusions de notre étude et ces fameuses règles», explique Kevin d’Antonio, en charge du projet chez EY Luxembourg. «Mais nous travaillons également sur un outil interactif qui permettra de faire un état des lieux rapide du niveau de maturité de l’organisation dans ce domaine et offrira la possibilité de se comparer à d’autres entreprises en fonction du secteur et de la taille.»

Collaborer avec le secteur public

Plus qu’un simple outil de mesure, le projet de la Fedil et d’EY vise à inscrire le thème de la cybersécurité sur le radar de toute l’industrie luxembourgeoise. Et cette initiative a trouvé dans le gouvernement un précieux allié. Les outils mis à disposition par le ministère de l’Économie pour soutenir les entreprises sont déjà nombreux. Réunis sous la houlette du Security made in Lëtzebuerg (Smile – securitymadein.lu), ils vont de la formation professionnelle au support en cas de cyberattaques.

«La cybersécurité est l’affaire de tous, elle doit être vue comme un écosystème», note François Thill, directeur de la cybersécurité au ministère de l’Économie. «Pour le gouvernement, elle représente l’un des facteurs d’attractivité économique du pays.» C’est pour cela que les autorités tentent d’impliquer davantage le secteur privé. «Nous devons avoir une approche commune et partager nos meilleures pratiques», ajoute-t-il.

Rester pédagogique

La Commission européenne a adopté en juillet dernier la directive NIS, qui prévoit le renforcement des capacités nationales de cybersécurité et établit un cadre formel de coopération entre États membres. Au Luxembourg, elle doit être transcrite dans un projet de loi dans le courant de l’année. Une perspective qui peut être rassurante pour certains, mais qui ne doit pas constituer une fin pour d’autres.

«Il ne faut pas attendre de devoir se conformer aux réglementations, mais agir en amont et de façon transversale», estime pour sa part Jean-Paul Hengen, directeur du secteur ICT chez Luxinnovation. «La cybersécurité doit faire partie de la culture du milieu des affaires.»

Il reste donc à convaincre les entreprises de prendre les devants. Et c’est bien là tout l’enjeu de cette première initiative de la Fedil et d’EY.