MonAideCyber : la méthode des « petits pas » pour une avancée progressive des entreprises dans la cybersécurité

Martin VERON
© Tristand Reynaud - SIPA

Face à eux, les TPE et les PME n’ont pas nécessairement de responsable ou d’expert informatique en interne. C’est le dirigeant ou la dirigeante, son directeur ou sa directrice administrative et financière, qui doit le plus souvent gérer le risque cyber. Tout l’enjeu est donc de rendre la cybersécurité plus simple et plus accessible. Pour nous assurer que notre approche était claire et compréhensible pour toute entreprise, nous avons mené en 2022 une expérimentation du diagnostic MonAideCyber dans la région Nouvelle Aquitaine qui nous a permis d’adapter notre méthodologie, de simplifier certains messages et de prioriser les mesures de sécurité proposées, leur pertinence et leur applicabilité pour toute type d’entreprise.

Comment concrètement se déroule l’intervention MonAideCyber ?

Avant de proposer le diagnostic, nous nous assurons que l’entreprise a bien été sensibilisée à la cybersécurité. Ce travail d’acculturation des TPE et des PME est toujours à mener et nous le faisons régulièrement avec nos partenaires, notamment les CCI. Pour faire connaitre le dispositif MonAideCyber, nous nous appuyons sur les acteurs publics comme les services de l’État, des Collectivités territoriales les Conseils régionaux, les CCI et l’écosystème local de la cybersécurité. 

La mise en œuvre de la démarche est simple pour les entreprises. Nous leur recommandons de réaliser un diagnostic accompagné d’un aidant cyber donc pas un autodiagnostic car les entreprises d’un faible niveau de maturité de cybersécurité nous ont indiqué ne pas se sentir capable de s’autoévaluer. Elles se connectent sur MonAide.Cyber.gouv.fr et sollicitent une demande d'aide afin de bénéficier d’un diagnostic de 1^er niveau. MonAideCyber proposera alors une mise en relation avec un aidant cyber de proximité. La communauté des aidants cyber regroupe aujourd’hui de plus de 1000 personnes qui ont été référencées et outillées par l’ANSSI. Ces aidants sont répartis dans tous les départements de l’Hexagone et de l’Outre-mer.
Ce sont notamment des spécialistes en cybersécurité des services de l’État, des collectivités territoriales, des CCI mais aussi des experts issus d’associations. Il est important de préciser que ces volontaires signent lors de leur engagement une charte éthique garantissant la gratuité et la neutralité de leur intervention.

« Par la gratuité et la neutralité de notre démarche, nous voulons casser le syndrome du garagiste qui se caractérise par une crainte de ne pas avoir de prise, ni sur le problème, ni sur les solutions »

Le diagnostic MonAideCyber comporte une trentaine de questions, dure entre 1 heure et 1 h 30 et sa restitution est automatisée. Il permet de prioriser les interventions à mener : six mesures de sécurité sont identifiées et priorisées au regard de la situation de l’entreprise et de l’évolution de la menace qui devient de plus en plus une cybercriminalité de masse. Elles sont à réaliser dans les six mois à l’issue du diagnostic.

Pour aider les entreprises à mettre en œuvre ces mesures, nous les orientons vers les ressources publiques nationales comme les guides de l’ANSSI et le dispositif d’assistance de Cybermalveillance.gouv.fr qui référence des prestataires spécialisés. Nous allons aussi proposer prochainement lors de la phase de restitution du diagnostic la liste des dispositifs d’aide et d’accompagnement cofinancés existants dans la région du bénéficiaire. 

À l’issue de ces six mois, un point de suivi est réalisé par l’aidant cyber et avec le dirigeant ou la dirigeante, pour suivre l’évolution, apporter des conseils additionnels et les guider vers des services et des dispositifs complémentaires si nécessaire. La méthode est donc celle des « petits pas » pour une avancée progressive des entreprises dans la cybersécurité.

Quels sont les atouts de MonAideCyber pour les TPE et les PME ?

Le dispositif est neutre et gratuit. C’est rassurant pour les petites structures ne maîtrisant pas le sujet et qui craignent d’être orientées vers des prestataires spécialisés les invitant à investir dans des outils et des équipements qu’elles jugent complexes et/ou coûteux. Par la gratuité et la neutralité de notre démarche, nous voulons casser le syndrome du garagiste qui se caractérise par une crainte de ne pas avoir de prise, ni sur le problème, ni sur les solutions.
Par ailleurs – et c’est le fruit de l’expérimentation de la démarche – les mesures que MonAideCyber préconise sont, atteignables, simples et accessibles à toute entreprise quels que soient ses moyens et ses ressources. Du reste, 90 % des entreprises diagnostiquées ont mis en place des actions.

« Le prochain objectif est d’augmenter le nombre de structures accompagnées en doublant le volume, soit deux par aidant cyber et par an. Et pour y parvenir, nous incitons les entités visées à solliciter plus largement notre dispositif. »

En quoi les CCI sont-elles pertinentes pour le déploiement de ce diagnostic ?

Elles le sont, d’abord, du fait de leurs missions quotidiennes d’accompagnement du développement des entreprises tout au long de leur cycle de vie, de la création à la transmission. Cet accompagnement sur la durée est important en matière de cybersécurité. Elles le sont, ensuite, en raison de leur maillage de l’ensemble du territoire. Elles le sont, enfin, en vertu de leur neutralité d’établissement public de l’État. Autrement dit, les CCI sont des tiers de confiance pour les entreprises. À l’issue de l’expérimentation, 116 conseillers des CCI participent en tant qu’aidants au déploiement du dispositif. Ils ont réalisé, à ce stade, une centaine de diagnostics.

Quel bilan pouvez-vous dresser de l’expérimentation de « MonAideCyber » ?

Notre objectif de départ était de mailler l’ensemble du territoire et de former un nombre suffisant d’aidants. Objectif atteint puisque l’on compte plus de 1000 aidants cyber qui ont accompagné plus de 1400 entreprises, associations et collectivités. Le prochain objectif est d’augmenter le nombre de structures accompagnées en doublant le volume, soit deux par aidant cyber et par an. Et pour y parvenir, nous incitons les entités visées à solliciter plus largement notre dispositif.

Des perspectives d’évolution de la démarche sont-elles envisagées ?

Nous allons prochainement mettre en ligne l’annuaire des aidants cyber pour permettre aux entités de solliciter plus facilement et directement des aidants cyber références dans leurs départements. Nous allons aussi poursuivre la régionalisation du dispositif et améliorer le suivi par le bénéficiaire des mesures mises en place.

Si vous deviez convaincre les PME ET les TPE de participer à MonAideCyber, que leur diriez-vous ?

Les cyberattaques constituent une menace de plus en plus forte. Il serait dommage d’attendre d’en être victime pour agir. Le dispositif est accessible partout dans les territoires et peut être initié très rapidement en ligne sur le site MonAide.Cyber.gouv.fr.

Ressources complémentaires

L’édition 2023 du Panorama de la menace cyber offre une vue globale sur les intentions des attaquants, leurs capacités et les opportunités exploitées. Avec une évolution ininterrompue des attaquants, l’Agence appelle à une meilleure application des préconisations en matière de sécurité des systèmes d’information.
 

Passez à l’action et menons ensemble votre première démarche de cybersécurité grâce à notre communauté d’Aidants présente sur tout le territoire !
 

Vous voulez connaître les bonnes pratiques pour renforcer votre sécurité numérique, vous préparer et gérer un incident cyber ? Ces guides publiés par l’ANSSI vous y aideront.