[FIC 2024] Docaposte lance une offre de cybersécurité "clé en main" pour le secteur public et privé

Une entreprise sur cinq a déjà été confrontée à une attaque informatique, d'après le Baromètre de la cybersécurité réalisé par Docaposte avec le cabinet de conseil Cyblex Consulting. Il s'agit d'un "résultat édifiant" pour la filiale numérique du groupe La Poste qui a souhaité mesurer la maturité des entreprises et des organisations publiques en matière de cybersécurité sur l'année 2023.

Face à ce constat et pour apporter sa pierre à l'édifice, Docaposte a annoncé le lancement d'une "offre complète de cybersécurité" dédiée aux TPE-PME, collectivités territoriales et établissements de santé. Commercialisée sous la forme d'un pack, elle propose les services de 12 entreprises partenaires : Arsen pour les tests de phishing, Board of Cyber pour l'analyse des systèmes exposés sur Internet, le groupe CNP Assurances (filiale de la Banque Postale) pour la couverture assurantielle, l'assurtech Dattak, Formind en tant que Security Operation Center (SOC), Harfanglab pour son Endpoint Detection and Response (EDR), Mailinblack pour sa solution de sensibilisation, de test de phishing et de protection de messagerie, Ofleo et PSI pour la protection de la navigation sur Internet, Oxibox pour la sauvegarde sécurisée, UBIKA pour la protection des applications web ainsi que Wallix en tant que gestionnaire de mot de passe.

L'Usine Digitale : Docaposte n'est pas connu pour son positionnement dans la sécurité informatique. Quand et comment la filiale du numérique de La Poste a décidé de prendre ce tournant ?

Guillaume Poupard, directeur général adjoint de Docaposte : Je vous raconte l'histoire. Je suis arrivé chez Docaposte il y a un peu plus d'un an maintenant. C'est une entreprise qui fait du numérique de confiance en général et de la sécurité pour ses besoins propres. Tous nos systèmes d'information sont surveillés afin de faire en sorte qu'ils ne soient pas attaqués. Lorsque je suis arrivé, mon message a été le suivant : nous ne pouvons pas être durablement un acteur crédible de la confiance numérique et de dire que la cyber ce n'est pas notre sujet. Et d'ailleurs, beaucoup de clients nous disaient que la cybersécurité les inquiétait énormément. Les plus petits acteurs disaient ne rien n'y comprendre tout en sachant qu'il y avait une vraie menace. L'enjeu était le suivant : comment faire pour devenir un acteur de la cyber ?

Par ailleurs, si nous regardons les besoins actuels, nous nous rendons compte que les grands comptes se protègent, même si ce n'est jamais suffisant. Mais, globalement, tout le travail réglementaire et de développement fait depuis 10 ans fonctionne et paie aujourd'hui. Ils sont capables d'aller chercher de la technologie là où elle se trouve, en France ou ailleurs, de la choisir, de l'intégrer, de se protéger par eux-mêmes. Même si ce n'est pas parfait, cela commence à bien fonctionner. En revanche, ce modèle ne fonctionne pas pour les plus petits : ils ont compris qu'il y avait un problème, ils veulent se protéger mais ne savent pas où aller.

Par conséquent, notre première ambition est d'être capable de simplifier la cybersécurité sans en réduire l'ambition bien sûr. Leur dire : "ne nous inquiétez pas, c'est un sujet technique et complexe, nous nous prenons cette complexité autant que possible à notre charge et nous allons vous apporter quelque chose, qui soit le plus simple possible". Si on le dit de manière un peu moche, nous permettons aux gens de "consommer" de la cybersécurité. L'idée est qu'ils n'ont pas besoin de devenir un expert de la cybersécurité pour être protégé.

UD : Pourquoi avoir choisi de travailler avec des entreprises partenaires plutôt que de développer vos propres technologies ?

GP : En effet, nous avions le choix entre redévelopper de la technologie. Nous aimons bien faire ça chez Docaposte. Ou bien s'appuyer sur la technologie existante. Et aujourd'hui, dans l'écosystème français, il y a plein de choses super. Ce n'était pas vrai il y a dix ans, où nous n'aurions pas pu faire ça. Aujourd'hui, il y a des petits acteurs qui ont développé des briques de pointe qui continuent de les faire évoluer. Si nous l'avions fait, cela nous aurait pris beaucoup de temps et d'efforts pour un résultat qui n'aurait pas forcément été meilleur. Donc, tout notre enjeu, c'est d'aller chercher tous ces partenaires, de les assembler et de les agréger pour en faire une solution complète qui couvre globalement le sujet cyber.

Nous sommes fiers de ces partenaires. Contrairement à d'autres, nous les mettons beaucoup en avant, nous citons leurs noms. Nous n'avons aucune vocation à les masquer. Au contraire. Je pense qu'en termes d'image et de perception, cela fonctionne bien.

Vous vous adresser aux TPE-PME, collectivités territoriales et établissements de santé. Comment fait-on pour couvrir autant de besoins différents avec une offre unique ?

Alors, quand on leur parle, ils ont l'impression d'être très spécifiques parce qu'ils ont des métiers très différents. C'est indéniable. Mais ma conviction est que d'un point de vue technique, le pack cyber de base qui permet de se protéger raisonnablement de la cybercriminalité est le même. En revanche, en termes d'approches, de compréhension des risques et de marketing de l'offre, il faut parler avec leur langage et adresser les craintes des différents acteurs.

Après, dans une deuxième étape qui commence dès maintenant, nous allons commencer à spécialiser des packs parce que c'est vrai que la santé notamment peut avoir des besoins spécifiques. Dans ce secteur, il y a des masses de données liées à l'imagerie médicale. Il faut peut-être spécialiser la solution de sauvegarde déjà présente dans le pack initial afin de faire de la sauvegarde de très grande masse de données. Ainsi, dans nos partenaires, il y a ceux qui apportent des solutions qui s'adressent à tout le monde - essentiellement en sensibilisation, en protection, en filtrage de mails et en sauvegarde - et il y a d'autres partenaires qu'on aimerait bien faire rentrer et qui sont sur des fonctions plus pointues qui s'adressent moins en première intention à de petites structures. Nous allons voir comment les faire rentrer.

Est-ce que les solutions sont interopérables ?

C'est l'avenir. Pour l'instant, nous mettons les solutions côte à côte. Nous nous rendons compte que cela crée une dynamique formidable entre les partenaires qui se connaissaient sans se connaître pour beaucoup d'entre eux. Ainsi, nous retrouvons une logique d'animation d'écosystème derrière cette bannière de pack cyber Docaposte. Cela donne plein d'idée car cela crée de la richesse autour de la data qui va apparaître dans les différentes phases, en amont dans le diagnostic puis en run, en détection. Il y a des connecteurs qui s'établissent.

Il reste à voir quel rôle jouera Docaposte. Mais c'est un rôle dans lequel nous sommes à l'aise : construire de grosses plateformes, aller sur la data, rajouter de l'intelligence artificielle... Tout cela se marie très bien. Nous avons mille idées pour développer cette offre au global.

Au niveau de la relation contractuelle avec les entreprises partenaires, comment cela fonctionne-t-il ?

Nous n'avons signé aucun contrat d'exclusivité. C'est vraiment une entente en bonne intelligence. Nous, c'est dans notre intérêt de nous appuyer sur des personnes en qui nous avons confiance. Nous leur offrons un accès au marché. L'intérêt pour les clients est d'avoir une solution simple avec un seul point d'entrée pour la facturation. Imaginez une PME qui doit rédiger et signer 12 contrats, c'est infernal. Nous apportons cette simplicité. C'est notre plus-value.

Est-ce que les clients ont un tarif préférentiel en choisissant l'offre Docaposte ?

L'idée est de proposer le pack une vingtaine d'euros par mois par poste de travail ou par serveur. C'est à la louche. Nous privilégions de pousser le pack entier mais nous sommes flexibles. En effet, dans le cadre de nos premiers tests, les clients disposaient d'au moins une des solutions proposées. Mais, globalement, ce que nous promouvons est la cohérence d'ensemble du pack. Quelqu'un qui contractualiserait avec les 12 paierait plus cher. En effet, nous avons un effet de masse.

Avez-vous déjà des clients ?

Nous avons commencé pour tester l'offre, laquelle se compose en deux composants. Il y a le composant visible : un site web qui va se transformer en un site marchand, quasiment prêt. Et il y a un back office qui nous permet de faire toute la tuyauterie entre les fournisseurs de technologies et nos clients. Nous avons surtout testé l'offre avec des collectivités locales qui ont été les plus réactives, ce qui est lié au fait que Docaposte est une filiale du groupe La Poste qui a un ancrage territorial extrêmement fort.

Docaposte a noué un partenariat avec le Campus Cyber pour proposer l'offre aux PME candidates aux évaluations de maturité cyber. Envisagez-vous d'autres stratégies de distribution ?

Il y a sujet global qui est celui de la distribution : comment poussons-nous l'offre ? Docaposte veut la pousser en propre. Mais nous savons très bien que cela ne sera pas suffisant. Nous regardons tous les canaux de distribution indirects. Ainsi, nous parlons avec plein de personnes qui ont l'habitude de travailler avec des collectivités, des TPE-PME et des établissements de santé, à commencer par La Poste. Pour moi, la priorité est de former les vendeurs de La Poste car vendre du cyber est un métier. Il y a donc un travail d'adaptation des forces de vente.

Ensuite, il y a des partenaires que nous sommes en train de nouer de gré à gré. Nous sommes en train de voir comment nous pouvons apporter des solutions au Campus Cyber pour ensuite promouvoir des offres de sécurité. Il y a également deux autres partenariats très forts liés à notre position capitalistique : nous travaillons avec la Banque des Territoires qui visent les collectivités locales et qui veut promouvoir auprès de ses bénéficiaires des solutions de sécurité. Egalement avec la Bpi qui a intérêt à ce que les entreprises soient bien sécurisées. En effet, aujourd'hui, le risque cyber en termes de défaut de paiement pour une entreprise c'est le premier risque qui apparaît. Des annonces seront faites dans les semaines qui arrivent.

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA