Interview Cap Compliance

Microsoft indiquait en 2017 qu’ils employaient 3500 personnes en cybersécurité. Huawei en Chine indiquait prévoir 400 millions d’euros par an d’investissement sur les sujets cyber et protection des données pendant les 5 prochaines années. Ces niveaux restent difficilement atteignables pour des acteurs européens. Donc les choix que vous avez en tant que société européenne sont les 4 suivants :

• Le premier consiste à partir on-premise : vos données sont stockées chez vous, dans votre data center. On a l’impression que c’est plus sécurisé mais ça ne l’est pas forcément parce qu’on n’a pas une organisation identique à celle des géants.
• Le cloud américain: vous avez un niveau de sécurité qui est adéquat mais un niveau de protection des données qui est à analyser précisément.
• La 3^e option consiste à utiliser un cloud européen. On parle ici d’une société européenne qui gère le cloud. On a encore aujourd’hui trop peu d’acteurs sur ce marché donc ceux qui sont sur ce marché sont moins matures.
• Le 4^e point c’est ce qui s’appelle le « bring your own key» : vous allez sur un cloud américain mais l’acteur américain n’a pas accès à vos données car la clé qui protège vos données est votre propriété. Les différentes solutions évoluent pas mal actuellement. Ça pourrait être l’une des solutions technologiques à ces problématiques d’extraterritorialité aujourd’hui.

NR : Nous constatons que les grandes lignes d’un point de vue régulation ont déjà été posées. Maintenant, les solutions vont venir des entreprises. L’Europe annonce qu’elle va aider les prestataires européens à monter un cloud européen. Dans cette optique, il faut que nous aussi, entreprises européennes, accompagnions ces acteurs en leur faisant confiance.  Comme le souligne, Arnaud, l’idéal serait que les prestataires européens arrivent à proposer des solutions plus pérennes pour que l’on parvienne à basculer sur leurs systèmes.

Enfin si nous apprenons à travailler en commun avec le régulateur, nous serons d’autant plus forts pour face à la concurrence internationale. Nous savons tous que derrière la question des data il y a tous les enjeux d’intelligence économique, de guerre économique. Nous devons travailler en bonne intelligence avec le régulateur pour faire face aux enjeux de souveraineté nationale et européenne.

DII : Comment parvenez-vous à jongler entre les attentes des régulateurs et les contraintes techniques ? Quelles sont les bonnes pratiques pour co-piloter ces sujets et embarquer l’ensemble de vos collaborateurs autour des enjeux de cybersécurité et de protection des données ?

AL : Nous devons avoir une approche conjointe entre les sujets de sécurité, de protection juridique des données, c’est-à-dire une approche transversale qui adresse tous les métiers, à tous les niveaux de l’entreprise, au siège, en filiale, qui nous permette de comprendre les enjeux en commun avec les équipes. On ne peut pas se contenter d’une formation théorique, qui est importante mais qui n’est pas suffisante, et qui ne doit pas être purement descendante. L’important est d’être embarqué dès le début des projets, de comprendre le besoin.

Avec Nathalie, on travaille en direct avec les prestataires pour que nos équipes métier n’aient pas besoin d’avoir une connaissance complète de l’ensemble de ces sujets. On les accompagne sur la sécurité, le juridique, la protection des données, de la pré-contractualisation jusqu’à la fin du contrat. Nous les aidons à bien structurer leurs besoins et leurs discussions avec leurs prestataires.

NR : L’idée est en effet d’accompagner (au sens marcher à côté) et non de former. Il n’y a pas une communauté de sachants et une communauté de faiseurs (les opérationnels et les fonctions supports). C’est d’ailleurs toute la richesse de l’entreprise. Ça semble banal mais ça n’a pas toujours été évident. Ces sujets de données personnelles ont ancré ce travail en équipe.

AL : Les obligations issues du RGPD nous ont permis de discuter avec beaucoup plus de métiers et de rentrer dans des sujets dans lesquels traditionnellement la sécurité n’est pas sollicitée. Il faut donner envie aux opérationnels de nous solliciter, même quand ce n’est pas un sujet strictement RGPD.

NR :  En effet, nous avons pu démontrer que nous sommes plus solides vis-à-vis de nos clients, si nous proposons des solutions pérennes et stables, grâce à la maîtrise de toute la chaîne de la donnée. Sur ce sujet, le régulateur en France nous a laissé le temps de faire de la pédagogie. Dans la mise en œuvre des règles par la CNIL et le déploiement des sanctions, jusqu’à aujourd’hui, notre expérience nous montre que le régulateur nous a laissé le temps de nous former nous-même et de former les équipes.

AL : La CNIL a travaillé beaucoup avec les équipes techniques pour comprendre. Ces échanges ont contribué à permettre aux équipes de la CNIL de proposer des solutions pertinentes.

Il est donc très important de travailler en commun : non seulement dans les équipes en entreprise, mais également à travers une approche conjointe entre les entreprises et le régulateur.