Michel Van Den Berghe est Directeur général d’Orange Cyberdéfense depuis le 1er juillet 2014. Il a rejoint le groupe en janvier 2014, suite au rachat d’Atheos, dont il était le Président Fondateur depuis 2002. Il est également le fondateur des Rencontres de l’identité, de l’audit et du management de la sécurité (RIAMS), qui réunissent depuis dix ans les principaux responsables et donneurs d’ordre du domaine de la sécurité des Systèmes d’Information. Orange Cyberdéfense rassemble toute l’expertise en Cybersécurité d’Orange Business Services et compte 1 200 collaborateurs dans 220 pays.

CIO Mag : Comment les opérateurs télécoms doivent-ils protéger les données des citoyens et des entreprises ? Que mettez-vous en place dans ce domaine ?

Michel Van Den Berghe : Orange a choisi de faire de la cybersécurité un axe majeur de son activité. C’est un des domaines prioritaires du plan stratégique ENGAGE 2025, lequel fixe les perspectives du Groupe pour les cinq prochaines années. Aujourd’hui, nous regroupons plus de 2000 experts en sécurité numérique à travers le monde.

Nos clients, chez Orange Cyberdéfense, sont essentiellement des entreprises, des administrations et des collectivités locales. Ils bénéficient des services complets que nous leur proposons. A savoir : l’audit de sécurité, la détection des menaces et des interventions en urgence en cas de cyberattaque avérée. Nos équipes, positionnées à l’international, peuvent intervenir à tout moment aux quatre coins du globe pour faire face aux fréquentes menaces informatiques.

Avec l’introduction des nouvelles technologies (IOT, 5G), les risques sont-ils plus élevés ? Comment, dans ces conditions, protéger les utilisateurs ?

Naturellement, le risque numérique croît avec le développement des technologies de l’information. C’est la raison pour laquelle il faut intégrer, plus en amont, les critères de cybersécurité. Comment ? En établissant une cartographie et en évaluant les actifs. En établissant une politique pour gérer les accès des utilisateurs du système d’information et en disposant d’outils de détection, de sorte à repérer les comportements inhabituels ou anormaux. Et enfin, en étant en mesure de s’appuyer sur des équipes pour obtenir des réponses à incidents en cas d’intrusion ou de dysfonctionnement. Souvent, les industriels qui fabriquent les objets connectés (capteurs, automates…) délaissent la sécurisation de ceux-ci. Cela peut être sur ce critère que les clients sélectionnent les équipementiers. Ils doivent en effet toujours veiller à ce que le recours à ces technologies ne soit pas un facteur de fragilisation de leur organisation. Il en est de même pour la 5G, qui va permettre de développer de nouveaux usages en lien avec les fonctionnalités de cette technologie.

Le phénomène des fake news est apparu ces dernières années. Orange intervient-il pour gérer ces infox ?

Nous n’avons pas vocation à intervenir sur les sujets de société. Mais, nous participons activement à la protection de l’information de nos clients. A ce titre, Orange Cyberdéfense effectue une veille 24h/24 sur les réseaux sociaux, les forums du Dark Net, les magasins d’applications et les plateformes de gestion de noms de domaine.

Le but ? S’assurer que les données de nos clients (marques, identités des dirigeants, noms de produits, informations stratégiques…) ne sont pas publiées indûment ou dénigrées abusivement sur ces réseaux. Nous protégeons ainsi leur actif informationnel en permettant, si besoin, le retrait d’informations frauduleuses, comme par exemple des noms de domaine usurpés.

Quels sont les grands enjeux autour de la cybersécurité en Afrique ?

Il est évidemment difficile de généraliser sur les enjeux globaux à l’échelle d’un continent aussi diversifié que l’Afrique. Toutefois, j’observe que la transformation numérique joue un rôle majeur dans la création de valeur et de ce fait, elle doit être accompagnée par la confiance numérique. C’est-à-dire la prise de conscience des problématiques cyber. Cela implique que les innovations intègrent la sécurité by design, la sensibilisation des utilisateurs, la formation des développeurs aux bonnes pratiques, la réalisation de tests réguliers de sécurité, ainsi que la capacité à détecter les incidents de sécurité, mais aussi leur anticipation.

Le renforcement de la réglementation est un autre enjeu important. Elle impose en effet aux entreprises et aux institutions de monter en maturité sur les sujets de sécurité numérique. Et fixe également les règles relatives aux traitements des données sensibles et notamment les données personnelles.

Par ailleurs beaucoup d’entreprises sont panafricaines et vivent donc au quotidien la nécessaire conformité avec différentes législations. La coopération des Etats en matière de cybersécurité est donc primordiale dans l’interception des pirates, qui sévissent eux-mêmes depuis plusieurs pays.

Enfin, tout cela ne sera rendu possible que par le développement du capital humain, via le financement de programmes cyber dans les parcours académiques. Et par le développement d’un écosystème regroupant universitaires, entreprises, Etats, recherche, Start-up, etc.

L’Afrique est-elle plus exposée que le reste du monde aux cyber risques ?

Bien que les nations développent leurs stratégies de cybersécurité, leurs moyens humains, financiers et technologiques, ainsi que leurs dispositifs réglementaires ne sont pas encore aux niveaux attendus. Ainsi, la mise en application des mesures n’est parfois pas alignée à la menace des pirates sur leur territoire. Ils redoublent d’ingéniosité et sont peu dissuadés par l’arsenal législatif, au regard des gains potentiels.

D’autre part, les Etats africains ayant particulièrement investis dans les infrastructures télécoms dans les années 2000, cela se traduit par un taux de pénétration du mobile autour de 100% sur l’Afrique francophone ( https:// developer.orange.com/orange_explains/marchemobile-afrique-francophone/). Cela a permis le saut technologique que le continent connait et l’émergence de nouveaux services numériques (Mobile Payment, Mobile Money, digitalisation des parcours clients, etc.), via les synergies entre les banques et les opérateurs télécoms.

Ce bond technologique implique, de ce fait, une dépendance forte à ces services numériques qui ont révolutionné les usages du quotidien et se sont inscrits dans les mœurs. Un des exemples le plus marquants étant le lancement d’Orange Money, déployé pour la première fois en Côte d’Ivoire, en 2008, et avec plus de 45 millions de clients en 2019, dans 18 pays. Orange Money compte un volume d’un milliard d’euros de transactions par semaine (https://www.orange.com/fr/Groupe/ Activites/Services-financiers/Folder/Orange-Money).

La paralysie de ce type de service peut donc entrainer un risque systémique.
De plus, l’utilisation massive de logiciels contrefaits rend le continent africain particulièrement vulnérable aux attaques cyber.

Dans un rapport de 2018, l’association BSA (Business Software Alliance) estime en effet que 80% des logiciels en Afrique (82% pour l’Algérie, 79% pour la Côte d’Ivoire, 64% pour le Maroc, 74% pour le Sénégal, 73% pour la Tunisie) sont piratés ou contrefaits, ce qui rend impossible leurs mises à jour et le support éventuels d’éditeurs.

En conclusion, le manque de moyens humains et financiers, tout comme la difficulté de mise en œuvre de la réglementation, couplée à l’exposition induite par le « jump » technologique et l’utilisation massive de logiciels contrefaits, tout cela expose très fortement le continent africain aux risques cyber.

Orange est un acteur important dans la finance digitale en Afrique. Compte tenu de la sensibilité de ce domaine, comment sécuriser les transactions et garantir la confiance ?

La confiance numérique est effectivement un élément essentiel pour le Mobile Banking et dans son utilisation à large échelle.

La sécurisation des transactions et des solutions mises à disposition des utilisateurs est donc primordiale. Cette sécurisation nécessaire implique la mise en œuvre d’une combinaison de plusieurs dispositifs notamment :

– La sécurité by design
– Réaliser des revues de code applicatif durant le processus de développement d’applications : il s’agit de vérifier que le code ne contient pas de faille de sécurité ;
– Former les développeurs d’applications transactionnelles aux bonnes pratiques de sécurité ;
– Mettre en place des solutions d’authentification forte (multi facteur ou intelligent) pour s’assurer de la bonne identification et autorisation du client.
– Auditer régulièrement les applications utilisées par les clients à travers des tests d’intrusion visant à identifier les vulnérabilités éventuelles.
– Mettre en place des campagnes de sensibilisation destinées aux clients, notamment concernant les e-mails frauduleux qu’ils pourraient recevoir au nom de la banque.
– Mettre en place des dispositifs de détection et se préparer à réagir en cas d’incident, afin de limiter l’impact et la persistance d’une attaque cyber.

Michel Van Den Berghe est Directeur général d’Orange Cyberdéfense depuis le 1er juillet 2014. Il a rejoint le groupe en janvier 2014, suite au rachat d’Atheos, dont il était le Président Fondateur depuis 2002. Il est également le fondateur des Rencontres de l’identité, de l’audit et du management de la sécurité (RIAMS), qui réunissent depuis dix ans les principaux responsables et donneurs d’ordre du domaine de la sécurité des Systèmes d’Information. Orange Cyberdéfense rassemble toute l’expertise en Cybersécurité d’Orange Business Services et compte 1 200 collaborateurs dans 220 pays.

(Source : CIO Mag, 16 juin 2020)