La cybersécurité des PME repose de plus en plus sur leur prestataire de services managés (MSP), faute d’équipes IT internalisées. Brice Gamero, responsable technique d’Inovacom et ingénieur de formation en réseau et sécurité, explique comment s’organise cette protection au quotidien.
Quelles sont les attentes des PME que vous accompagnez ?
Brice Gamero : Nous accompagnons principalement des TPE et des PME. Des structures qui comptent généralement quelques dizaines de salariés, et qui ne disposent pas d’un DSI ou d’un interlocuteur exerçant le même métier que nous. Cela nous amène à échanger avec le dirigeant de l’entreprise, souvent avec le DAF ou avec un responsable d’équipe ayant une certaine appétence pour la cybersécurité et l’informatique.
La relation de confiance est donc essentielle. Ces directions nous délèguent une grande partie de l’orientation de leur développement numérique. Une fois cette confiance établie, elles sont ouvertes aux solutions que nous leur proposons. Nous devenons, en quelque sorte, leur DSI : nous intervenons à la fois sur l’orientation stratégique et sur l’opérationnel. Ce fonctionnement peut surprendre quelqu’un venant d’un grand groupe, mais il détermine notre manière de travailler au quotidien.
Comment intervenez-vous, en tant que responsable technique ?
Je partage mon temps entre deux axes. Le premier concerne le développement de nos outils et le choix des solutions techniques, sur des sujets de systèmes, de réseaux et de cybersécurité. Le second reste opérationnel : j’interviens notamment sur la virtualisation, le réseau et les investigations après incident, ou forensic, lorsqu’il faut comprendre ce qui s’est passé.
Nous sommes une structure d’environ 25 salariés, répartis entre la France et le Portugal. Les équipes au Portugal assurent principalement le support de niveau 1. En France, nous prenons en charge la proximité et les besoins nécessitant des compétences d’ingénierie. Notre activité repose sur un modèle MSP depuis une dizaine d’années. La protection des systèmes et des données prend une place croissante dans les services que nous opérons au quotidien.
Comment s’est construite votre approche de la cybersécurité ?
Au fil des années, nous avons suivi l’évolution de la protection vers l’analyse des comportements, puis vers l’EDR (Endpoint Detection and Response). L’enjeu était de repérer une activité potentiellement anormale sur un équipement, au-delà de la reconnaissance d’un élément déjà identifié comme malveillant.
L’EDR nous a apporté des capacités d’investigation, notamment pour retracer le déroulement d’une attaque par rançongiciel. Avec l’expérience, nous avons identifié l’intérêt d’aller plus loin dans l’exploitation des alertes, afin de détecter les signes d’une attaque en amont. C’est dans la continuité de cette évolution que nous sommes passés au MDR (Managed Detection and Response), pour compléter les capacités de l’outil par un service dédié à l’analyse des alertes et à la réponse aux menaces.
Qu’a changé le passage au MDR dans votre quotidien ?
Nous recevons désormais des alertes dès les phases préliminaires de certaines attaques, avec des mesures d’isolement prises par les équipes du service MDR. Les échanges sont très concrets. Les équipes peuvent nous appeler en urgence, y compris le week-end, pour nous informer du risque identifié et des mesures prises. Le suivi passe également par des tickets dans la plateforme, avec copie par e-mail.
Elles nous demandent parfois des actions complémentaires pour approfondir l’analyse, car elles ne disposent pas de tous les accès aux systèmes. Nous intervenons donc en complément du service MDR, avec notre connaissance des environnements et les accès dont nous disposons. C’est cette articulation entre l’outil, l’analyse des alertes et les interventions qui fait la différence : un EDR sans services ne suffit pas.
Sur quel socle technique vous appuyez-vous ?
Nous nous appuyons sur la plateforme d’ESET, avec qui nous travaillons depuis une dizaine d’années déjà. La réputation historique de NOD32 a beaucoup compté dans notre choix initial. Nous hébergions initialement les solutions sur nos propres serveurs et nous en assurions la gestion.
Nous nous sommes progressivement orientés vers une solution SaaS gérée par l’éditeur. Au-delà de la protection, nous apprécions les possibilités d’administration de la console : inventaire du parc, remontée d’informations matérielles et logicielles, déploiement d’applications ou gestion de mises à jour.
Si nous devons déployer un certificat d’authentification sur tout un parc par exemple, nous pouvons passer par ESET. Nous savons qu’en une vingtaine de minutes, l’opération peut être terminée, sans avoir à passer par une GPO. Ces fonctions nous sont utiles dans l’administration quotidienne des équipements.
▶️[À lire également] Cloud : ESET simplifie la sécurisation des environnements dynamiques
Comment voyez-vous évoluer les besoins de protection dans les prochains mois ?
L’IA soulève plusieurs questions pour la protection des organisations. Quelles informations les collaborateurs transmettent-ils aux outils conversationnels ? Et lorsqu’un agent peut agir directement sur une machine, à quelles ressources a-t-il accès et jusqu’où peut-il intervenir ? Ce sont des évolutions que nous suivons attentivement. Comment identifier une source malveillante utilisée par un agent ? Comment détecter une action qui dépasse ce qui lui a été demandé ? Quels moyens les outils de sécurité pourront-ils nous donner pour encadrer ces usages ?
Ces interrogations rejoignent aussi les enjeux de souveraineté : à qui confions-nous les données et les accès nécessaires au fonctionnement de ces outils ? Lorsque nous avons choisi ESET, ces enjeux ne faisaient pas encore partie des critères que nous examinions. Ils prennent désormais davantage de place dans notre réflexion et renforcent notre partenariat avec l’éditeur.
Un article en collaboration commerciale avec ESET
▶️ [À lire également] MSP : comment intégrer le MDR à son offre de cybersécurité ?
