EtudePECAPEC_VFinale.pdf — page 24

24
La cybersécurité a évolué au rythme des transformations numériques au sein de l’organisation, mais aussi et surtout par la prise de 
conscience du responsable et des salariés de la menace à laquelle ils se trouvaient exposés. La taille de l’organisation, son métier, 
les moyens qu’elle était capable de consacrer à sa sécurité ont été autant des paramètres décisifs pour la bonne prise en compte de 
la sécurité numérique. Certains métiers liés à la défense, en particulier, ou à l’innovation et aux nouvelles technologies avaient pris 
en main ce sujet à bras le corps depuis de longues années déjà. Enfin, certains services d’intelligence économique de l’État (DGSI, 
SISSE, DRSD, Gendarmerie) suivaient et sensibilisaient déjà ces nombreuses entreprises importantes pour la Nation.
Avant les années 2000, et encore aujourd’hui parfois dans les métiers de la vieille industrie, le RSI dépendait du directeur administratif 
et financier (DAF), si ce n’était le DAF qui faisait « office de » au final. Car c’était le DAF qui bien souvent était en responsabilité des 
activités transverses. Puis, la direction des systèmes d’information (DSI) est devenue indépendante, en responsabilité des matériels 
(hardware), des logiciels (software, dont les ERP) et de la sécurité. Cette indépendance a surtout permis au CoDir de consacrer des 
budgets à la bonne gestion du SI, et de faire en sorte d’éviter que la cybersécurité ne soit qu’un faible pourcentage d’un budget 
global.
L’évolution des acteurs de la cybersécurité
La structuration de la filière cyber s’est surtout faite grâce au dispositif interministériel de sécurité des activités d’importance vitale 
(SAIV), piloté par le Secrétariat Général de la Défense et de la Sécurité Nationale, SGDSN, qui a été créé en 2006. Il vise à protéger 
les opérateurs publics ou privés, appelés les opérateurs d’importance vitale (OIV), de la malveillance au sens large, et notamment la 
menace terroriste. Ce dispositif est venu se consolider en 2013 avec la sortie de la Loi de programmation militaire, qui obligeât les 
opérateurs d’infrastructures vitales (OIV, au-delà des différents moyens de sécurité déjà mis en place au sein des SI (pour identifier, 
protéger, détecter, répondre & recouvrer), à avoir une obligation de résultat, c’est-à-dire d’assurer quoi qu’il en coûte la continuité 
de l’activité. Voilà pourquoi les IOV se sont mis à embaucher des profils ingénieurs sortis des Grandes Écoles, cela pour pouvoir, si 
une interruption d’activité due à des attaquants devait avoir lieu, démontrer à un juge qu’ils avaient embaucher les meilleurs.
Ce dispositif a été étendu aux opérateurs de services essentiels (OSE), les opérateurs tributaires des réseaux ou systèmes d’information, 
qui fournissent un service essentiel dont l’interruption aurait un impact significatif sur le fonctionnement de l’économie ou de la 
société. La création de centres d’alerte et de réaction aux attaques informatiques (CERT ou CSIRT) au sein même des Régions 
françaises est un pas de plus vers une centralisation de la gestion des menaces.
Source : ConseilSI
Source : Schémas : ConseilSI / Icônes : Komkrit Noenpoempisut, Abd Majd, ProSymbols de Noun Projet
L
P
M
2
0
1
3
OIV