Qui forme les dirigeants à la sécurité ?

La démission de Jensen Huang chez Nvidia, sur fond de révélations personnelles et de soupçons d’espionnage, rappelle la vulnérabilité des dirigeants. Leur position les expose à des tentatives de manipulation dont les conséquences peuvent affecter toute l’entreprise. Qui les prépare à ces risques ? L’ANSSI propose déjà un référentiel de formation. Les services formation ont une carte à jouer.

Jensen Huang a démissionné de Nvidia le 12 novembre. Quelques jours auparavant, la révélation de relations extraconjugales, dont l’une avec une femme soupçonnée de liens avec le renseignement chinois, avait conduit le conseil d’administration à ouvrir une enquête indépendante. Dans un communiqué du 8 novembre, Nvidia précisait n’avoir aucune raison de penser que ses secrets industriels ou la sécurité nationale avaient été compromis. Les soupçons d’espionnage ne sont pas établis. L’affaire mérite néanmoins l’attention des entreprises. Un dirigeant dispose d’informations confidentielles, participe à des négociations sensibles, connaît les orientations de son groupe et entretient des relations avec des interlocuteurs extérieurs. Autant de raisons d’intéresser des concurrents, des organisations criminelles ou des services de renseignement. La menace peut surgir lors d’un déplacement, d’une rencontre professionnelle, d’une conversation privée. Les dispositifs de cybersécurité n’y peuvent pas grand-chose. Il faut aussi savoir identifier une approche suspecte, mesurer ce qu’on peut révéler et reconnaître une situation nécessitant l’intervention des spécialistes de la sécurité.

Les entreprises consacrent des moyens à sensibiliser leurs collaborateurs aux risques numériques. Campagnes de phishing, modules e-learning, rappels sur la confidentialité des données, questionnaires de validation : ces dispositifs sont familiers aux professionnels de la formation. Mais les membres des comités exécutifs ont des responsabilités qui réclament une préparation particulière. Ils doivent pouvoir apprécier les conséquences d’une attaque, arbitrer entre des impératifs contradictoires, décider d’interrompre une activité ou de communiquer sur un incident. Ils peuvent aussi être personnellement visés par des tentatives d’influence ou d’espionnage économique. Leur formation doit couvrir ces situations. Une présentation des menaces, même excellente, ne prépare guère à décider sous pression. Il faut des exercices, des scénarios crédibles, des échanges entre dirigeants et spécialistes. La question concerne également les présidents, administrateurs et membres des conseils de surveillance, dont les responsabilités et l’accès aux informations sensibles justifient une sensibilisation adaptée. Nous ne disposons pas de données permettant d’évaluer la fréquence ou la qualité de ces formations dans les entreprises. Ce manque de visibilité n’interdit pas d’en examiner les modalités.

L’Agence nationale de la sécurité des systèmes d’information et le Campus cyber Nouvelle-Aquitaine ont élaboré un référentiel intitulé « La cybersécurité pour les dirigeants ». Il s’adresse aux organismes de formation et vise notamment les dirigeants d’entreprises moyennes et intermédiaires ainsi que les membres de comités exécutifs. Son programme prévoit au minimum quatre demi-journées, avec des périodes de travail dans l’entreprise entre les séances. Première étape : une simulation de crise, éventuellement sous forme de serious game. Les trois modules suivants portent sur l’évaluation du risque numérique, l’organisation de sa gouvernance et la mise en place des protections nécessaires. Les participants doivent travailler sur leurs propres activités : identifier un risque critique, définir des objectifs de sécurité, engager une réflexion sur la conformité et la résilience de leur entreprise. Le référentiel prévoit des cours, des travaux pratiques et des mises en situation. Il impose le présentiel pour les modules consacrés au pilotage et à la construction de la sécurité. Les organismes qui respectent ses exigences peuvent obtenir le label SecNumedu-FC. Ce programme fournit une base solide pour former les dirigeants à la cybersécurité. Son périmètre reste toutefois numérique. Les risques d’espionnage économique, les approches personnelles et les situations de compromission appellent des exercices complémentaires, préparés avec les spécialistes de la sûreté.

La DSI et le RSSI disposent des connaissances techniques nécessaires. Les responsables de la sûreté, du juridique et de la conformité apportent leurs compétences sur d’autres risques. Mais qui organise l’apprentissage des dirigeants ? Les services formation peuvent proposer des dispositifs construits avec ces experts. Un exercice de crise peut réunir plusieurs membres du COMEX autour d’une attaque paralysant une activité essentielle. Chacun intervient dans son domaine : finances, opérations, ressources humaines, communication. Les décisions sont prises avec des informations partielles, dans un temps limité. Le débriefing permet d’examiner les arbitrages, les erreurs de coordination et les informations qui ont manqué. D’autres exercices peuvent porter sur une sollicitation inhabituelle, un déplacement professionnel sensible ou une demande d’informations formulée par un partenaire. Les professionnels de la formation ont les compétences pour construire ces situations, choisir les modalités pédagogiques et organiser l’évaluation. Le référentiel ANSSI peut leur servir de point de départ. Encore doivent-ils pouvoir accéder aux dirigeants et obtenir leur participation. La formation du COMEX mérite d’être abordée avec autant de rigueur que celle des autres populations de l’entreprise.

Les dirigeants demandent à leurs collaborateurs de respecter les règles de sécurité et de suivre les formations obligatoires. Participent-ils eux-mêmes à des entraînements adaptés à leurs responsabilités ? L’interrogation mérite d’être portée devant les comités exécutifs. Un directeur général qui participe à une simulation de crise, accepte la critique de ses décisions et reprend un exercice après un échec montre que les exigences de sécurité s’appliquent à tous. Sa participation peut aussi encourager les managers à consacrer du temps à la formation de leurs équipes. L’exemplarité suppose toutefois davantage qu’une présence à une séance de sensibilisation. Elle se manifeste dans les comportements quotidiens : respect des procédures, prudence dans les échanges, signalement des incidents, attention portée aux alertes. Pour les services formation, travailler avec les dirigeants sur ces sujets offre un accès direct aux décisions et aux responsabilités de l’entreprise. À condition de disposer de la liberté pédagogique nécessaire : un membre du COMEX doit pouvoir se tromper pendant un exercice, entendre les critiques et recommencer, sans bénéficier d’un traitement de faveur.