Colloque 9 Nov 2012

www.es-tete-prime.com

Ce compte-rendu ne saurait engager notre responsabilité, il ne reflète que notre écoute des propos tenus et échangés. Date : 9 Novembre 2012 Lieu : Université René Cassin 10h00-13h00 Intitulé : Les enjeux de la protection des données et du patrimoine scientifique et technique à l’approche des marchés à l’international Intervenants :

- Laurent DELHALLE, Associé co-fondateur Cabinet Es-Tête Prime Responsable pédagogique du diplôme inter universitaire de psycho-criminalistique à la Faculté de Médecine de Lyon

- Thierry REGOND, Vice-président de Sunaero, spécialiste de l’aéronautique et des USA

- Mario CAPRARO, Expert en intelligence économique et stratégie industrielle, spécialiste de la Chine et romancier

- Régis POINCELET, Directeur Sureté GDF-Suez et Vice-Président du CDSE - Renaud HOUSSAYE, Représentant du Haut fonctionnaire de Défense et de

Sécurité du MEFCE

Mot d’accueil par Jacques GALLOIS, président de l’ESCD 3A et vice-président de l’UPIL

- l’éventualité des menaces qui pèsent sur le patrimoine des entreprises

françaises à l’approche de l’international ; - Comment se prémunir ? - Le résultat devrait être celui d’un travail commun des acteurs de

l’économie ; - Les menaces sont grandissantes et le phénomène va s’amplifier ; - Les menaces terroristes sont toujours très présentes et entraînent un

affaiblissement des sociétés et de l’économie ; - Les attaques informationnelles agissent par ricochets et déstabilisent les

entreprises ; - Il s’agit donc de maîtriser la protection de l’information de manière à être

LES ENJEUX DE LA PROTECTION DES DONNÉES ET DU PATRIMOINE SCIENTIFIQUE ET TECHNIQUE À L’APPROCHE DES MARCHÉS

À L’INTERNATIONAL

COLLOQUE


plus compétitif ; - Si on ne tient pas compte de ces menaces, nous verrons apparaître des

conséquences négatives, aussi bien sur le patrimoine humain que le patrimoine immatériel ;

- Ce colloque a choisi le prisme de l’approche du marché à l’international. LES RÉSEAUX SOCIAUX : OPPORTUNITÉS ET FACTEURS DE RISQUES

POUR L’ENTREPRISE par Laurent DELHALLE

- Une définition du patrimoine scientifique et technique : ensemble des informations et savoir-faire se rapportant soit à des technologies sensibles du domaine industriel, soit à des connaissances et des résultats de la recherche scientifique (fondamentale et appliquée) qui sont considérés comme un bien précieux parfois exclusif ;

- Questions à se poser pour définir un périmètre : ü Protéger quoi ? ü Contre quel risque ? ü Comment ?

- Deux aspects à considérer : des opportunités mais aussi des facteurs risques ;

- Avec le développement des réseaux sociaux, on remarque un évident « passage à l’écrit » : évènements commentés et opinions déclarées sur ces plateformes digitales ;

- Le cyber-risque: on laisse des traces de nos actes et nos pensées, et on maîtrise mal le volume de ces informations que nous diffusons ou que l’on diffuse de nous (empreinte numérique) ;

- L’opportunité la plus évidente : c’est un bon moyen de se faire connaître ou de faire connaître son entreprise ; le réseau social peut alors être considéré comme un vecteur d’influence ;

- « Net working or not working » : en travaillant son réseau, une personne ou son activité auront davantage de chances de trouver du travail/des missions ;

- un autre risque à considérer est celui d’une confusion vie privée/vie

professionnelle ; les informations diffusées sur les réseaux sociaux changent la donne de cette séparation initiale, par l’accès facilité aux bases de connaissances qui relèvent du privé (décloisonnement) ;

- Il s’agit aussi de se méfier des personnes proches de nous car même avec une grande confiance envers eux, nous ne sommes pas à l’abri d’une diffusion maladroite d’informations stratégiques : on parle de propagande noire ;

- L’information peut être classée en trois catégories :


ü Information blanche : accès public, ü Information grise : se passe en « off » (comme les échanges en

marge d’un colloque par exemple), ü Information noire : peut mettre en péril le projet ou

l’entreprise ;

- Théorie du lien faible : On peut obtenir davantage d’informations des individus qui sont en marge, en comparaison avec ceux qui sont proches ; ceux en marge pourront mieux répondre à nos préoccupations : d’où une forme de marketing viral ;

- Un réseau social a deux fonctions : ü Échanger des informations, ü Produire du contenu (nous sommes les éditeurs de tout ce

que nous publions) ; - Toutes les protections qui nous sont présentées sont des illusions ; ces

informations peuvent être plus facilement accessibles qu’on ne le pense à n’importe quel individu (ex. : Facebook a déjà eu plusieurs fois des problèmes dont les conséquences ont été de dévoiler les conversations privés) ;

- Une question se pose : peut-on encore disparaître ? la réponse est non ; - Mais le réseau social constitue aussi une véritable dynamique de

l’information ; même les banques et les assurances s’en servent pour chercher à établir des liens entre leurs clients et les cybercriminels ;

- Certaines entreprises tentent désormais de mettre en place de véritables chartes d’utilisation des réseaux sociaux pour éviter tout manque de contrôle mais ne pas perdre en visibilité (ex. : IBM).

UN MARCHÉ NATIONAL PARTICULIER À PROTÉGER ET À DÉVELOPPER : L’AÉRONAUTIQUE ET DON DÉVELOPPEMENT AUX USA

par Thierry REGOND

- La société Sunaero (détection des fuites, contrôle d’étanchéité et réparation d’urgence en aéronautique) est présente en France, aux USA et en Malaisie ;

- La maîtrise des informations se joue à deux niveaux : créer ou perdre de la valeur/garder ou perdre son savoir-faire ;

- Le risque est partout mais on ne peut pas rester caché ; il faut rester visible mais protéger son information ; une bonne méthode est de sensibiliser les salariés, mais c’est une mission compliquée car on ne peut pas prétendre à une politique unifiée si les cultures sont différentes


- Sunaero est implantée aux USA depuis la veille de l’attentat du 11 Septembre 2001 ; après une rupture de l’accord avec Boeing (suite aux circonstances), l’entreprise s’est alors tournée vers le domaine militaire avec lequel elle a déclenché 4 années de tests ;

- Un véritable problème se posait pour les américains : il s’agissait de matériel français ; pour produire aux USA, il fallait alors envisager de redessiner les produits et transférer l’information basée en France (norme ITAR : l’information reste aux USA avec une personne habilitée) ;

- Autre problème : il est très dangereux de faire transiter de l’information ; la solution était alors d’implanter un bureau d’étude sur place ;

- En matière de récupération de l’information, l’Asie avance plus vite que l’Europe : l’approche est plus perverse car semble naturel (Non disclosure agreement) ; Singapour dispose d’une vraie stratégie offensive : la R&D est financée à 100% et l’Université prétend à un accès à 50% dans l’entreprise en envoyant ses chercheurs ;

- La conscience du risque permet une approche offensive ; la curiosité qu’on doit avoir pour les produits existants motive ce type d’approche ;

- En France, on a moins tendance à aller voir les technologies en Asie ;

- Problématique : comment arriver à gérer ce risque lié à l’information ? une des solutions est de faire intervenir un spécialiste de la maîtrise du risque ; l’entreprise pourrait aussi chercher à externaliser un certain nombre d’informations, notamment celles liées à la gestion.

LES OBSTACLES INFORMELS À L’APPROCHE D’UN MARCHÉ, LA PRATIQUE EN CHINE par Mario CAPRARO

- L’intelligence culturelle : comprendre et s’y adapter ; cette connaissance

permet un plus précis respect de la culture, et donc moins de chance de perdre en pouvoir à l’occasion de différentes situations ;

- Comment en 80 ans, la Chine a réussi à maintenir un fond culturel et être une des plus grandes économies du monde ?

- « On est comme on naît » « Comprendre ce que l’autre pense et non pas ce qu’il dit » : le non verbal est fondamental cf. notre prochaine intervention à l’ANDRH Espace Tête d’Or le 21 novembre http://www.salon-srh.com/info_event/8/lintelligence-relationnelle-au-cœur-de-la-gestion-des-ressources-humaines.html


- Les chinois ont une grande conscience du mouvement des choses, ce qui les mène vers la réussite ; il s’agit davantage de développer un savoir vivre plutôt qu’un savoir-faire (point que nous possédons) ;

- Pour une bonne négociation en Chine : ü On ne traite qu’avec des gens de bonne compagnie, ü Il est nécessaire de constater un intérêt pour les deux parties

(équité), ü Harmonie et consensus (créé de la confiance pour entrer

dans une relation plus personnelle), ü Appartenance à un réseau (trouver des relations qui

protègent avec des principes communs) ; si il n’y a pas cette relation de confiance, les chinois se sentent libres,

ü Solidité du lien hiérarchique (où qu’un individu se situe dans la hiérarchie, on lui fait sentir qu’on a besoin de lui; il ne faut pas négliger les personnes situées plus en bas de la hiérarchie),

ü Les chinois n’oublient jamais rien, ü Il ne faut pas hésiter à utiliser des interprètes, ü Ils se donnent des buts clairs au préalable, négocient les

compromis et donnent un cadre à la négociation, ü Ils peuvent retarder la négociation jusqu’à la veille du départ

car c’est un moment où ceux qui partent sont plus faibles (pressés par l’heure à laquelle est l’avion),

ü Les réunions sont structurées par des monologues bien préparés, il n’y a pas de place pour l’improvisation,

ü Si il y a un conflit, ne pas hésiter à dire que l’enjeu demande réflexion et repousser un peu la négociation,

ü Celui qui signe doit être celui qui négocie (ils peuvent reprendre la négociation si ce n’est pas le cas).

- Les négociateurs français font parfois la même erreur : ü Ils s’occupent trop du terrain de la partie d’en face, en

expliquant aux chinois où se trouvent leurs intérêts.

LA PROTECTION D’ENTREPRISE NATIONAL, GDF-SUEZ ET LES OBSTACLES À L’INTERNATIONAL par Régis POINCELET

- Il est nécessaire de faire la part des choses entre informations anodines et

stratégiques - Structure du département Sureté chez GDF-Suez :

ü Comité sécurité de l’information ; la mise en place d’une politique sureté demande un travail de coordination et de partage d’informations sur les dossiers de manière à être informé des évolutions,


ü Comité de traitements des incidents ; traite de l’impact des potentiels attaques informationnelles ; coordonne l’action des acteurs et se base sur des retours d’expériences (RETEX),

ü Cellule veille et analyse ; le gros du travail est effectué sur Internet (ouvert – blanc) ; elle gère aussi parfois les projets d’exportation ;

- Les outils mis à disposition dans ce département : ü Portail intranet Infosec, lequel est dédié à la problématique de

la sécurité des informations, ü Suivi rigoureux des missionnés, notamment ceux qui voyagent

dans le monde entier ; a alors été mis en place un suivi des destinations avec un mémo d’informations pour chaque pays,

ü Sensibilisation « adaptée » des voyageurs (check list de recommandations).

- La sensibilisation pour la scène internationale :

ü L’espionnage industriel est réel, il peut arriver n’importe quand (taxi, lieu de résidence),

ü Pratique parfois soutenue par la puissance publique (ex. : sous couvert de la lutte anti-terroriste, les USA ont mis en œuvre le Security Homeland au lendemain de 9/11) ; dépend des législations locales et des pratiques judiciaires incontrôlables selon les pays (certains où la garde à vue est sans limite).

- Quelques précautions :

ü Partir en binôme, ü Ne pas hésiter à se faire rapatrier, ü Appeler sa base à la moindre alerte, ü Débriefer au retour sur son expérience.

LA PROTECTION DU PATRIMOINE NATIONALE, LA PRATIQUE EN FRANCE par Renaud HOUSSAYE

- Mise en place d’un nouveau dispositif de protection du potentiel

scientifique et technique - 3 grands axes de protection :

ü Protection du secret de la défense nationale, ü SAIV, ü Protection du patrimoine scientifique et technique.

- Les objectifs de la Protection du patrimoine scientifique et technique : ü Préserver les innovations techniques et scientifiques, ü Éviter le détournement de ces innovations et savoir-faire à des


fins de prolifération, ü Analyser les remontées de renseignement.

- instruction interministérielle qui datait de 1993 ; est révisée avec pour but de renforcer la juridiction pénale, la sécurité des échanges d’informations, ainsi que la protection géographique ; la nouvelle instruction met en place un classement des établissements aux activités sensibles, obtenir un criblage sur les personnes hors UE et qui pénètrent sur le site, et sensibiliser, former et convaincre les acteurs ;

- La protection physique et des systèmes informatiques nécessaire est décrite en fonction du niveau de sensibilité de la zone ; il s’agit de mettre en place un certain type de ZRR : le principe est de classer les zones d’un bâtiment au lieu de disposer du même dispositif partout ;

- Les ZRR se fondent sur des autorisations d‘accès.

Documents

Colloque 9 Nov 2012