La conférence RSAC de San Francisco réunissait le secteur mondial de la cybersécurité. Entre les géants du secteur, de très nombreuses sociétés flamandes étaient présentes dans les allées et sur les podiums.
Avec plus de 41.000 visiteurs, la RSA est le plus important salon de sécurité. Et contrairement à BlackHat ou DEF CON, cette manifestation porte davantage sur les entreprises et sur la manière dont elles gèrent les menaces numériques.
Dans ce paysage cyber, on retrouve étonnamment de très nombreuses entreprises belges qui se hissent chacune dans sa niche parmi les leaders mondiaux. C’est notamment le cas de Cegeka, de la KU Leuven, de Flanders Invest & Trade et de la start-up gantoise Aikido Security qui y avaient un stand commun. Des acteurs tels que Nviso et Secutec y entretiennent des contacts avec leurs clients et partenaires, tout en faisant des présentations sur leur stratégie. La société alostoise Intigriti était pour sa part présente dans le cadre d’une grande tournée américaine. L’entreprise ne dispose certes pas d’une présence permanente et d’un marketing agressif sur le marché américain, mais parvient à séduire ponctuellement des clients. « Notre présence vise essentiellement à comprendre pourquoi des entreprises américaines nous ont choisis comme fournisseur », confie Stijn Jans, fondateur et CEO.
Ét ses clients ne sont pas des moindres. Ainsi, Coca-Cola, AMD, Arm et Intel confient aux pirates éthiques d’Intigriti leurs failles de sécurité. Et prochainement, un autre géant mondial de la technologie s’ajoutera à cette liste.
Faciliter les contacts
Chez Cegeka, la priorité est tout autre. L’entreprise a une forte présence en Europe et compte, depuis le rachat de CTG voici un an et demi, quelque 1.500 collaborateurs outre-Atlantique pour desservir le marché américain. Sur ce territoire, CTG est surtout très présente dans l’énergie et les soins de santé. L’ambition est de faire connaître la multinationale belge aux clients. « En s’appuyant sur la base installée de CTG, nous visons à renforcer nos références pour ensuite nous étendre, précise son CEO, Stijn Bijnens. Sans ces relations, rien n’est possible. Nous sommes dans un secteur où la confiance entre personnes est cruciale. »
Dans le cadre de la RSAC, Cegeka a annoncé un Security Operations Center (SOC) américain installé à Buffalo (New York), après les SOC de Belgique et de Roumanie. Une décision qui fait suite à l’augmentation des règlementations dans le monde des soins de santé outre-Atlantique. « Le marché doit investir davantage dans la conformité et la cybersécurité, mais la plupart des hôpitaux ont ici leur propre SOC », explique encore Bijnens.
Mais cette présence au RSAC ne concernait pas uniquement les clients SOC, mais bien l’établissement de relations. « Tout le monde est ici beaucoup plus accessible. Nos principaux partenaires sont américains et nous voulons que ceux-ci nous connaissent bien sachent qu’ils peuvent faire appel à nous et que nous pouvons les aider, notamment s’ils veulent s’implanter dans un pays européen. »
L’union fait…
Disposer d’un stand sur un tel salon n’a rien d’évident. Indépendamment du coût, nous apprenons dans les couloirs qu’un programme de fidélisation est même mis en place. L’entreprise qui expose pour la première fois se voit attribuer un emplacement en marge du salon et il faut attendre plusieurs années avant d’être placé au milieu de l’exposition. La plus-value se situe à différents niveaux. « S’entretenir avec un visiteur ou activer ses réseaux sociaux ne débouche pas forcément sur un contrat, précise Bart Watteeuw, EVP Services & Solutions chez Cegeka. Mais la confiance se crée ainsi. Les prospects américains sont plus enclins à nous contacter si nous sommes physiquement présents. »
Le fait que le groupe hasseltois de services IT, la KU Leuven et Flanders Invest & Trade (FIT) soient présents à la RSAC Conference est un choix volontariste. « Si vous êtes en compagnie de partenaires solides, l’impact sera plus grand pour les jeunes start-up ou spin-offs flamandes, surtout lors d’entretiens avec des entreprises américaines, considère Piet Demunter, CEO f.f. de FIT. Au départ, nous avions un stand de 3 m sur 3, mais entre-temps, l’espace a sensiblement grandi, notamment grâce aux deux grands acteurs que sont Cegeka et la KU Leuven. En en nous présentant ensemble, nous donnons encore davantage de visibilité à l’écosystème flamand. »
Dans son sillage, FIT offre l’occasion à de jeunes pousses flamandes de se mettre en avant, comme c’est le cas cette année pour Aikido Security. Alors que Cegeka et la KU Leuven privilégient l’aspect commercial, l’image de la start-up gantoise s’en trouve largement favorisée. Celle-ci est spécialisée dans les solutions de sécurité conviviales pour les développeurs. D’ailleurs, la RSAC était surtout marquée par les T-shirts et autocollants ‘Anti Magic Quadrant Club’, une allusion à peine déguisée à l’évaluation de l’analyste Gartner qui ne reprenait même pas le nom d’Aikido (pour l’instant du moins). « Gartner a lui-même apprécié l’initiative. Ils ont d’ailleurs pris des photos et emporté des autocollants », fait remarquer Madeline Lawrence, Chief branding officer d’Aikido.
Reste qu’il est possible de se passer de stand. Ainsi, Nvisio, entre-temps un nom établi dans le paysage de la cybersécurité, est présente à la RSAC pour évangéliser. « Voici 3 ans, je suis venu pour la première fois en tant qu’orateur, ce que j’ai aussi fait par la suite, et cette année encore. Pour nous, il s’agit surtout de porter un message, mais naturellement aussi d’attirer l’attention », précise Erik Van Buggenhout, cofondateur et responsable des services gérés chez Nviso. Par ailleurs, il s’agit pour lui d’une occasion idéale pour s’entretenir avec des partenaires. « Les dirigeants et les équipes de produits sont ici, ce qui permet d’avoir des entrevues en face à face et de comprendre ce qu’ils font. »
« Nous devons pirater »
L’un des noms belges que l’on ne s’attendait pas forcément à retrouver sur un salon commercial de la cybersécurité est celui de la KU Leuven. Certes, une université n’a rien d’une inconnue dans le secteur. D’ailleurs, ses départements Distrinet et Cosic ont réussi à plusieurs reprises à attirer l’attention des médias, notamment avec le piratage de la Tesla ainsi que les failles de sécurité dans WPA2 ou les puces d’Intel. Et à l’occasion de la RSAC, l’université s’est positionnée comme un labo de recherche majeur à l’échelle mondiale.
« Nous devons pirater pour comprendre comment fonctionne une offensive et pouvoir ainsi défendre en imaginant les meilleures solutions, fait remarquer le professeur Wouter Joosen. Il faut savoir qu’au sein de notre labo Distrinet, nous comptons 130 spécialistes. À quoi s’ajoutent 120 experts dans Cosic, le labo des professeurs Bart Preneel et Ingrid Verbauwhede. Ensemble, nous représentons plus de 10 professeurs en cybersécurité dans des disciplines différentes. »
Si l’attention se porte surtout sur des failles dans des produits existants, Joosen souligne que l’université est souvent appelée bien plus tôt pour identifier les défaillances potentielles. « Nous sommes de plus en plus occupés à des thèmes qui apparaissent à ce moment-là comme assez marginaux, mais où de très nombreux problèmes peuvent être évités avant leur mise en production de masse. »
L’IA comme ami et ennemi
Une fois que la technologie est mise en production, se pose en général la question de savoir si l’IA devient une bénédiction ou une malédiction dans la cybersécurité. Si elle améliore la sécurité, l’IA aide aussi les pirates. « Nous constatons que la surface d’attaque augmente et c’est cette partie que nous entendons sécuriser, insiste le professeur Lieven Desmet. Mais les deux doivent être pris en compte. Nombre d’entreprises font le constat qu’il n’y a pas suffisamment d’ingénieurs en sécurité et que la pénurie ne fera qu’augmenter. Du coup, il faut chercher des solutions d’automatisation pour compenser cette pénurie. Ce que nous cherchons, c’est la manière de sécuriser la technologie dès le départ, by design donc, alors qu’elle continue à évoluer. Et inversement, nous utilisons l’IA pour analyser les stacks existants et voir s’il y aurait des vulnérabilités qui nous ont échappé. »
Toujours selon Joosen, l’évolution oblige les entreprises à collaborer toujours davantage pour couvrir le spectre complet. « Les agents d’IA vont aider les pirates à résoudre de petits problèmes. Mais en tant que cible, vous devez veiller à ce qu’il n’y ait aucun problème. C’est un défi bien plus grand que de ne trouver qu’un seul problème. C’est pourquoi nous évoluons vers un travail d’équipe et d’échange d’informations entre les parties, ce qui n’était pas le cas voici 10 ou 15 ans encore. »
Belfort & Blue41
La présence de la KU Leuven à la RSAC ne se limitait pas à partager son expertise. Elle présentait aussi deux futures spin-offs issues du travail académique : Belfort et Blue41.
Belfort est une émanation du Cosic et développe une technologie d’accélération du cryptage homomorphique. Il s’agit d’un type de cryptage qui permet d’effectuer des calculs sur des données cryptées sans devoir les décrypter. Notamment pour calculer un solde bancaire moyen sans s’appuyer sur les chiffres réels. « Cette technologie est très lourde sur le plan mathématique. Mais l’équipe d’Ingrid [Verbauwhede, NDLR] est en mesure de l’accélérer d’un facteur de 100 à 1.000, affirme le professeur Joosen. On constate d’ailleurs que la technologie suscite beaucoup d’intérêt. C’est ainsi qu’Apple a annoncé lors de son dernier discours qu’elle embarquait le cryptage homomorphique. »
« Beaucoup d’entreprises s’y intéressent pour partager des informations avec des concurrents, mais aussi parce qu’il faut utiliser du matériel pour déployer cette technologie », ajoute le professeur Desmet. Verhauwhede se trouve d’ailleurs pour l’instant aux Etats-Unis afin de participer au démarrage de Belfort.
De son côté, Blue41 cible surtout la sécurisation d’agents d’IA. En effet, plus il y aura d’agents d’IA, plus le besoin de les sécuriser et de les fiabiliser se fera sentir. D’où le développement de la plateforme Agent Shepherd qui doit détecter les comportements anormaux d’agents d’IA et les arrêter si nécessaire. Dans le cadre de la conférence RSAC, l’entreprise était l’un des 3 finalistes du LaunchPad, ce qui lui a permis de présenter ses travaux à des investisseurs.
« Nous préférons les rachats atypiques »
À l’été 2023, Cegeka présentait une offre de 170 millions $ pour le rachat de CTG, société à l’époque cotée en Bourse. Il ne s’agissait certes pas de la première reprise, mais bien de l’opération la plus importante de l’histoire de la société. Même si ce rachat n’était pas totalement voulu. « Nous recherchions des reprises que nous pourrions nous offrir. Il ne s’agissait pas d’entreprises comptant de nombreux actionnaires stratégiques ou qui intéresseraient des investisseurs, tient à préciser Stijn Bijnens. Nous préférons les rachats atypiques. Avant la reprise, CTG n’était plus en croissance et son chiffre d’affaires diminuait. Avec Cegeka, nous avons ramené de la croissance. Si l’entreprise avait été plus forte, nous ne l’aurions pas rachetée. »
Désormais, CTG est totalement intégrée dans la société IT hasseltoise. Les entités canadienne, française et luxembourgeoise ont été rattachées à NSI, la filiale qui couvre les marchés francophones, tandis que l’entité belge opère sous la bannière Cegeka. Il n’y a qu’aux Etats-Unis que la marque CTG demeure.« Nous appliquons notre propre modèle opérationnel, mais nous souhaitons conserver la marque pour des raisons de continuité. » Outre-Atlantique, Cegeka espère dès cette année conclure davantage de contrats d’externalisation.
Cela étant, l’ambition est de procéder dans le futur à des rachats importants. « Pour nous, 2025 est une année de transition, une étape de maturité avant de nouvelles phases de croissance. Mais au 2e semestre, voire en 2026, nous regardons à nouveau d’importantes acquisitions », confie Bijnens. Et s’il n’exclut pas des reprises de sociétés ayant des compétences spécifiques ou de plus petite taille, il préfère « une entreprise de 300 millions € plutôt que 10 de 30 millions € ». Et de lorgner pour ce faire les Etats-Unis, mais aussi l’Allemagne et l’Italie.
Bijnens confie par ailleurs que les services IT de Cegeka progressent plus vite que le marché. « Ce secteur ne progresse plus depuis 2 ans. Sans prendre en compte les reprises faites par de grands acteurs, le marché n’avance pas vraiment alors que nous sommes en augmentation. » Le Covid a refroidi les clients. « Aujourd’hui, les clients demandent plus et privilégient l’IA, la cybersécurité et les économies de coûts. Même les entreprises qui se portent bien cherchent à faire des économies. En tant qu’outsourceur, il faut chercher à travailler plus efficacement et à automatiser davantage. Les fournisseurs qui travaillent sur une base horaire sont dès lors en difficulté. »