Pas de politiques de sécurité, pas de certification, pas de contrat : comment Focus Technology Europe a intégré la gestion des politiques de sécurité à son offre standard

Face aux exigences des assureurs et de Cyber Essentials en matière de preuves, Focus Technology Europe avait besoin d'une meilleure méthode pour aider ses clients à mettre de l'ordre dans leurs politiques de sécurité.

Focus Technology Europe est un MSP de huit personnes basé en Cornouailles, au Royaume-Uni, qui accompagne des entreprises des secteurs de l'hôtellerie-restauration, des services professionnels et de l'industrie.

Pour beaucoup de ces clients, Focus fait office de véritable service informatique interne. La relation va donc bien au-delà du simple maintien en condition opérationnelle des systèmes : l'équipe travaille avec ses clients sur un plan stratégique, en veillant à ce que leur technologie soutienne la trajectoire de l'entreprise.

Et de plus en plus, ces échanges ont commencé à aborder un sujet que beaucoup de petites entreprises avaient jusque-là négligé : les politiques internes.

Les assureurs cyber réclamaient davantage de preuves sur la façon dont les entreprises gèrent le risque de sécurité. Cyber Essentials, la certification cybersécurité de référence au Royaume-Uni (équivalent britannique de dispositifs comme ExpertCyber ou les exigences de base de l'ANSSI), exigeait des organisations qu'elles démontrent que des processus et des contrôles adaptés étaient réellement en place.

Le problème, c'est que beaucoup de clients n'avaient pas grand-chose à présenter.

Quand la question des politiques de sécurité est soudain devenue incontournable

Avant que ces exigences ne se généralisent, la gestion des politiques de sécurité chez les clients relevait souvent de l'improvisation, explique Andrew Davenport, CEO et fondateur de Focus Technology Europe.

Certains n'avaient aucune politique. D'autres disposaient de documents jamais révisés depuis des années, ou de modèles téléchargés sur Internet, rédigés pour un autre pays ou tout simplement inadaptés à leur activité.

Puis un assureur ou un auditeur demandait des preuves.

« Soit on n'obtenait absolument rien, soit les clients se retrouvaient du jour au lendemain en difficulté, sans le moindre document à nous transmettre. »

Les clients se tournaient alors vers Focus pour savoir s'ils pouvaient simplement reprendre les politiques du MSP.

Mais une politique de sécurité n'est pas un document qu'une autre entreprise peut copier, en changeant juste le nom de la société, pour considérer le travail terminé. Elle doit refléter le fonctionnement réel de l'organisation concernée.

Les enjeux dépassaient d'ailleurs la simple réussite d'un audit.

Andrew se souvient d'un client engagé dans une démarche Cyber Essentials — le référentiel britannique de cyber-hygiène soutenu par le gouvernement, équivalent d'un socle de bonnes pratiques exigé dans de nombreux appels d'offres — parce que des contrats importants en dépendaient. Au départ, ce client voyait la certification comme une simple case à cocher, mais Focus refusait de valider des contrôles sans les preuves correspondantes.

Comme le résume Andrew :

« Sans politiques de sécurité ni certification, vous n'obtenez tout simplement pas le contrat. »

Ce qui n'était autrefois qu'une formalité administrative devenait directement lié à la capacité du client à remporter des affaires.

Industrialiser la gestion des politiques de sécurité

Focus savait déjà ce que représentait ce chantier.

Entreprise certifiée ISO 27001, elle avait elle-même mené en interne tout le travail de rédaction de ses politiques de sécurité. Lorsqu'elle avait fait appel à un cabinet juridique spécialisé, un seul contrat rédigé par des professionnels lui avait coûté environ 5 000 £ (soit près de 6 000 €).

Et il ne s'agissait que d'un document.

Andrew explique qu'un client type de Focus utilise entre cinq et dix politiques de sécurité. Demander à chaque PME ou entreprise de taille intermédiaire de les faire rédiger une par une n'avait donc aucune chance de fonctionner.

Télécharger des modèles génériques sur Internet n'était pas une meilleure option.

Focus avait besoin d'une solution qu'elle puisse intégrer à son service managé : simple à administrer pour ses propres équipes, suffisamment abordable pour être déployée chez l'ensemble de ses clients, et utile au-delà de la seule gestion des politiques de sécurité.

Le MSP a évalué plusieurs solutions avant de choisir usecure.

La simplicité d'utilisation était déterminante : Focus ne voulait pas que ses techniciens passent leur temps à administrer un énième outil complexe. Le prix comptait tout autant, car le service devait rester pertinent pour les clients. Enfin, l'équipe recherchait un éditeur avec lequel construire une relation sur le long terme.

Pour Andrew, usecure a coché les trois cases.

« Pas seulement pour la qualité du produit, la simplicité de l'interface, la facilité d'onboarding des clients et un rapport qualité-prix vraiment excellent, mais aussi parce qu'usecure correspondait au type d'entreprise avec laquelle nous avions envie de travailler. »

Focus avait suffisamment confiance dans la plateforme pour l'adopter également en interne.

Les politiques de sécurité n'étaient qu'un point de départ

Pour beaucoup de clients de Focus, l'accès à des modèles de politiques de sécurité prêts à l'emploi a été le déclencheur.

Plutôt que de chercher en ligne ou de repartir de zéro pour chaque document, ils peuvent utiliser uPolicy pour diffuser leurs politiques et consigner la lecture et l'acceptation par les collaborateurs.

Mais la plateforme usecure dans son ensemble a apporté à Focus une autre brique de la stack de sécurité qu'elle souhaitait standardiser : le facteur humain de la cybersécurité.

Sensibilisation à la sécurité, simulations de phishing et surveillance des fuites d'identifiants pouvaient ainsi cohabiter avec la gestion des politiques de sécurité, sans multiplier les outils.

C'était d'autant plus important que certains clients se montraient au départ sceptiques vis-à-vis de la sensibilisation.

Andrew raconte que même les utilisateurs les plus « vieille école et cyniques » de Focus Technology Europe ont changé d'avis une fois la solution en main.

« Nous apprécions vraiment beaucoup les vidéos et les animations. Elles sont réellement agréables à regarder et les quiz ont du sens. On comprend enfin de quoi on nous parle. »

Focus exploite également le reporting en interne : il lui permet de démontrer la complétion des formations de ses collaborateurs dans le cadre de sa propre piste d'audit ISO 27001.

Et parce que ses techniciens utilisent eux-mêmes la plateforme, ils accompagnent les clients à partir d'une expérience concrète, plutôt que de se contenter de revendre un produit de plus.

D'un niveau de risque supérieur à 85 % à moins de 20 %

Le résultat le plus parlant pour Focus se lit dans l'évolution du niveau de risque de ses clients.

Andrew indique que les clients affichaient en moyenne un facteur de risque supérieur à 85 % au démarrage, révélant de réelles lacunes de connaissances en sécurité au sein de leurs effectifs.

Après avoir mis en place une formation de sensibilisation continue, il a vu ces scores chuter rapidement.

« Nous avons eu le plaisir de voir nos clients passer d'un facteur de risque moyen supérieur à 85 % à moins de 20 % en très peu de temps. »

Le reporting donne à Focus des éléments concrets à présenter lors des points réguliers avec les clients.

Plutôt que de se contenter d'annoncer que la formation a été réalisée, l'équipe peut montrer l'évolution du risque dans le temps, identifier les utilisateurs qui ont besoin d'un accompagnement supplémentaire et ajuster la formation dès que de nouvelles lacunes apparaissent.

Pour les clients, les progrès deviennent visibles.

Pour Focus, la sensibilisation à la sécurité se transforme en une conversation managée permanente, et non en une case à cocher une fois par an.

Des milliers de livres économisés sur la création de politiques de sécurité

La gestion des politiques de sécurité génère aussi un gain de temps et d'argent très concret.

Andrew explique que les clients de Focus ont généralement besoin de cinq à dix politiques de sécurité.

Sa propre expérience illustre le coût que peut représenter la rédaction de ces documents au cas par cas : un seul contrat juridique spécialisé a coûté environ 5 000 £ à Focus, soit près de 5 800 €.

Cela ne signifie pas que chaque politique coûterait 5 000 £, mais cela montre l'équation économique à laquelle les MSP et leurs clients sont confrontés lorsque chaque document doit être commandé séparément.

Avec la bibliothèque de politiques de sécurité déjà disponible dans usecure, Focus n'a plus besoin de renvoyer ses clients vers des prestataires externes pour chaque document, ni de passer des heures à chercher des modèles dont la qualité reste incertaine.

Comme le résume Andrew :

« usecure fait tout le travail de fond, tout le gros œuvre. Cela permet d'économiser des heures de travail et énormément d'argent. »

Intégré à la stack standard dès le premier jour

Focus est allé plus loin que de proposer usecure en simple option complémentaire.

La solution fait désormais partie de la stack technologique standard du MSP.

Chaque nouveau client en bénéficie.

Cela correspond à la façon dont Focus a conçu son offre globale autour de Cyber Essentials : mettre en place les outils et les contrôles essentiels avant même qu'un client ne vienne demander de l'aide pour sa certification.

Cela simplifie aussi la proposition commerciale.

Plutôt que de décider quels clients doivent bénéficier de la sensibilisation à la sécurité, de la gestion des politiques de sécurité, des simulations de phishing ou de la surveillance des expositions, Focus applique le même socle à l'ensemble de ses nouveaux clients.

Et il reste de la marge pour développer davantage de services autour de cette base.

Pour les clients ne disposant pas de ressources RH internes, Focus développe un service de reporting mensuel : son équipe fournit les rapports et relance les collaborateurs qui n'ont pas terminé les formations de sensibilisation qui leur ont été assignées.

La plateforme devient le socle. Focus construit le service managé autour.

« Sincèrement, foncez »

La recommandation d'Andrew aux autres MSP n'a rien de compliqué.

Lors d'un récent événement du secteur, il s'est retrouvé aux côtés d'un autre dirigeant de MSP sur le stand usecure.

Il a pour ainsi dire pris la conversation en main.

« Je lui ai dit : sincèrement, foncez. Vous ne le regretterez pas. »

Pour Focus Technology Europe, la valeur vient du fait de résoudre plusieurs problèmes à travers un même service.

Les clients disposent de politiques de sécurité prêtes à l'emploi dès que les assureurs, les auditeurs ou les exigences de certification les réclament. Les collaborateurs bénéficient d'une sensibilisation à la sécurité en continu. Focus dispose quant à lui de rapports exploitables dans ses échanges avec les clients. Et l'ensemble de la plateforme peut être déployé de manière homogène dans le stack standard du MSP.

La gestion des politiques a sans doute été le déclencheur qui a orienté de nombreux clients vers ce service.

Mais ce que Focus a réellement obtenu, c'est une façon bien plus évolutive de gérer le facteur humain de la sécurité sur l'ensemble de son parc clients.

Simplifiez le déploiement à grande échelle de vos politiques de sécurité

Pour un MSP, la gestion des politiques de sécurité devient vite ingérable lorsque chaque client repart de zéro.

usecure réunit la diffusion et l'acceptation des politiques, la sensibilisation à la sécurité, les simulations de Phishing et la surveillance des identifiants compromis au sein d'une seule plateforme pensée pour les MSP.

Découvrez comment usecure peut vous aider à intégrer le Human Risk Management à votre offre de services standard, sans alourdir votre charge administrative.