Le 20ème siècle a vu l’émergence de la notation financière et de géants du secteur comme Moody’s et Fitch. Le 21ème siècle sera celui de la notation extra financière (RSEC / Cyber).
Depuis 2010, le besoin de la notation cyber a été adressé notamment par des agences américaines. Orange a assumé, depuis 2018, un rôle de lanceur d’alerte auprès de l’industrie Telco mais aussi de l’Union Européenne quant à la fiabilité des modèles et l’enjeu de souveraineté. 2024 marque le début de l’histoire des agences de notation cyber françaises.
Ce que nous apprend l’Histoire de la notation financière
Suite au crash financier en 1837 aux États-Unis, la nécessité d’évaluer le risque financier pour éclairer les investisseurs est née. Ce besoin a été adressé notamment par Moody qui a été le premier à publier une publication spécifique liée au domaine des chemins de fer en 1909, suivi par Standard & Poor’s et Fitch. Il est important de souligner que les notes financières par ces agences sont produites à partir de modèles mathématiques propriétaires et non publics.
L’acteur de régulation financière du marché américain, la Securities and Exchange Commission (SEC), est apparue après, dans les année 1930 , et n’a pas cadré ces initiatives. La SEC a aussi commencé à faire référence explicitement aux agences de notation dans les années 1970 actant l’importance prise par ces indicateurs et par la même occasion leur a donné du poids.
Crédits photo: Don Ramey Logan
La dépendance stratégique Européenne à la notation financière des 3 agences américaines a été mis en évidence lors de la crise financière des subprimes fin 2010, avec notamment avec l’impact sur la capacité du gouvernement grec à trouver des moyens de financement.
Fin 2010, L’Europe découvrait sa dépendance au fameux « AAA » et se dotait d’une tour de contrôle en réponse : l’ESMA (European Securities and Markets Authority) dont la mission est de surveiller et sanctionner si besoin les agences de notations financières mais aussi promouvoir des agences Européennes.
Pour aller plus loin sur ce domaine, je vous invite à lire « Les agences de notation » de Norbet Gaillard et aussi cette publication de l’institut Montaigne de 2013 (liens cliquables).
Aussi le sujet de la notation cyber apparait en 2015 lorsque les agences de notation financière ont affiché leur besoin d’intégrer le risque cyber dans leurs calculs. Détaillons maintenant ce qu’est le risque cyber.
Cyber sécurité et le risque Cyber
Reprenant la définition de l’ANSSI concernant la cybersécurité :
« État recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense. »
Le risque cyber est lié à la maitrise par une entreprise de la disponibilité, l’intégrité et la confidentialité des données.
Notation cyber : force et faiblesses
Ainsi la promesse de la notation cyber est de pouvoir mesurer et quantifier le niveau de risque, à travers un indicateur simple : une note. Le tout en faisant abstraction de la complexité technique propre à ce domaine.
Une notation a l’énorme avantage de pouvoir être comprise par l’ensemble de l’écosystème (le comité exécutif et le conseil d’administration, les investisseurs, les clients etc).
Ce besoin a été anticipée par des agences Américaines dès 2010 qui ont ainsi développé des modèles propriétaires de quantification du risque cyber et ont commencé à partager ce type d’indicateur sur le marché. Les agences ont ainsi commencé à noter les entreprises dans le monde entier sans obtenir aucun consentement préalable. Aussi à partir du moment où une entreprise a un nom de domaine / site Web , il y a de forte chance qu’elle soit notée sans qu’elle ne soit au courant.
Les modèles utilisés sont propriétaires et non standardisés. Ils ne couvrent que la surface d’attaque visible (exposition internet). Le fonctionnement actuel de la notation cyber ne donne aucune assurance d’une gestion du risque de conflit d’intérêt ( par exemple, dégradation volontaire d’une note cyber pour des enjeux économiques ou géopolitiques).
Initiatives Françaises et Européennes
Ayant rapidement pris la mesure des enjeux dès 2018, Orange a mis en avant une charte éthique que se doivent de respecter les agences de notation. En 2023 /2024, l’éco système cyber français (CESIN / CLUSIF) reconnaît aussi le besoin d’agences de cyber rating nationales mais aussi plus de transparence sur les modèles utilisés. Ce marché est donc prêt à accueillir des champions français et européens à condition qu’un cadre clair de fonctionnement soit défini par les pouvoirs politiques.
Conclusion
En lien avec la numérisation de nos sociétés, le risque cyber devient le risque le plus critique pour les entreprises et nos sociétés. Par nature complexe, disposer d’indicateurs permettant une meilleure lecture de la situation s’inscrit dans le sens de l’Histoire ; mais pas n’importe comment pour ne pas reproduire le réveil douloureux de 2010 sur la notation financière.
Dans un contexte où le mot clé souveraineté revient avec force dans le discours politique, la maitrise de la notation cyber en France et en Europe est un enjeu actuel concret pour protéger les entreprises. La création d’une ESMA « cyber » peut être une réponse.
Rédaction : Sébastien Roché , Senior Orange Security Expert et membre associé IHEDN AR14
Annexes
1. Les recommandations émises par le CESIN :
- Obtenir plus de transparence des méthodes et des algorithmes utilisés par les agences de notation pour la découverte des assets et l’attribution de notes avec les coefficients de pondération.
- Favoriser le développement des notations européennes.
- Réguler le mandat des agences en leur interdisant la vente en parallèle de prestations visant à aider les organismes à améliorer les scores obtenus.
- Contribuer à la production d’un dispositif d’évaluation des organismes au plan cyber, sur plusieurs axes fondamentaux, afin que la mise en œuvre soit réaliste, transparente, reproductible et efficace. Ce dispositif :
- Devrait être construit en consultant les différents acteurs actuels de l’écosystème cyber.
- Peut inclure, entre autres et comme un des critères d’évaluation, l’exposition publique que traitent les agences de notation actuelles.
- Doit établir des résultats à partir de plusieurs sources d’évaluation, afin d’éviter tout risque lié aux intérêts d’une agence unique.
2. État des lieux mondial des acteurs (CLUSIF, avril 2024)
Le tableau ci-dessous représente un inventaire non exhaustif des acteurs de l’évaluation et de la notation en cybersécurité, il permet de constater en un coup d’oeil que les acteurs européens et français ne sont pas les plus nombreux sur le sujet.
| Nom de l’agence | Pays d’origine |
|---|---|
| Allgress | US |
| Aravo | US |
| Archer | US |
| Bitsight | US |
| Black Kite | US |
| Board of Cyber | FR |
| Certa | US |
| Coupa | US |
| Cyber Cube | UK |
| Cyber Essentials | US |
| Cyber GRX | US |
| Cyber Vadis | FR |
| CyRating | FR |
| Diligent | US |
| Graphite Systems | US |
| Logic Gate | US |
| Logic Manager | US |
| One Trust | US / UK |
| Panorays | US / IL |
| Prevalent | US |
| Process Bolt | US |
| Scovery | FR |
| Security Score Card | US |
| Service Now | US |
| SIG | US |
| SureCloud | UK |
| Third Part Trust | US |
| Upguard | AU |
| Venminder | US |
| Whistic | US |