Michel Van Den Berghe, directeur général d'Orange Cyberdefense, est en charge de la réflexion sur le Cyber Campus français. À l’occasion du FIC organisé la semaine dernière à Lille, il revient dans nos colonnes sur ce projet ambitieux, attendu pour début 2021.

Ces mois passés, vous avez fait le tour des Cyber Campus étrangers pour y récupérer le « mieux ». Qu’avez-vous gardé, qu’avez-vous laissé sur place ?

Les points positifs, ce fut de rassembler sur un seul lieu les différents verticaux de l’écosystème de la cybersécurité. Rapprocher la recherche des industriels, rapprocher les startups, tout cela avait beaucoup de sens. Il fallait faire aussi en sorte que l’enseignement et la formation puissent être plus proches. 

La cybersécurité évoluant très rapidement, elle doit être adaptée aux métiers et à l’expertise. Ce sont des points retrouvés par exemple à Beer Sheva en Israël ou à Skolkovo en Russie, etc. où on trouve une université près du centre de développement, comme d’ailleurs une grande banque.

Dans l’ensemble des endroits, on trouve une nouvelle génération d’experts et si on les éloigne trop de leur lieu de vie, ils ne viennent pas. Quand on a parlé avec les patrons des startups, ils m’ont dit « Michel, on vient avec grand plaisir, par contre, si c’est trop loin de Paris, on ne suivra pas parce que les experts ne suivront pas ». Si on éloigne trop l’écosystème de son point d’eau, on l’appauvrit.

Autre tendance, j’ai été en région, j’y ai rencontré pas mal de patrons. Des ruptures technologiques vont s’y faire. Si on peut amener les experts cyber au plus près, on se dirige vers un campus qui ne sera pas jacobin, mais physiquement sur plusieurs lieux et régions. C’est un peu comme ça que j’ai mené mon projet.

Comment allez-vous faire pour éviter que ce campus cyber se transforme en « supérette » pour les grandes sociétés, avec ces startups à portée de main ? 

On veut un lieu opérationnel où des gens vont travailler sur des projets communs. On ne veut pas se contenter de mettre l’ANSSI et cinq industriels afin d’attirer les enseignes espérant profiter des visites officielles. Nous voulons en faire un lieu de production, pas un bureau commercial ou une galerie marchande. Le cahier des charges l’explique depuis le début.

On ne veut pas que ce soit une galerie marchande ni un grand CERT où le Cyber Campus se résumerait une réunion de personnes derrière des écrans pour faire de la détection. On veut créer toutes ces innovations, des plateaux-projets. Ce sera un lieu de vie. Orange Cyberdéfense y mettra des CERT, des gens vont travailler autour de la 5G ou de projets communs à l’approche des Jeux olympiques.

Voilà pourquoi au tout dernier moment, nous avons rappelé les acteurs intéressés en leur demandant combien de personnes mettraient-ils au quotidien sur ce campus pour que cela soit opérationnel.

Les entreprises ne sont pas des enfants de chœur même dans ce lieu de vie. Comment allez-vous gérer les tensions concurrentielles ?

Deux points étaient complexes dans la mission. D'un, l’expertise est rare. Il faut la rassembler dans un même endroit pour la rendre plus visible et un pacte de non-agression, sous forme de charte, sera défini pour éviter que les acteurs ne se « piquent » ces experts.

Deux, il faut aussi savoir qu’on s’entend bien entre nous. Nous sommes sur un marché hyper porteur. On n’est pas tant en concurrence que cela et quand cela arrive, il faut savoir être bon perdant. Ce qui est important c’est l’état d’esprit, à l’instar des clubs de Ligue 1 qui autorisent leurs joueurs à aller jouer en Équipe de France.

Mon objectif est de construire un porte-avion. C’est grand, c’est majestueux, ça accueille du monde et c’est un concentré d’expertises, mais surtout cela attire les avions de chasse. Il faut démontrer l’expertise française sur ce Cyber Campus, démontrer qu’on est au même niveau que les grandes nations de la cybersécurité.

Un avion de chasse Cisco ou Huawei pourra-t-il apponter ?

Le campus sera ouvert sur le monde, mais régi par des zones de confiances et des zones de sensibilité, des zones plus ou moins restreintes en fonction de la typologie des entreprises.

Plus on se rapprochera de l’épicentre, plus l’accès sera restreint. Mais on veut vraiment construire dans les communs cette base partagée. On a fait des accords, acteur par acteur, avec la gendarmerie, la police judiciaire, le ministère de l’Intérieur, l’ANSSI qui devrait installer des marqueurs sur le réseau.

Les États-Unis disent « le numérique nous appartient ». Ils n’ont pas tort quelque part. Faire un projet franco-français qu’avec des entreprises françaises n’aurait pas de sens. La doctrine sera gérée par une structure de gouvernance privée-publique qui décidera qui elle admet ou pas.

On insiste d’ailleurs bien sur ce critère « privé-public » et pas « public-privé ». C’est un projet porté par les industriels et supporté par l’État, pas l’inverse. Dans l’état d’esprit, il ne faut pas que les entreprises viennent pour faire plaisir aux ministres ou au Président de la République, mais en se disant « si je ne suis pas sur le campus, je rate quelque chose dans mon développement ».

Dans ma démarche entrepreneuriale, chaque fois que j’ai rencontré quelqu’un je me suis interrogé sur le retour sur investissement promis, sur le sens de sa présence sur le Cyber Campus. Celles dont le centre de gravité n’est pas en Île de France nous ont dit qu’elles ne viendraient pas, faute de disposer d’un modèle d’organisation adapté. Par contre, celles qui veulent participer portent un engagement, notamment en termes de personnels.

Quelle sera la structure sociale du Cyber Campus ?

Une S.A.S. Je veux vraiment toujours réagir en tant que chef d’entreprise : une société par actions simplifiées et un business plan pour déterminer la surface nécessaire et les pistes d’évolution.

J’ai créé un dossier identique à celui que j’aurais fait pour un nouveau site chez Orange, pour que très vite cette société soit rentable ou dans tous les cas à l’équilibre, qu’elle ne coûte rien. Les gens qui viendront paieront un loyer tout comme s’ils veulent utiliser les espaces communs pour une manifestation.

Nous voulons que cette SAS s’autofinance.

Vous évoquiez la question des formations...

Aujourd’hui, des formations existent, mais ceux qui les ont créées nous expliquent avoir de la peine à les remplir. Il y a un manque de vocation. Les gens se disent que la cyber est un métier technique, si tu n’as pas été à huit ans derrière un PC à faire le geek tu ne peux y aller.

J’ai rencontré EDF ou BNP qui m’ont témoigné avoir des problèmes à recruter. Ils essayent de faire du « reskilling » (ou requalification, ndlr) en interne, artisanalement. En mettant tout cela en commun, en partageant par exemple avec les formations de l’ANSSI, on créera un cursus multientreprise. C’est un vrai projet.

Par ailleurs, on a discuté avec le ministère de l’Eduction nationale et est arrivée l’idée d’un bac Pro dédié à la cybersécurité. J’ai besoin d’ingénieurs, mais à un moment, une fois qu’on a détecté les failles, il faut bien aller sur le terrain, combler. C’est un vrai métier passionnant, pour lequel on se rend utile !

C’est aussi ce que je vais essayer sur le campus : changer l’image de la cyber qui, dans la presse, est souvent représentée avec un écran vert, de l’hexadécimal derrière, un gars à capuche... On a aussi besoin de communicants. Quand on a une cyberattaque, il faut arrêter de mettre ça sous le tapis, ce n’est pas une maladie honteuse !

Voilà. Le Cyber Campus n’est pas une supérette, une galerie marchande ou un musée. Il faut un lieu qui donne envie, envie d’y travailler, de partager et pour les industriels de montrer leur savoir-faire.

Combien va-t-il coûter ?

En investissement initial, par poste de travail, c’est 11 000 euros multipliés par 800 personnes, ensuite on vient aux questions de mètres carrés. Il y aura 50 % d’aides publiques et la Région Île-de-France va participer pour 50 % de ces 50 %.

C’est du côté de Cédric O, qui s’est engagé au nom de l’État, de voir maintenant les modalités pratiques. Maintenant, on va rentrer dans le dur. Je vais prendre mon tableau Excel pour aller voir les personnes qui se sont engagées pour savoir « quand » et « combien de personnes ».

En fonction des réponses, je pourrai aller voir un promoteur immobilier pour lui expliquer les besoins en termes de surface et de montée en progression. On aura des questions opérationnelles très précises : veut-on un amphithéâtre, un grand hall pour installer un showroom ou uniquement des bureaux ?

Quid d’Orange Cyberdefense ?

Je suis dans le même ratio que mes collègues, soit une centaine de personnes. 

Est-ce que vous allez un peu suivre le modèle de Station F cher à Xavier Niel ?

Il y a une grande différence. La Station F ne vit que quand il y a des exhibitions ou des manifestations. Nous c’est l’inverse. C’est un lieu où on travaille et où on accepte que les gens viennent nous rencontrer de temps en temps pour visiter.

Il y a tout de même des startups qui ont leur bureau… Xavier Niel est venu frapper à votre porte ? 

Il peut venir quand il veut. C’est ouvert sur le monde et à toutes les personnes. On n’est absolument pas en concurrence avec Station F. Si on prend les startups, en France, on a maintenant tout l’écosystème pour les aider à éclore, les incuber.

Certaines sont très bien logées, dans des locaux magnifiques situés dans des arrondissements parisiens à un seul chiffre où elles ne payent pas de loyer. Je leur dis : maintenant, il faut sortir de la crèche pour rentrer à l’école maternelle où elles paieront un loyer.

Sur le lieu d’implantation pourra-t-il être à la Défense, par exemple ?

Le seul regret du campus à la Défense c’est que c’est très vertical. Or, on aimerait faire quelque chose de plus horizontal. Ça sera en tout cas plutôt l’ouest de Paris que l’est.

Quel est l’agenda ?

J’attendais la décision politique. L’objectif est de choisir le lieu dans les deux mois qui viennent. Fin mars le business plan sera monté avec deux ou trois scénarios.

Je me suis engagé auprès du ministre pour qu’il puisse venir couper le cordon début 2021. 10 000 m² c’est huit à neuf mois de travaux d’aménagements. Si on veut déplacer certaines activités un peu sensibles d’Orange Cyberdefense et de l’ANSSI, il faudra aussi sécuriser.