Intervenants :
Guillaume Goergler– Responsable Informatique chez Systeme Wolf
Pouvez-vous nous présenter Systeme Wolf France ?
G.G : « Systeme Wolf est une entreprise du secteur du BTP, spécialisée dans deux domaines principaux. D’une part, nous sommes actifs dans la construction de bâtiments, notamment des installations d’élevage, des entrepôts, des écuries, des manèges, etc. Nous réalisons environ 300 bâtiments de ce type chaque année. D’autre part, nous sommes également impliqués dans le secteur des bâtiments industriels, tels que des salles des fêtes, entre autres. Parallèlement, nous avons une branche consacrée à l’ingénierie du béton, axée sur les bâtiments circulaires, comme des silos, des installations de méthanisation, de biogaz, des stations d’épuration, etc. En 2022, notre entreprise a accompli environ 750 projets de silos, générant un chiffre d’affaires de 70 millions d’euros. Systeme Wolf est une entreprise présente en France, mais nous faisons partie d’un groupe européen fondé en Autriche, avec le siège social et la plus grande entité basée en Allemagne. En France, nous employons environ 350 salariés, tandis qu’au niveau européen, nous sommes une équipe de près de 3000 personnes. La raison pour laquelle je mentionne notre dimension européenne est que cela a joué un rôle-clé dans le lancement du projet, comme je vais l’expliquer dans la section suivante ».
Quel élément déclencheur a poussé à la création du projet ?
G.G : « La maison mère a développé un système ERP interne, propre à notre entreprise, en Allemagne, et l’a déployé dans toutes les entités européennes. Cela a impliqué la mise en place de VPN et de bases de données connectées. Bien que chaque pays ait son propre système, ces connexions nous lient et créent un réseau complexe. Dans ce contexte, le siège en Allemagne a initié un audit visant à évaluer la cybersécurité de l’ensemble de notre réseau, sachant que des failles dans n’importe quelle entité pourraient potentiellement être exploitées pour compromettre la sécurité globale du groupe, que ce soit en passant par la France pour atteindre l’Allemagne ou dans l’autre sens. L’objectif était que chaque entité réalise un audit pour identifier les points fort communs, mais également les vulnérabilités spécifiques à chaque pays. C’est ainsi que le projet a été lancé ».
Aviez-vous des craintes avant le projet ?
G.G : « De manière similaire, nous avions certaines préoccupations, ou plutôt, nous nous interrogions sur notre positionnement. Nous nous demandions si nous pouvions être considérés comme les maillons faibles au sein du groupe, c’était principalement cela qui nous préoccupait ».
Pourquoi avoir choisi NBS System ?
G.G : « En ce qui concerne notre choix de NBS System en particulier, nous avons travaillé avec un prestataire
externe qui nous a conseillés et avec lequel nous collaborons étroitement. Ensemble, nous avons identifié deux ou trois prestataires potentiels, parmi lesquels NBS System. Notre décision de travailler avec NBS System s’est principalement basée sur le processus de réunions préliminaires et de lancement que nous avons menés pour évaluer nos besoins. NBS System nous est apparu comme le choix le plus cohérent, car ils semblaient avoir la meilleure compréhension de nos besoins ».
Comment se sont déroulés les pentests sur les périmètres externe et interne ?
G.G : « Tout d’abord, nous avons commencé par l’audit externe, où les experts de NBS System ont effectué une analyse approfondie de notre site Internet, des points d’accès depuis l’extérieur, et ont recherché des vulnérabilités potentielles. Ensuite, ils sont venus sur place pour la partie audit interne, qui a été la phase la plus longue et, à mon avis, la plus significative. L’un des avantages majeurs de l’audit interne sur place a été la possibilité d’interagir directement avec les auditeurs. Étant moi-même informaticien, nous avons pu discuter en temps réel des failles détectées. Cela nous a permis de les corriger immédiatement ou de les signaler, et les auditeurs nous ont donné leurs commentaires en temps réel. Même si ces failles sont ensuite apparues dans le rapport d’audit final, notre objectif n’était pas de les dissimuler. Au contraire, cette approche proactive nous a permis de prendre des mesures immédiates pour corriger ce qui pouvait l’être rapidement. De plus, cela nous a donné l’opportunité d’échanger avec les experts de NBS System et de bénéficier de leur point de vue en dehors des résultats de l’audit ».
Comment s’est déroulé la collaboration entre vos équipes et celles de NBS System ?
G.G : « La collaboration entre les équipes de Systeme Wolf et NBS System s’est déroulée de manière très positive. Comme je l’ai mentionné précédemment, cette collaboration nous a permis d’échanger en direct. Cette interaction a été très fructueuse, car elle nous a donné l’opportunité d’entendre directement de vive voix toutes les informations qu’ils allaient être inclus dans le rapport. De plus, NBS System a partagé des informations sur les outils qu’ils utilisaient, ce qui nous a permis de ne pas seulement auditer notre système, mais aussi de vérifier certains éléments fondamentaux par nos propres moyens, grâce à ces informations partagées. En résultat, nous avons pu apporter des corrections préalables en travaillant main dans la main avec NBS System, ce qui a rendu le contre-audit particulièrement utile et pertinent, au-delà d’une simple formalité ».
Comment définiriez-vous la valeur ajoutée de NBS System ?
G.G : “La vraie plus-value de NBS System réside dans l’interaction en direct et la collaboration avec nos équipes. Ce n’est pas seulement un audit avec un rapport de résultats, mais une contribution significative à notre réflexion sur notre sécurité interne”.
De votre côté, est ce que vos objectifs ont été atteint ?
G.G : « Tout à fait, nos objectifs ont été pleinement atteints. En effet, nous prenons en considération les résultats de cet audit pour renouveler notre infrastructure informatique. Nous avons pris en compte ces éléments, et notre intention est de réaliser un autre audit avec NBS System une fois que la nouvelle infrastructure sera opérationnelle. Cette approche, nous permettra d’évaluer les améliorations apportées et les domaines qui nécessite encore des ajustements. Le premier audit a été très bénéfique, car il a été exhaustif. Il nous a permis de découvrir de nombreux aspects que nous ne connaissions pas auparavant, en partant de zéro. Par la suite, nous pourrons réaliser des audits plus simples pour évaluer les évolutions apportées à notre infrastructure, en identifiant ce qui a été résolu et ce qui nécessite encore des améliorations ».
