Point de vue
Confiance, résilience, souveraineté : trois concepts à remettre à leur juste place
Guillaume Poupard
Chief Trust Officer, Orange
Le monde numérique produit des mots-valises à la vitesse à laquelle il produit des menaces. « Confiance », « résilience », « souveraineté » : trois termes que tout le monde emploie, que personne ne définit de la même façon, et que l'on brandit parfois comme des boucliers rhétoriques là où il faudrait des architectures opérationnelles. Guillaume Poupard, Chief Trust Officer d'Orange, ingénieur général de l'armement, docteur en cryptologie et ancien directeur général de l'ANSSI, n'a pas ce travers. Sa trajectoire, à la frontière entre la puissance publique et le monde de l'entreprise, lui a forgé une conviction : les concepts ne valent que ce que valent les organisations qui les incarnent. Dans cet entretien, il remet chacun de ces trois piliers à sa juste place, opérationnelle et stratégique, et dessine le rôle qu'un opérateur mondial comme Orange a à jouer dans un monde où la loi du plus fort reprend le pas sur le droit international.
Ce qu'il faut retenir :
1. La confiance ne se déclare pas. Elle se mérite et se prouve : c'est aux clients, aux partenaires, aux employés et aux autorités publiques de l'accorder, jamais à l'entreprise de se l'attribuer.
2. La résilience est une condition nécessaire de la confiance, pas son synonyme. Elle signifie encaisser le choc, limiter les effets et revenir à un état normal, pas l'absence de tout incident.
3. La gouvernance prime sur la technique. Deux prérequis non négociables : l'expertise réelle et une chaîne de décision capable de porter ces sujets jusqu'au COMEX et au Conseil d'administration.
4. La souveraineté, c'est la maîtrise des dépendances, pas le repli sur soi. Orange ne peut pas être souverain ; il contribue aux souverainetés nationales de ses 26 pays.
5. La lutte contre la manipulation de l'information sera le prochain terrain d'engagement des opérateurs, au-delà de la cybersécurité traditionnelle.
La confiance : une attribution, pas une déclaration
Il y a une erreur de raisonnement que Guillaume Poupard corrige dès les premières minutes de l'entretien, et elle est fondamentale. La confiance est un terme positif, englobant, et c'est précisément son piège : faute d'opérationnalisation, il reste éthéré, décoratif, presque contre-productif.
« On ne peut pas se déclarer acteur de confiance. On peut tout faire pour l'être, mais ce n'est pas à nous de le déclarer. C'est à nos employés, à nos partenaires, à nos clients surtout, aux autorités publiques, de nous donner leur confiance. »
Cette distinction, simple en apparence, a des conséquences profondes sur la manière dont une organisation doit structurer son action. Être digne de confiance suppose de prouver plusieurs choses simultanément. La sécurité, d'abord : la pression en matière de cybersécurité est aujourd'hui extrêmement forte, et le niveau doit être au rendez-vous. La transparence et le respect des réglementations, ensuite : le secteur des télécoms est probablement le plus réglementé à égalité avec la finance, soumis à une sédimentation réglementaire continue dans le cyber comme dans la protection des données. L'éthique, enfin, qui va au-delà de la réglementation : une marque comme Orange inspire confiance parce qu'on attend d'elle un comportement éthique au-dessus de la moyenne.
La résilience s'inscrit dans cet ensemble non pas comme un synonyme de la confiance, mais comme l'une de ses conditions nécessaires. Et pour un opérateur télécom, cette condition est particulièrement exigeante : les utilisateurs n'imaginent tout simplement pas que le service puisse ne pas fonctionner. La qualité telco, les fameux cinq-neuf, est une norme qui n'a pas d'équivalent dans d'autres secteurs numériques. La panne des numéros d'urgence en France en est l'illustration la plus parlante : cinq ans après, elle reste dans les mémoires, là où une interruption comparable chez un acteur du cloud serait oubliée le lendemain.
Résilience : une définition à reprendre à la racine
Le terme « résilience » a subi le même sort que la « transformation digitale » : à force d'être utilisé, il a perdu de sa précision. Guillaume Poupard le restitue dans sa définition opérationnelle.
« La résilience, ça ne veut pas dire qu'il n'y a jamais de problème. La résilience, ça veut dire que quand il y a des problèmes, on est capable d'encaisser le choc, de limiter les effets et de revenir à un état normal. »
Cette définition n'est pas sémantique. Elle est organisationnelle. Elle implique qu'il ne faut pas nier la possibilité des incidents, mais se préparer à les absorber. Et cette préparation repose sur deux piliers que Poupard place avant toute décision d'investissement technologique.
Le premier est l'expertise. On ne peut pas faire de bonne sécurité sans expertise : c'est un prérequis qui ne se décrète pas. La cyber threat intelligence, la compréhension fine de ce que font les attaquants, la maîtrise des aspects technologiques dans leur évolution : tout cela demande des compétences réelles, construites dans la durée.
Le second est la gouvernance. Et c'est là que l'analyse de Poupard devient la plus incisive. La sécurité n'est pas un sujet purement technique. L'époque où un dirigeant pouvait se réfugier derrière son ignorance technique pour s'en exonérer est révolue.
« Tu ne connais rien, mais c'est ton problème. »
Chez Orange, les questions de cybersécurité et la résilience associée reviennent en COMEX tous les deux mois. Ce rythme n'est pas anodin : il crée une acculturation progressive qui garantit que, le jour où un vrai problème opérationnel survient, les décideurs ne découvrent pas le sujet. Il faut également qu'un membre du COMEX porte le sujet, se sente personnellement responsable, et pas seulement informé.
Le Conseil d'administration constitue le troisième niveau de cette chaîne, et c'est aussi le chantier le plus en retard. Son rôle n'est pas de gérer la crise, mais de challenger l'entreprise sur sa préparation. Or, on ne peut pas affirmer que le risque cyber peut parfois être le risque maximal d'une entreprise, et n'avoir au Conseil ni les compétences ni les réflexes pour en challenger les dirigeants. Cette évolution de la sociologie des administrateurs est en cours, mais elle est encore incomplète à l'échelle globale.
L'entraînement comme culture, pas comme obligation réglementaire
La métaphore militaire que Poupard convoque sur les exercices de crise n'est pas rhétorique. Elle révèle une conviction profonde sur la manière dont la résilience se construit.
« Entraînement difficile, guerre facile. C'est ce qu'on dit dans les armées. »
Les plans de continuité d'activité et de reprise d'activité ne valent que s'ils sont bien intégrés au fonctionnement réel de l'entreprise, pas produits pour satisfaire une obligation réglementaire. Le jour où la crise arrive, elle ne se déroule jamais comme prévu. Mais ceux qui se sont entraînés s'adaptent incomparablement plus vite. La cible : des exercices techniques complétés par des exercices de gouvernance remontant dans la chaîne hiérarchique, jusqu'aux instances dirigeantes. Les réglementations européennes, d'ailleurs, convergent dans cette direction et l'imposent de plus en plus.
Souveraineté : sortir du malentendu
La géopolitique mondiale a changé de registre. Guillaume Poupard le dit sans détour : on est revenu en grande partie à la loi du plus fort, qui prend le pas sur le droit international et le multilatéralisme, sous des formes variées et à des degrés divers selon les acteurs. Pour l'Europe et pour l'Afrique, positionnées entre les grands blocs, la question de la maîtrise de son propre destin revient avec une force renouvelée.
Mais la souveraineté, telle qu'elle est souvent comprise, recèle un malentendu qu'il faut dissiper. Le repli sur soi, tout faire soi-même, ériger des barrières : cette vision non seulement ne fonctionne pas, mais rate l'essentiel. Poupard lui préfère une formule plus opérationnelle.
« Je préfère au terme de souveraineté, qui est super fort mais qui est parfois un peu vague, celui de maîtrise des dépendances technologiques. »
Maîtriser ses dépendances, ce n'est pas les supprimer. C'est les cartographier, les gérer, maintenir des alternatives, avoir plusieurs fournisseurs, comprendre ce qu'ils font, et piloter sur le long terme pour éviter de se retrouver un jour pieds et poings liés. L'open source, dans certains cas, constitue un levier concret de ce type de reconquête.
Orange : contributeur aux souverainetés nationales, pas acteur souverain
La distinction que Poupard opère sur le rôle d'Orange est peut-être l'un des apports les plus saillants de cet entretien. Une entreprise, fût-elle multinationale, ne peut pas être souveraine. Ce qu'elle peut faire, c'est contribuer aux souverainetés nationales des pays où elle opère.
« On contribue aux souverainetés nationales. Et on le fait dans 26 pays, voire plus. »
Le raisonnement est direct : garantir le fonctionnement et la résilience des services télécoms est une contribution essentielle à la souveraineté de chacun de ces États. Si un adversaire cherche à exercer une pression sur un pays, menacer de couper ses télécommunications est l'une des formes les plus efficaces de cette pression. Un opérateur incapable d'y résister devient un vecteur de vulnérabilité nationale. Au-delà des télécoms, la même logique s'applique au cloud, à l'IA et à la cybersécurité : Orange peut permettre à ces États de regagner de la maîtrise sur des pans entiers de leur infrastructure numérique.
Sur le plan européen, un concept de souveraineté collective commence à émerger. La Commission européenne a récemment publié un paquet autour des questions de souveraineté technologique, sujet qui aurait été inaudible il y a encore quelques années, perçu comme du protectionnisme. L'évolution est réelle, même si elle reste inaboutie.
Le prochain front : la manipulation de l'information
Guillaume Poupard ouvre une perspective qui déborde le périmètre habituel de la cybersécurité, mais qui en est le prolongement logique. Dans les flux télécoms circulent non seulement des attaques techniques, mais aussi, demain, des campagnes de désinformation ciblant les entreprises, pas seulement les États. Les opérateurs ont déjà accepté, au prix d'une évolution des mentalités, de jouer un rôle dans la détection des flux d'attaques. Ils devront aller plus loin.
« Je suis absolument persuadé qu'on a un vrai rôle à jouer. On a cette responsabilité en tant qu'experts du numérique et de la confiance pour aider le business, pour aider les consommateurs à se protéger face à des tentatives de manipulation, de désinformation. »
L'IA générative ajoute une dimension nouvelle à ce risque : polie, rassurante, inspirant confiance par construction, elle peut faire dériver les opinions de manière progressive et insidieuse, sans que l'utilisateur en prenne conscience. Ce n'est pas une menace abstraite : c'est le prolongement logique de ce que les réseaux sociaux ont déjà démontré à l'échelle des élections et de l'espace public.
Ce chantier est complexe, car il touche à l'un des fondements les plus anciens des télécoms : la neutralité du net et le secret des communications. Il ne pourra pas être mené seul. Mais il sera, pour les opérateurs qui sauront s'y positionner avec méthode et responsabilité, l'un des terrains de création de valeur les plus significatifs des prochaines années.
Confiance, Résilience & Durabilité
Bâtissez un avenir numérique sûr, éthique et durable