Cyrating : le tiers de confiance pour évaluer la cybersécurité

La start-up Cyrating, incubée à ParisTech Entrepreneurs, propose aux organisations d’évaluer leur performance et efficacité en cybersécurité. En se positionnant comme un tiers de confiance, elle répond au besoin des entreprises d’analyser leur risque cyber de façon objective. Elle leur permet également de se positionner par rapport à leurs concurrents.

Dans le secteur de la cybersécurité, la start-up Cyrating entend bien jouer un rôle souvent réclamé par les organisations, mais jamais pourvu jusqu’à présent : celui du tiers de confiance. La jeune pousse incubée depuis septembre dernier à ParisTech Entrepreneurs propose d’évaluer la performance des entreprises publiques et privées sur leur cybersécurité. La note obtenue leur permet alors de se positionner par rapport à leurs concurrents, mais également de définir les points à améliorer, ou encore d’identifier le niveau de cybersécurité de leurs filiales et fournisseurs.

Quelle que soit l’entreprise, la start-up fonde son évaluation sur les mêmes critères. Cela permet d’obtenir des notes objectives qui ne dépendent pas de la taille ou de la structure de l’organisation. « Nous regardons par exemple le niveau de protection des noms de domaine, des sites web de l’entreprise, des services de messagerie… » liste François Gratiolet, co-fondateur de Cyrating. Des critères qu’il nomme des « faits », et qui sont complétés par une analyse des « évènements », tels qu’une fuite de données ou l’hébergement de malwares sur un serveur interne.

Cyrating traite un ensemble de données observables visant à mettre en évidence ces faits et ces évènements liés à la cybersécurité de l’organisation. Ceux-ci sont évalués par rapport aux meilleures pratiques afin d’obtenir une notation. À partir d’algorithmes d’évaluation, des métriques et des notes sont calculées automatiquement par catégorie. Les organisations évaluées par Cyrating disposent donc d’une visibilité sur leur efficacité dans les différentes thématiques de cybersécurité, en plus d’avoir une note globale. Cela leur permet d’identifier les mesures à mettre en œuvre immédiatement pour améliorer leurs protections, et ainsi optimiser l’allocation de ressources financières et humaines.

À la différence de sociétés d’audits ou de cabinets de conseil, Cyrating ne nécessite pas d’intervention dans les services ou les locaux des organisations. Aucune installation de logiciel ou de matériel n’est requise. En outre, le service est fondé sur le principe d’un abonnement. La notation est continue durant toute la durée de la souscription. Les organisations peuvent donc constater immédiatement l’impact de leurs actions en cybersécurité via l’évolution de la note.

La jeune pousse est la première du genre en Europe. Dans le monde, rares sont les start-up à proposer un service semblable. « C’est un business en plein essor aux Etats-Unis » assure François Gratiolet. Cette précocité sur le marché européen est une aubaine pour Cyrating, dont l’activité repose sur une plateforme puissante capable de monter en échelle : plus l’entreprise évalue d’organisations depuis longtemps, plus cela devient intéressant de faire appel à son système de notation. L’offre de la start-up sera lancée commercialement en janvier 2018 à Lille, lors du Forum international de la cybersécurité (FIC) — le plus grand salon européen dans le domaine. Au fil de son développement et de ses cas d’usage — tout récents puisque que la jeune pousse n’a que quelques semaines — elle a déjà évalué plusieurs centaines d’entreprises. « Dans un an nous devrions être à plus de 50 000 organisations notées » prédit le co-fondateur.

Le service de Cyrating séduit en premier lieu les grandes entreprises et les ETI. « Ils voient ainsi une opportunité de mesurer la performance de leurs fournisseurs et de leurs filiales, et d’optimiser leurs campagnes d’audits » explique François Gratiolet. Mais le service pourrait également intéresser des assureurs, ou des agences souhaitant acheter des blocs de données à des fins statistiques. En se positionnant comme un tiers de confiance, la start-up pourrait alors rapidement devenir un acteur incontournable de la cybersécurité en France et en Europe.