Source: Approach

La société brabançonne Approach, spécialisée dans l’offre de services et de conseils en (cyber)sécurité, GRC (Governance, Risk and Compliance) et développement de logiciels, vient de passer une alliance avec une collègue suisse. La convention est nettement plus qu’un simple accord commercial. D’une part, parce que les deux partenaires créent une co-entreprise qui opèrera sur le marché helvétique et pourrait – mais seul l’avenir le dira – opérer également sur d’autres marchés.

D’autre part, parce que cet accord est pour Approach le signe d’une réelle ambition à l’international et est, pour partie, la résultante de l’évolution des activités et du positionnement de la société à l’issue d’une année 2020 qui a laissé des marques – positives…

2020. Une année si particulière…

2020 laissera une empreinte indélébile dans les mémoires et dans les bilans – y compris ceux des entreprises. Elle fut synonyme d’une véritable explosion des risques et pas seulement sanitaires. Comme d’habitude, l’occasion a fait le larron. Et ce larron-là n’est guère amusant. 

Il y eut le véritable hameçon qu’a constitué la thématique du coronavirus – pour tromper des victimes avec des offres ou des infos apparemment alléchantes et/ou intéressantes mais masquant un virus ou d’autres types de “malware”.

Ou encore la multiplication des failles et des cibles, provoquée par un basculement quasi généralisé au télétravail, avec des employés qui ont soudain dû accéder aux informations, applications et équipements de l’entreprise ou de partenaires commerciaux via des ordinateurs domestiques ou personnels, non protégés. Ou via une infrastructure IT de leur employeur qui n’était pas préparée à la nécessité de revoir sa copie en matière de sécurité.

Autant d’occasions pour les pirates et hackers de tous poils de s’en donner à coeur joie.

Spécialiste (cyber-)sécurité, Approach a donc vu la demande exploser à mesure que les entreprises, petites ou grandes, prenaient la mesure de la menace.

“Lors de la première vague, nous n’étions pas sûr de la manière dont le marché allait réagir. Mais nous avons heureusement pu constater que nos clients habituels étaient solides et continuaient d’opérer. Ensuite, à l’été, les demandes ont commencé à affluer comme jamais auparavant”, explique David Vanderoost, patron d’Approach.

Et ces demandes sont venues de partout. “Tout le monde a en effet dû se réorganiser. Beaucoup de sociétés sont passées en mode cloud, ont installé des VPN ou ont basculé vers des solutions du genre Office 365, Teams, Zoom et autres…” Le travail en mode connecté, c’est un besoin accru de sécurité: “Nos services de sécurité sont devenus critiques pendant la crise”. Beaucoup ont pu constater combien le facteur humain demeure bien souvent le maillon faible. Vu le passage généralisé au travail à distance, un seul maillon faible peut avoir des répercussion à très grande échelle pour une entreprise…

Aux yeux de David Vanderoost, deux facteurs se sont combinés pour offrir de nouvelles opportunités et un regain d’activités pour sa société: d’une part, la recrudescence des attaques et des sources de compromissions à cause de la crise sanitaire – avec la prise de conscience des enjeux, côté entreprises ; de l’autre, l’obligation née de la directive RGPD de notifier les attaques, pertes de données, infrastructures ou services compromis…

Evolution d’optique

La prise de conscience, estime David Vanderoost, fut non seulement assez généralisée – toutes tailles de sociétés et tous secteurs confondus – mais elle a également changé en termes d’optique. “Par le passé, ceux qui étaient conscientisés, savaient qu’il était utile de faire procéder à des exercices d’évaluation etlou à des tests préventifs. C’est comme cela que l’on concevait jusqu’alors la cybersécurité.

Désormais, on parle davantage de cyber-résilience. Il ne s’agit plus uniquement de se protéger, d’être en mesure de détecter et de faire face à une attaque. Il faut aussi pouvoir gérer les incidents, réagir rapidement et restaurer vite. Cela implique de mettre en oeuvre des processus de sauvegarde, un plan de restauration après incident, et passer des contrats de cyber-assurance.”

La prise de conscience a non seulement gagné du terrain auprès des grandes entreprises mais “les PME prennent désormais, elles aussi, la cybersécurité au sérieux. Toutes, au minimum, se posent la question: où en sommes-nous?”

Approach a donc enregistré des sollicitations croissantes de PME, en 2020. La demande émanant du mid-market qui, traditionnellement, constituait le gros de sa clientèle, s’est aussi accentuée. De même que celle émanant de clients de grande taille. “Notamment dans le secteur de la grande distribution, qui était en demande de conseils, du côté de l’industrie aéronautique…”

Analysée par secteur, la demande est notamment venue de la grande distribution, “qui était en demande de conseils”, de l’industrie aéronautique, de sociétés technologiques (fintech, health tech, biotech, pharma…), du secteur bancaire… Sans oublier le monde sportif ou celui des agences marketing.

“Les fintech, notamment, sont très demandeuses dans la mesure où elles désirent sécuriser et apporter la preuve de la sécurité de leurs produits. Démontrer son sérieux en matière de sécurité est également une condition sine qua non pour elles si elles veulent réussir leur tour de table dès le stade de la série B… Sans quoi, elles ne trouveront pas d’investisseurs prêts à les financer…”

Résultat de ce regain de demandes pour Approach: une croissance de plus de 10% en 2020 et un effectif étoffé (80 personnes).

Evolution de catalogue

Pour faire face à la nouvelle demande et aux nouvelles exigences, Approach a fait évoluer son propre catalogue vers de la détection et réponse à incidents et des solutions de restauration.

Ce que David Vanderoost appelle une “approche 360° de la résilience”.

Côté modèle économique et type de prestations, Approach a également accéléré sa propre évolution. Compte tenu de l’arrivée de clients plus modestes [les PME représentent désormais plus de 50% de son chiffre d’affaires], il lui a fallu passer en mode services, “en industrialisant nos processus”, là où, par le passé, la société opérait surtout en mode conseils et projets – en ce compris pour du développement de logiciels pour tiers (exemple-type: Itsme).

“Les PME, elles, sont surtout en attente d’analyses d’évaluation ou de “pen tests”, qui prennent quelques jours, au maximum deux semaines. Nous avons donc dû calibrer notre démarche pour répondre au besoin. Désormais, nous sommes en mesure de produire un rapport dans les deux jours après le début d’une mission…”

Approach a par ailleurs passé une série d’accords commerciaux avec des éditeurs afin de pouvoir relayer leurs solutions à sa clientèle, les implémenter, intégrer et supporter, “habillées” de ses propres prestations. Le tout, selon une approche de services gérés.

Exemples de produits que représente et intègre Approach?

KnowBe4, spécialiste de la formation et sensibilisation aux problèmes de phishing (hameçonnage). “Cette société propose notamment une plate-forme de formation à distance, très riche en vidéos et contenus qui expliquent les risques. Elle propose même des sessions de simulation d’attaques par phishing.” Les entreprises peuvent ainsi tester “à blanc” le comportement de leurs employés s’ils étaient confrontés à ce genre de menace. Une fausse campagne de phishing est orchestrée en interne afin d’analyser les réactions et de conseiller ensuite sur les bonnes attitudes.
Approach vend donc des licences KnowBe4, installe la plate-forme chez les clients et y ajoute ses services (conseils sur les mesures à prendre, sur les formations correspondant aux profils des utilisateurs et employés…).

Autre exemple de partenaire, dans le registre cyber-résilience: VectraAI, auteur de solutions de détection et réponse à incidents sur réseaux et équipements (surveillance des flux, des comportements, du type de messages…). Approach revend et implémente les solutions VectraAI, y ajoutant ses services: qualification d’attaques et d’alertes, analyse d’incidents corrélés, diagnostic (des experts bel et bien humains valident les signalements générés par les algorithmes)…

L’appel de l’international

Le regain d’activités et l’extension du catalogue (produits et compétences) ont eu pour effet de convaincre Approach que c’était le bon moment pour s’engager dans une réelle stratégie d’expansion à l’international. “Nous avions déjà des clients à l’étranger, que nous desservions à partir de la Belgique [Ndlr: environ 20% des activités étaient tournées vers l’international] mais c’était le moment de franchir un cap.”

Tout naturellement, la société a d’abord pensé à une extension dans les pays où elle avait déjà des clients et qu’elle connaissait mieux, en raison de leur proximité (France, Pays-Bas…). Toutefois, c’est de Suisse qu’est venue l’opportunité. A la fois en raison de la stratégie que construit le pays en tant que tel et en raison d’une confluence d’intérêt avec un acteur helvétique qui désirait étoffer son propre portefeuille.

Côté stratégie nationale, David Vanderoost explique que “la Suisse est en train de bâtir une “Trust Valley” sur un campus situé à Lausanne, qui rassemblera universités, experts en cybersécurité, start-ups…” Preuve de ses ambitions dans ce domaine.

Côté opportunité personnelle, Approach qui, en 2020, a décroché le titre de “Gazelle” en Brabant wallon, s’est fait “repérer” par un consultant opérant pour les autorités du Canton de Vaud. Son rôle consistait notamment à convaincre des sociétés étrangères de venir s’y établir et d’y bénéficier d’investissements helvétiques. Dans le même temps, le groupe EYRA cherchait un partenaire potentiel pour ajouter une nouvelle activité à son arc. “Nos planètes se sont alignées”, déclare David Vanderoost.

“EYRA est un groupe assez nouveau. Son fondateur a créé cette holding en 2020 afin de réunir ses différentes sociétés dans une même structure (voir encadré ci-contre) et, ainsi, mieux gérer ses propres ambitions de croissance, qui incluent un déploiement en Suisse alémanique. 

Il désirait également ajouter la cyber-sécurité à son catalogue, pour aller au-delà des prestations de type service desk.”

Plutôt que de créer une entité à partir de zéro, le lancement d’une co-entreprise (50-50) avec Approach, qui désirait s’étendre à l’international, fut considéré comme plus efficace. EyraApproach était née…

Si les activités se concentreront dans un premier temps sur la région de Genève, EyraApproach peut déjà compter sur quatre bureaux (Genève, Lausanne, Neuchâtel et Zürich).

Avantages croisés

Si Eyra ouvre la porte de la Suisse à Approach, elle lui procure également de nouvelles possibilités en Belgique – ou dans les pays où la société brabançonne possède déjà des clients. C’est ainsi qu’un SOC (Security Operation Center) verra le jour en Belgique, grâce aux compétences déjà acquises par Eyra, en Suisse, via un partenaire spécialisé dans l’offre de services MDR (managed detection and response). “En Suisse, une équipe de 20 personnes anime un centre de surveillance fonctionnant en 24×7. Une antenne, également de 20 personnes, a déjà été ouverte au Grand-Duché.”

“Pour le SOC belge, nous répliquerons cette solution, nous reposant sur les capacités et services de surveillance et de détection préexistantes.” Il n’y aura donc pas construction ou location de nouvelles infrastructures, en Belgique. Par contre, Approach investira et développera le volet “response”, en proposant de l’analyse des menaces pré-identifiées (validation, qualification, corrélation…), en contact direct avec le client, et relais vers les équipes d’intervention.

David Vanderoost (Approach): “Le partenariat avec Eyra génère de réelles synergies. L’accès aux clients de Swiss Cloud ou encore les compétences SOC sont un véritable gain de vitesse pour nous.”

L’équipe pourra opérer, selon les préférences des clients, sur le site du client (pour ceux qui désirent constituer leur propre SOC), en mode conseils sur site (“par exemple, pour intégrer les différentes composantes du SOC qu’il désire mettre en oeuvre”), ou en mode SOC-as-a-service (essentiellement pour le mid-market ou les grands clients “désireux de pouvoir opérer selon un budget raisonnable”).

Approach est plus particulièrement habituée à opérer dans le cadre d’infrastructures Microsoft mais n’en boude pas pour autant des situations où de l’AWS ou du Splunk (pour ne citer que deux exemples) est impliqué. 

Les avantages qu’Approach retirera de son partenariat avec Eyra ne s’arrêtent pas au SOC. “Nous obtenons potentiellement un accès à de nouveaux clients, via les services d’hébergement de Swiss Cloud. Nous pourrons par exemple proposer les services SOC à leurs clients et proposer leur cloud à nos propres clients.” Sans oublier, d’une manière générale, le catalogue de clients du groupe suisse, où l’on trouve des marques de luxe, des banques d’affaires, des banques cantonales, des acteurs de l’événementiel, des institutions internationales…

“Du côté d’EyraApproach, nous avons d’ores et déjà signé quelques clients, notamment dans le secteur événementiel, avec des missions de certification ISO 27001 et 27701, ou encore des tests de vulnérabilité pour des clients de Swiss Cloud.”

Et une autre opportunité se profile à l’horizon. Eyra a en effet conclu un partenariat stratégique avec le groupe Zürich Assurances qui propose des produits de cyber-assurance. “A l’avenir, dès cette année, Approach proposera des produits de cyber-assurance en Belgique et à ses clients existants. Non pas en agissant comme un courtier mais en proposant ou conseillant la solution à nos clients, que nous aiguillerons dès lors vers un expert ad hoc dont les frais d’intervention pourront être couverts par ce type d’assurance.”

S’agira-t-il de contrats Zürich Assurances ou venant d’autres compagnies? Trop tôt pour le dire, les discussions étant encore en cours…