Spécial - Cybersécurité, sureté, risque dans un grand groupe - Parce que... c'est l'épisode 0x30F! — PolySécure Podcast

Spécial - Cybersécurité, sureté, risque dans un grand groupe - Parce que... c'est l'épisode 0x30F!

PolySécure Podcast · 23/06/2026 04:00 · 45 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x30F! Shameless plug Description

Dans cet épisode spécial du podcast, je reçois Pascal Manni, RSSI (CISO) affilié à Airbus Canada, pour discuter du rôle de responsable de la sécurité de l’information dans un grand groupe industriel aéronautique. Pascal possède plus de 15 ans d’expérience au sein d’Airbus, dont une dizaine d’années en France et huit ans en Chine en sécurité numérique, avant de rejoindre le Canada en 2018 et d’occuper le poste de RSSI depuis environ trois ans.

Contexte : l’acquisition et le choc culturel

Airbus, qui compte environ 150 000 employés dans le monde, a racheté le programme C Series (devenu l’A220) en 2016. Cette acquisition a créé un choc de paradigme entre la culture de gouvernance européenne, très structurée en matière de sécurité, et l’environnement canadien qui devait s’y adapter. Pascal a été la première personne à instaurer cette culture du rôle de RSSI au Canada, un poste alors mal compris dans l’organisation.

Les quatre piliers du programme A220

Pascal identifie quatre grands domaines sur lesquels repose la sûreté du programme A220 : la partie industrielle et la chaîne d’approvisionnement, le produit lui-même (soumis aux exigences réglementaires de l’aviation, comme celles de Transport Canada ou de l’OACI), la partie numérique (données et systèmes informatiques), et enfin les personnes et les espaces de travail (menaces liées aux acteurs malveillants). Le rôle du RSSI consiste à s’assurer que ces quatre piliers sont adéquatement maîtrisés, en s’appuyant notamment sur une cartographie des risques.

Un enjeu central évoqué est celui du vocabulaire : Airbus a développé un langage commun et une taxonomie propre, permettant d’uniformiser la communication à travers toutes ses divisions (avions, hélicoptères, espace, services), et de dialoguer efficacement avec les multiples régulateurs (français, canadiens, américains, européens) dans un environnement extrêmement encadré, renforcé par les nouvelles normes cyber européennes.

La méthodologie EBIOS RM

Le cœur de l’échange porte sur la méthode d’analyse de risque utilisée par Airbus : EBIOS RM, développée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en France. Cette approche, organisée en cinq ateliers, permet d’adapter le niveau de détail selon la maturité et les besoins du secteur d’affaires concerné.

  • Atelier 1 définit le périmètre (scope), la mission concernée, ainsi que les « biens métier » et « biens support ». Une analyse de conformité (basée sur le NIST, adapté au vocabulaire d’Airbus) permet d’attribuer des notes de A à D, donnant au secteur d’affaires une première vision de sa posture de sécurité.
  • Atelier 2 identifie les « sources de risque », c’est-à-dire les acteurs malveillants potentiels (groupes criminels, États, employés mécontents) et leurs motivations, ce qui permet de prioriser les contrôles à mettre en place.
  • Atelier 3 croise stratégiquement les sources de risque avec les biens à protéger, en modélisant simplement comment une attaque pourrait perturber une mission. Ce niveau s’adresse à un public exécutif.
  • Atelier 4 descend au niveau opérationnel, en précisa

Plus d'informations