« Un dôme de sécurité » au-dessus de Station F. Voici la promesse avancée par F5, géant américain de la cybersécurité et nouveau partenaire du célèbre incubateur de startups fondé par Xavier Niel. Concrètement, F5 offre dès aujourd'hui à chacune des plus de 1.000 startups du campus la protection de son dernier logiciel de sécurité, gratuitement et pour toute la durée de leur séjour d'incubation.
Cette initiative va permettre de protéger les startups émergentes contre des cyberattaques qui peuvent menacer leur pérennité, qu'elles n'ont souvent ni les moyens humains ni les moyens financiers d'affronter. Pour F5, outre un certain rôle social, ce projet va ouvrir un marché vers les licornes de demain.
Protection tout en un pour les locataires de station F
En quelques clics, chaque startup de Station F peut, sans obligation, protéger son nom de domaine (l'adresse de son site) avec le logiciel par abonnement (SaaS) de F5, nommé "F5 Distributed Cloud Web Application and API Protection (WAAP)". Derrière ce nom barbare se trouve toute une gamme de produits de cybersécurité : un pare-feu (WAF, dans le jargon) ; une protection des API [les interfaces qui permettent d'interconnecter les sites entre eux, ndlr] ; une technologie contre les bots, ces scripts automatisés notamment utilisés par les cybercriminels ; ou encore un outil contre les très répandues attaques par déni de service (ou DDoS) qui consistent à surcharger artificiellement en requêtes un site ou une app pour les ralentir voire les faire tomber en panne.
En résumé, F5 fournit du tout en 1 et s'engage à protéger contre un large panel de menaces, sans que les startups n'aient ni à recruter ni à déployer une nouvelle infrastructure. A l'échelle globale, l'entreprise avance qu'elle bloque plus de 2 milliards d'attaques par jour, dont un volume important de bourrage d'identifiants. Cette technique malveillante consiste à tester de façon automatique de gigantesques listes d'identifiants volés sur le portail de connexion d'un site, dans l'espoir de se connecter à un compte de client ou d'employé, puis de se servir de cet accès pour lancer d'autres attaques ou récupérer des données.
Les startups, cibles faciles
« Sans ce genre d'initiative, les startups sont dans une impasse quand elles se penchent sur les coûts de la cybersécurité », estime Sébastien Weber, directeur général France de F5. Ce constat est d'autant plus vrai chez Station F car les jeunes pousses hébergées par l'incubateur sont entre leur phase de pré-amorçage -où elles développent encore leur produit et réfléchissent à leur marché- et leur série A -la première grosse levée institutionnelle pour appuyer le développement commercial, qui peut apporter quelques millions d'euros de liquidités. Autrement dit, elles se situent à des stades de développement où la dépense de chaque euro fait l'objet d'un arbitrage serré, et où forcément, la cybersécurité a de grands risques de passer au second plan.
« Les startups sont très vulnérables car la plupart du temps, elles n'ont pas les ressources pour se protéger. Pour les cybercriminels c'est l'inverse : les startups sont des cibles qui nécessitent peu d'investissement, avec une grande chance de retour financier sur l'attaque », relève François Locoh-Donou, PDG du groupe.
Dans le détail, le dirigeant précise que les startups ont généralement une utilisation importante du cloud public, c'est-à-dire qu'ils hébergent leurs données sur une infrastructure qu'ils ne possèdent pas, « ce qui augmente la surface d'attaque », . puisqu'elles dépendent aussi de la sécurité de leurs voisins de serveur. Il ajoute que les startups utilisent beaucoup de code open source (du code disponible gratuitement, créé par des communautés), qui n'est pas dangereux en soi, mais nécessite une surveillance particulière au cas où des vulnérabilités seraient découvertes, ou si des cybercriminels tentaient de le détourner. L'affaire Log4shell à la fin de l'année dernière a illustré ce danger.
En bout de chaîne, une cyberattaque peut signer la mort d'une startup à cause de ses nombreuses conséquences potentielles : indisponibilité du service, pertes de données, dommage réputationnel, coût de reconstruction de l'infrastructure... D'après le rapport du CESIN (Club des experts de la sécurité de l'information et du numérique), 80 % des startups victimes déposent le bilan dans les 6 mois suivant l'attaque.
Mais heureusement, ce constat de vulnérabilité va en s'améliorant lorsque les startups grossissent. Dans son premier baromètre des startups du Next40/French Tech 120, l'entreprise de notation en cybersécurité Cyrating a attribué une moyenne de 70/100 à la crème de l'écosystème français. Une moyenne basée sur des informations publiques, trois points supérieure aux milliers d'entreprises de la tech observées par l'agence de notation.
Un nouveau marché en ligne de mire pour F5
Si les arguments de la sécurité et de la gratuité ne suffisent pas à convaincre les startups, F5 sort aussi l'argument économique. « Nos protections permettent aussi de réduire le coût d'infrastructure. On estime que 40 à 90% du trafic des sites provient de bots, et non d'humains. Or, dans le cloud public, on paie souvent au volume du trafic », note François Locoh-Donou. Son collègue Sébastien Weber ajoute que F5 peut aussi mettre son infrastructure à disposition des startups pour qu'elles se déploient à l'international à moindre coût.
Jusqu'ici F5 comptait avant tout des grosses entreprises parmi ses 20.000 clients -il se targue notamment de compter 48 des entreprises du Fortune 50 à son portefeuille. Son logiciel historique devait être déployé "on premise" c'est-à-dire sur les serveurs du clients, ce qui excluait de fait les petites structures qui font appel au cloud public. Mais désormais, le logiciel s'adapte à tous les environnements (cloud privé, cloud public, usine...), ce qui lui ouvre plus que jamais le marché intermédiaire, et même celui des petites entreprises.
Les startups protégées dans le cadre de leur incubation à station F seront contactées par les commerciaux de F5 à leur sortie du campus, pour définir si elles veulent continuer ou non le service. L'entreprise américaine pourrait donc agrandir son carnet de clients avec des entreprises à fort potentiel. Ce fonctionnement est très classique dans d'autres services numériques, et notamment dans le cloud où tous les principaux acteurs fournissent des crédits d'hébergement gratuits pour la première année de la startup. L'idée est simple : les startups d'aujourd'hui sont les licornes de demain, alors mieux vaut les fidéliser au plus vite.