Comment maintenir la sécurité logicielle à un haut niveau au sein d’un groupe qui compte plus de 180 organisations ? Grâce au Visma Security Program, Visma garde une vue d’ensemble.
Ces dernières années, Visma s’est développé par le biais d’acquisitions pour devenir un groupe comptant désormais plus de 180 entreprises logicielles dans toute l’Europe, chacune ayant ses propres clients, technologies et habitudes. La maison mère norvégienne permet à chaque entreprise de conserver sa propre identité. Pourtant, chaque produit doit répondre aux mêmes exigences minimales en matière de sécurité.
Le Visma Security Program définit des normes de sécurité uniformes auxquelles les logiciels du groupe doivent satisfaire. À l’aide d’un parcours ludifié, les entreprises de Visma gardent le contrôle. En tant que CISO pour toutes les activités du Public Segment, Cindy Wubben doit contribuer à surveiller la situation. Elle donne un aperçu de la manière unique dont Visma aborde la sécurité.
Un CISO pour cinquante entreprises
Le rôle de Wubben diffère considérablement de celui d’un CISO classique. « J’ai environ cinquante entreprises sous ma responsabilité. Chaque entreprise sous l’égide de Visma reste autonome et responsable de sa propre sécurité. Elles conservent leurs produits et leur stratégie, mais les normes de sécurité de Visma doivent être respectées ».
Wubben constitue le trait d’union entre le groupe Visma et les entreprises individuelles. « Nous examinons avec les entreprises ce qui est nécessaire pour atteindre un niveau de sécurité supérieur. Si nécessaire, les problèmes peuvent être résolus au niveau du groupe si nous constatons que de nombreuses entreprises sont confrontées aux mêmes difficultés », résume-t-elle.
Des normes élevées
Le groupe Visma continue de s’étendre chaque année. À la mi-2026, le compteur affichera plus de 180 entreprises en Europe. Afin d’apporter une structure à cette réalité fragmentée, Visma a mis en place le Security Program. « Nous gérons de nombreux produits avec différents niveaux de risque. Certains produits traitent plus de données personnelles et sensibles que d’autres. Mais le programme définit des exigences minimales auxquelles chaque produit doit répondre », explique Wubben.
Le Visma Security Program incite en premier lieu les entreprises elles-mêmes à agir. Concrètement, chaque entreprise Visma remplit notamment une auto-évaluation approfondie concernant la sécurité et la conformité. « Si un élément ne répond pas à nos normes, un ticket est automatiquement créé et doit être résolu », poursuit-elle.
Une mère attentionnée
Telle une mère attentionnée, Visma soutient ses filiales par des conseils et des actions concrètes. Wubben : « Nous proposons un ensemble d’outils de sécurité pour, entre autres, le scan de code, la sécurité des bibliothèques logicielles et les tests d’intrusion. Comme tout est proposé par le groupe, les entreprises n’ont pas à réaliser ces investissements elles-mêmes. Elles peuvent conserver leur propre environnement, mais les outils de contrôle de sécurité et de surveillance sont obligatoires pour garantir la visibilité. »
Le soutien va au-delà de l’outillage, explique Wubben. « Derrière chaque outil de sécurité se trouve une équipe d’experts qui peut aider à la mise en œuvre. De plus, il existe une équipe SOC interne qui analyse et apporte son soutien 24h/24 et 7j/7 en cas d’incidents de sécurité. Ce sont des choses qu’une petite entreprise ne peut pas faire seule, car c’est trop complexe et trop coûteux. Nous mettons en place des campagnes et des formations autour des vulnérabilités les plus courantes. »
Faire partie d’un grand groupe peut être un atout pour la sécurité. « Visma permet surtout à ses entreprises d’apprendre les unes des autres. Nous créons ainsi un groupe d’experts sécurisé. Et elles peuvent aussi toujours s’adresser aux CISO. »
Bronze, argent, or et platine
La sécurité ne doit pas forcément être ennuyeuse. Le Visma Security Program y ajoute un élément compétitif où les entreprises peuvent gagner des « points » en implémentant des outils ou en résolvant des problèmes. Comme aux fléchettes, l’objectif est de réduire son nombre de points le plus rapidement possible. Cette approche permet également d’intégrer rapidement les nouvelles entreprises.
« Chaque entreprise commence avec un solde de points. Chaque fois que vous implémentez quelque chose, des points sont déduits ; en cas de problèmes, des points sont ajoutés. Nous accordons autant d’importance à la mise en œuvre qu’à la surveillance », explique Wubben. Finalement, quatre niveaux peuvent être atteints : bronze, argent, or et platine.
L’IA change les règles
Visma n’est pas seulement stricte mais juste envers ses filiales ; elle examine également en permanence sa propre approche. « Le programme est continuellement adapté aux nouvelles évolutions », affirme Wubben. Comme toute entreprise technologique, Visma observe l’impact que l’IA aura sur la sécurité. « Il y a l’IA pour le travail quotidien, dans le développement de produits et dans les produits destinés aux clients. Ce sont trois dimensions qui nécessitent une approche totalement différente. »
Selon Wubben, il s’agit pour l’instant surtout de suivre la cadence. « Lorsque l’IA a percé à grande échelle, le volet sécurité n’était pas encore suffisamment pensé. Les petites entreprises n’ont souvent qu’un seul expert à bord qui a également d’autres tâches. Nous avons des experts au sein du groupe qui effectuent des recherches et élaborent des “playbooks” que les entreprises peuvent adopter elles-mêmes. Pas seulement pour la technologie de l’IA, mais aussi pour la législation telle que NIS2 et l’IA Act ».
Il y a l’IA pour le travail quotidien, dans le développement de produits et dans les produits destinés aux clients. Ce sont trois dimensions qui nécessitent une approche totalement différente.
Cindy Wubben, CISO Public Segment Visma
La chaîne sous pression
L’implémentation rapide de l’IA sur le lieu de travail augmente la pression. « En tant qu’entreprise, vous devez sauter le pas pour travailler plus efficacement, mais de manière sécurisée et conforme à la législation, afin d’éviter les fuites de données. Les directives doivent être définies alors que le train est déjà en marche », constate Wubben.
Cette même technologie augmente également la pression sur la sécurité logicielle. « Les vulnérabilités doivent être résolues plus rapidement, grâce et avec l’IA, car elles deviennent plus vite accessibles aux groupes d’attaquants. Toute la chaîne devra s’accélérer, de la surveillance au déploiement. Les processus manuels risquent de devenir des goulots d’étranglement si on ne les limite pas au strict minimum ».
Le Visma Security Program montre comment un groupe de près de deux cents entreprises logicielles peut piloter la sécurité sans supprimer l’autonomie de ces entreprises. Chaque entreprise porte la même responsabilité pour mettre sa sécurité en ordre, mais Visma, telle une mère attentionnée, aide à porter le fardeau. Avec l’IA et les nouvelles législations en jeu, la sécurité reste un aspect sur lequel Visma ne peut pas se relâcher.