Airbus, qui compte environ 150 000 employés dans le monde, a racheté le programme C Series (devenu l’A220) en 2016. Cette acquisition a créé un choc de paradigme entre la culture de gouvernance européenne, très structurée en matière de sécurité, et l’environnement canadien qui devait s’y adapter. Pascal a été la première personne à instaurer cette culture du rôle de RSSI au Canada, un poste alors mal compris dans l’organisation.

Pascal identifie quatre grands domaines sur lesquels repose la sûreté du programme A220 : la partie industrielle et la chaîne d’approvisionnement, le produit lui-même (soumis aux exigences réglementaires de l’aviation, comme celles de Transport Canada ou de l’OACI), la partie numérique (données et systèmes informatiques), et enfin les personnes et les espaces de travail (menaces liées aux acteurs malveillants). Le rôle du RSSI consiste à s’assurer que ces quatre piliers sont adéquatement maîtrisés, en s’appuyant notamment sur une cartographie des risques.

Un enjeu central évoqué est celui du vocabulaire : Airbus a développé un langage commun et une taxonomie propre, permettant d’uniformiser la communication à travers toutes ses divisions (avions, hélicoptères, espace, services), et de dialoguer efficacement avec les multiples régulateurs (français, canadiens, américains, européens) dans un environnement extrêmement encadré, renforcé par les nouvelles normes cyber européennes.

Le cœur de l’échange porte sur la méthode d’analyse de risque utilisée par Airbus : EBIOS RM, développée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en France. Cette approche, organisée en cinq ateliers, permet d’adapter le niveau de détail selon la maturité et les besoins du secteur d’affaires concerné.

Pascal souligne que cette démarche implique fortement le secteur d’affaires (le « business ») dès le départ, le RSSI agissant comme traducteur entre les exigences d’ingénierie, réglementaires et de sécurité.

La discussion aborde aussi la dimension unique de l’aéronautique : contrairement à d’autres industries, la sûreté d’un produit comme l’A220 continue d’exister bien après sa livraison, à travers la maintenance, les mises à jour et une relation contractuelle et réglementaire continue entre Airbus et les opérateurs aériens. Une analogie est faite avec le transport par autocar, où la sécurité ne se limite pas au véhicule mais concerne l’ensemble de l’écosystème (aéroports, restauration, maintenance, peinture, etc.), chaque maillon pouvant avoir des conséquences dramatiques.

Un thème récurrent est la gestion des risques liés aux fournisseurs, de plus en plus ciblés par les attaquants puisque les grandes entreprises comme Airbus sont mieux protégées. Chaque contrat de service inclut désormais des annexes de sécurité, avec des questionnaires de conformité et des audits réguliers. Pascal raconte que de nombreux fournisseurs, surtout les petites entités locales sans expérience préalable de ce type d’exigences, réagissent d’abord en pensant ne pas être concernés puisqu’ils ne sont pas directement connectés aux systèmes d’Airbus. Il doit alors jouer un rôle pédagogique pour expliquer que leur capacité de production, même non numérique, peut mettre en péril toute la chaîne. Il observe aussi que les fournisseurs européens, plus habitués à ce type de rigueur réglementaire, aident souvent leurs homologues nord-américains à s’y retrouver.

Les deux derniers piliers du rôle de RSSI — la gestion des vulnérabilités et la gestion des incidents — sont étroitement liés aux évaluations de risque. La détection d’une vulnérabilité déclenche un travail de priorisation et de remédiation, tandis qu’un incident est transmis aux équipes spécialisées (CERT, SOC) puis vient réalimenter le cycle d’analyse de risque. Enfin, Pascal évoque l’importance des tableaux de bord partagés avec les niveaux exécutifs, à condition que les indicateurs soient suffisamment matures et fiables — un chantier encore en construction pour un programme relativement jeune comme celui d’Airbus Canada.