Secu
Joachim Coqblin (Ville de Villejuif) : « Ne laissez pas la cybersécurité au seul DSI »
Par Laurent Delattre, publié le 02 octobre 2026
Dans le cadre des UECC 2026, IT for Business a reçu Joachim Coqblin, DSI adjoint de la ville de Villejuif. Souveraineté, logiciel libre, NIS 2, dépendance aux éditeurs, résilience… L’entretien rappelle une réalité très concrète : dans une collectivité, la cybersécurité se joue autant dans les choix techniques que dans la capacité à garder la maîtrise et à maintenir le service public.
À Villejuif, le mot « souveraineté » n’est d’ailleurs pas celui que préfère Joachim Coqblin. « Nous ne parlons pas de souveraineté, mais d’autonomie stratégique. La question n’est pas tant la couleur du drapeau du produit. Le vrai enjeu, c’est la maîtrise : celle de notre système d’information et des services que nous rendons à la population et à nos collègues. »
Cette maîtrise suppose d’abord d’éviter les dépendances trop fortes. « À chaque projet, la question est la même : comment éviter de dépendre d’un éditeur, qu’il soit américain ou français ? Comment continuer demain si cet éditeur nous fait défaut ou change de braquet ? »
Villejuif a ainsi migré une partie de sa stack de sécurité, notamment EDR et NDR, vers des solutions françaises. Mais pas par patriotisme numérique. « Nous n’achetons pas un produit parce qu’il est français. S’il est mauvais, il est mauvais. » L’intérêt tient aussi à la proximité. Avec l’ancien EDR américain, un bug donnait lieu à un ticket en anglais et à une réponse standard : « ce sont des boîtes noires ». Alors qu’aujourd’hui : « Pour le même problème sur un EDR français, je décroche mon téléphone et, dès le lendemain, l’équipe R&D me rappelle : “Nous avons reproduit le cas d’usage en laboratoire, le bug est confirmé, il est corrigé, voici le patch.” C’est ça, la proximité. Et ça change tout. »
Même logique côté logiciel libre. « L’open source n’est pas la réponse absolue à la dépendance, mais il fait partie de la réponse. » La ville publie d’ailleurs les solutions qu’elle développe en interne.
C’est le cas d’un outil maison destiné à suivre sa mise en conformité au référentiel ReCyF de l’ANSSI. « On dit souvent qu’une collectivité, c’est 90 PME agglomérées. Elle gère des écoles, des crèches, des cimetières, des bibliothèques, des ludothèques, des équipements sportifs, l’état civil… Cela fait beaucoup de métiers, avec parfois des éditeurs en situation de monopole, des dettes techniques énormes et des moyens qui ne sont pas à la hauteur. »
D’où son agacement face au retard français sur NIS 2. « Pour tout vous dire, je suis assez scandalisé. Et même en colère. » Pour lui, la réglementation est un levier pour faire avancer les organisations les moins matures : « La transposition en droit français aurait permis de toucher des milliers d’organisations, en leur donnant une feuille de route de mise en conformité assortie d’échéances. »
Mais c’est surtout la chaîne fournisseurs qui l’intéresse. « Sur certains marchés, deux ou trois éditeurs trustent les applications. Autant dire qu’en matière de sécurité, ils ont des clients captifs. » NIS 2 doit permettre de durcir les contrats : « Désormais, si vous voulez travailler avec nous, mettez-vous en conformité, sinon nous irons voir ailleurs. Le problème, c’est qu’il n’y a pas toujours un ailleurs. »
D’où une autre piste : « Nous réfléchissons actuellement avec d’autres collectivités à construire des solutions open source, y compris pour concurrencer des éditeurs privés qui ne font pas le travail. »
Et surtout, ne pas croire qu’un firewall hors de prix réglera tout. « La technique seule ne peut pas répondre. » Dans beaucoup de collectivités, « la sécurité, en général, c’est l’admin du coin qui fait ça ». Or il faut aussi de la gouvernance, de la gestion du risque et de la conformité. « Une ville de 30 000 habitants n’a pas les moyens de se payer un RSSI. »
La conclusion ressemble presque à un manifeste. « Nous, on a un slogan, et c’est la DSI qui le porte : “Le numérique n’est pas automatique.” Pour chaque process, réfléchir : est-ce que là, vraiment, le numérique va apporter une plus-value ? Si oui, à quel prix ? »
Et si tout s’arrête ? « Le service public ne s’arrête jamais. » Un mariage peut être décalé. « Des enterrements, on ne peut pas : on ne décide pas de la date de sa mort. »
Voilà pourquoi son dernier message dépasse largement la DSI : « Ne laissez pas ça au DSI. Il faut que ce soit porté au niveau des directions générales, il faut que ce soit porté largement au niveau des Codirs, et il faut que le politique se saisisse de ces sujets-là. »
À LIRE AUSSI :
À LIRE AUSSI :
