Pur produit « maison » où il a débuté comme alternant il y a vingt-cinq ans, le directeur de la cybersécurité de VINCI Energies est un ultra-traileur amateur qui conjugue endurance et vigilance au service d’un groupe international exposé en permanence aux cybermenaces.

Le 28 août 2026, Bertrand Leclerc prendra le départ du très exigeant Ultra-Trail du Mont-Blanc. Au programme : 174 km de course et 9 900 m de dénivelé positif. Pour le directeur de la cybersécurité de VINCI Energies, cette passion pour l’ultra-trail, qui l’a notamment conduit à La Réunion en octobre 2024 pour participer à la Diagonale des Fous réputée pour ses conditions extrêmes, est aussi l’occasion de se mobiliser pour l’association Mécénat Chirurgie Cardiaque, soutenue par VINCI Energies. « A travers ce partenariat, je peux allier un engagement solidaire et une passion qui me permet de déconnecter d’un travail qui peut être parfois anxiogène », explique-t-il.

Une attaque par seconde

On mesure en effet la pression inhérente à la responsabilité de la cybersécurité d’un groupe comme VINCI Energies lorsqu’on sait que celui-ci subit en moyenne une attaque informatique par seconde et que ses équipes doivent gérer quelque 55 000 événements (activités informatiques au sein du Groupe) sur ce même laps de temps.

Bertrand Leclerc peut certes s’appuyer sur une équipe aguerrie, qu’il a lui-même constituée depuis la création, en 2018, de l’activité cybersécurité de VINCI Energies. « Nous étions quatre au départ, nous sommes aujourd’hui cinquante, répartis sur deux sites, au Mans et à Saint-Denis, précise-t-il. Nous sommes partis d’une feuille blanche pour bâtir une stratégie ‘Follow the Sun’, qui nous permet d’être opérationnels 24 h/24 et 7 j/7, avec des relais au Canada et en Australie, et de couvrir les quelque 2 200 entreprises du Groupe présentes dans 60 pays. »

Ces 50 collaborateurs sont répartis en quatre équipes. La première, et la plus importante en effectifs, est chargée de la détection et de la réponse aux cybermenaces de jour comme de nuit. La deuxième se consacre à la mise en place des bonnes pratiques en matière de cybersécurité. La troisième s’assure de la conformité du Groupe avec les réglementations et normes telles que ISO 27001. Enfin, la dernière équipe a pour mission de diffuser la « cyberculture » au sein de VINCI Energies (notamment via des tests de phishing et des exercices de crise), mais aussi l’animation du réseau des 60 PISO (Pole Information Security Officers), répartis à travers le monde, qui font office de référents cybersécurité au niveau local.

Automatisation des process

Les dossiers à traiter ne manquent pas. Au-delà de la gouvernance et de la montée en compétence des PISO, qu’il qualifie de « priorité constante », Bertrand Leclerc pilote actuellement deux projets majeurs. « Nous travaillons à l’automatisation des processus de cybersécurité. Compte tenu du volume d’événements à gérer, l’intervention humaine seule ne peut suffire. Nous utilisons donc l’IA pour repérer d’éventuels incidents. »

Exemple d’opération suspecte : un utilisateur se connecte à sa messagerie à 8h00 en France, puis une nouvelle connexion sur ce même compte est détectée à 8h01 depuis les Etats-Unis. L’IA, sous supervision humaine, peut alors déclencher une procédure automatisée pour bloquer le compte et alerter l’utilisateur.

« Etre opérationnels 24 h/24 et 7 j/7 et couvrir les quelque 2000 entreprises du Groupe présentes dans 61 pays. »

« Mais lorsqu’on utilise l’IA, il faut aussi se demander comment la protéger, souligne Bertrand Leclerc. C’est un autre chantier sur lequel nous travaillons, en développant une démarche ‘Security by Design’. Celle-ci vise à garantir que l’IA s’appuie sur des données fiables, autrement dit certifiées par l’entreprise, et qu’elle ne présente pas de vulnérabilités. »

Autre priorité pour la direction Cybersécurité de VINCI Energies : la mise en conformité avec les différentes réglementations à travers le monde et en particulier en Europe, avec l’AI Act et la directive NIS 2*.

Réduire l’impact environnemental

Quant à l’impact environnemental de son activité, Bertrand Leclerc ne le sous-estime pas. « Sur le plan écologique, la cybersécurité n’est évidemment pas neutre, au regard de la masse de données qu’elle traite. Mais depuis quatre ans, notre équipe Sustainable IT passe l’ensemble de nos projets au crible afin d’en réduire l’empreinte. »

Ainsi, les ordinateurs et téléphones, autrefois remplacés tous les trois ans, ne font désormais plus l’objet d’une durée de vie prédéfinie, tant qu’ils peuvent être maintenus à jour. « Par ailleurs, en privilégiant des infrastructures résilientes, nous limitons l’achat de nouveaux équipements et, par conséquent, notre empreinte carbone. »

« Pur produit VINCI Energies »

Depuis sa nomination, en janvier 2025, à la tête de la direction Cybersécurité, Bertrand Leclerc peut mesurer le chemin parcouru, tant sur le plan des processus déployés au sein de l’entreprise qu’à titre personnel. Entré dans le Groupe en 2001 en tant qu’alternant, Bertrand Leclerc, qui se décrit lui-même comme « un pur produit VINCI Energies », a gravi tous les échelons : de technicien support à responsable de l’équipe architecture ERP et sécurité des systèmes d’information. Aujourd’hui, en tant que directeur de la cybersécurité, son champ d’intervention s’est élargi à la stratégie, aux ressources humaines, à l’environnement ou encore à la gestion budgétaire.

A 43 ans, il estime avoir encore beaucoup à apprendre dans un métier qui le passionne et où l’aspect relationnel et psychologique est aussi déterminant que l’expertise technique. « Dans ce secteur, on est en perpétuel mouvement. Il faut assurer une veille constante sur des sujets de pointe comme l’IA. Au-delà de la solidarité et des échanges réguliers entre les dix directeurs de VINCI Energies Systèmes d’Information, notre collaboration étroite avec Axians, la marque ICT de VINCI Energies, constitue un véritable atout, notamment en matière d’outils de détection des cyberattaques. Enfin, nous avons la chance de travailler sur des sujets transverses qui concernent l’ensemble des directions de l’entreprise, au sein d’un groupe international aux multiples activités, qui a fait de la cybersécurité l’une de ses priorités. »

Pour Bertrand Leclerc, la cybersécurité ressemble à un ultra-trail permanent : un terrain imprévisible, des attaques comme autant de cols à franchir et une vigilance qui ne faiblit jamais. Dans cette course de fond où l’abandon n’est pas une option, seules comptent l’endurance, la lucidité dans l’effort et la capacité à s’adapter. Jusqu’à la ligne d’arrivée.

*L’AI Act est un règlement européen qui introduit un cadre réglementaire et juridique commun pour l’intelligence artificielle au sein de l’Union européenne. La directive « Network and Information Security 2.0 » (NIS 2) constitue un réexamen et une extension des obligations de la précédente directive en matière de cybersécurité.

20/05/2026