Prospection cybersécurité : vendre au téléphone sans faire peur

Pourquoi la peur ne vend plus

Pendant des années, la prospection en cybersécurité s’est appuyée sur le risque : les chiffres d’attaques, le coût moyen d’une rançon, la probabilité de fermeture après un incident. Ça a fonctionné, puis ça a saturé. Un dirigeant qui reçoit trois appels par mois sur le même registre développe une immunité.

Ce qui reste efficace, c’est la contrainte externe. Un client qui envoie un questionnaire de sécurité, un assureur qui pose des conditions, une obligation réglementaire qui descend la chaîne de sous-traitance : ce sont des faits datés, avec une échéance, et une échéance crée un budget.

NIS 2 : ce que ça change vraiment

La directive élargit considérablement le nombre d’entités concernées et, surtout, elle responsabilise les entités essentielles et importantes sur leur chaîne d’approvisionnement. C’est ce dernier point qui est commercialement décisif : une entreprise non directement concernée peut se retrouver à devoir prouver son niveau de sécurité parce que son client, lui, l’est.

Au téléphone, ça donne une question simple et non anxiogène : est-ce que vos clients ont commencé à vous envoyer des questionnaires de sécurité ? La réponse qualifie en dix secondes.

Un périmètre rarement couvert en entier

La plupart des PME et des ETI déjà équipées le sont sur une partie du périmètre. Le premier échange sert à établir laquelle, avec quel prestataire, et jusqu’à quand.

• Une protection des postes managée (antivirus ou EDR) ne dit rien de la surface exposée sur Internet.
• Un test d’intrusion annuel donne une photographie, pas une surveillance : entre deux tests, personne ne regarde.
• Une supervision ou un SOC détecte, mais ne remplace ni la sensibilisation des équipes ni la sauvegarde hors ligne.
• La conformité (ISO 27001, HDS, exigences d’un donneur d’ordre) est un chantier documentaire autant que technique, porté souvent par une autre personne que le responsable informatique.

À quoi ressemble une ouverture qui passe

Elle annonce l’appel à froid, elle porte sur une contrainte externe datée (un questionnaire client, une exigence d’assureur, une échéance réglementaire), et elle laisse au prospect une sortie si le sujet est déjà couvert. Une ouverture sur un incident ou sur un chiffre d’attaques produit l’effet inverse : le prospect l’a entendue la semaine précédente.

Le budget sécurité se construit le plus souvent avec le budget informatique annuel. Au printemps, l’exercice en cours est déjà arbitré : la date utile est celle où le suivant se prépare, et c’est elle que le premier appel cherche à obtenir.

Ce qui ne marche pas

• Ouvrir sur un incident récent chez un concurrent du prospect : ça se sent, et ça braque.
• Employer un vocabulaire technique pour impressionner. Un vrai responsable de sécurité le repère et le sanctionne.
• Promettre la conformité. Elle se construit avec le client sur plusieurs mois, et le prospect le sait.
• Appeler des structures de moins de vingt personnes sans obligation externe : le sujet existe, le budget arrive rarement.

Ce que la campagne produit

Des rendez-vous avec des interlocuteurs qui ont un sujet identifié et une raison de bouger. Et une cartographie de ce qui déclenche réellement les budgets dans votre cible : c’est cette information-là qui sert à la campagne suivante.