Prospection cybersécurité : vendre au téléphone sans argument de la peur

Pourquoi l’argument de la peur ne fonctionne plus

Pendant des années, la prospection en cybersécurité s’est appuyée sur le risque : les chiffres d’attaques, le coût moyen d’une rançon, la probabilité de fermeture après un incident. Cette approche a fonctionné, puis elle s’est épuisée. Un dirigeant qui reçoit trois appels par mois sur le même registre n’y prête plus attention.

Si vous visez des organisations avec plusieurs décideurs, le guide pour prospecter les grands comptes décrit le repérage des fonctions et des prochaines étapes. Un besoin technique et une capacité de décision doivent être distingués.

La contrainte externe reste efficace. Un client qui envoie un questionnaire de sécurité, un assureur qui pose des conditions, une obligation réglementaire qui descend la chaîne de sous-traitance : ce sont des faits datés, avec une échéance, et une échéance crée un budget.

NIS 2 : ce que la directive change

La directive élargit considérablement le nombre d’entités concernées et, surtout, elle responsabilise les entités essentielles et importantes sur leur chaîne d’approvisionnement. C’est ce dernier point qui est commercialement décisif : une entreprise non directement concernée peut se retrouver à devoir prouver son niveau de sécurité parce que son client, lui, l’est.

Au téléphone, cela se traduit par une question simple et non anxiogène : vos clients ont-ils commencé à vous envoyer des questionnaires de sécurité ? La réponse qualifie le prospect immédiatement.

Un périmètre rarement couvert en entier

La plupart des PME et des ETI déjà équipées le sont sur une partie du périmètre. Le premier échange sert à établir laquelle, avec quel prestataire, et jusqu’à quand.

• Une protection des postes managée (antivirus ou EDR) ne dit rien de la surface exposée sur Internet.
• Un test d’intrusion annuel donne un état à une date donnée et non une surveillance continue : entre deux tests, aucune détection n’a lieu.
• Une supervision ou un SOC détecte, mais ne remplace ni la sensibilisation des équipes ni la sauvegarde hors ligne.
• La conformité (ISO 27001, HDS, exigences d’un donneur d’ordre) est un chantier documentaire autant que technique, porté souvent par une autre personne que le responsable informatique.

Les caractéristiques d’une ouverture acceptée

Elle annonce l’appel à froid, elle porte sur une contrainte externe datée (un questionnaire client, une exigence d’assureur, une échéance réglementaire), et elle laisse au prospect une sortie si le sujet est déjà couvert. Une ouverture sur un incident ou sur un chiffre d’attaques produit l’effet inverse : le prospect l’a entendue la semaine précédente.

Le budget sécurité se construit le plus souvent avec le budget informatique annuel. Au printemps, l’exercice en cours est déjà arbitré : la date utile est celle où le suivant se prépare, et c’est elle que le premier appel cherche à obtenir.

Ce qui ne fonctionne pas

• Ouvrir sur un incident récent chez un concurrent du prospect : le procédé est perçu comme tel et provoque un refus.
• Employer un vocabulaire technique pour impressionner : un responsable de la sécurité le repère et met fin à l’échange.
• Promettre la conformité : elle se construit avec le client sur plusieurs mois, et le prospect le sait.
• Appeler des structures de moins de vingt personnes sans obligation externe : le sujet existe, mais le budget est rarement disponible.

Ce que la campagne produit

Des rendez-vous avec des interlocuteurs qui ont un sujet identifié et une raison d’agir, ainsi qu’une cartographie de ce qui déclenche les budgets dans votre cible. Cette information sert à la campagne suivante.