Cybersécurité : le Maroc est-il appelé à muscler davantage son système ?
Ecrit par Soubha Es-Siari I
La cybersécurité fait partie intégrante des stratégies de digitalisation au Maroc. Beaucoup d’efforts ont été déployés pour le renforcement de la sécurité et de la résilience des systèmes d’information au niveau national. Toutefois, des vulnérabilités pourraient être éradiquées.
Dans un récent communiqué, la Caisse Nationale de Sécurité Sociale a indiqué que son système informatique a fait l’objet d’une série d’attaques cybernétiques visant à contourner les dispositifs de sécurité, relevant que ces attaques ont causé une fuite de données dont les origines et les contours sont en cours d’évaluation. Au passage, la Caisse rappelle que la protection des données personnelles et la confidentialité des informations de ses usagers constituent une priorité absolue. Elle a fait savoir par ailleurs qu’une enquête administrative interne est en cours alors que les autorités judiciaires compétentes ont été saisies par la Caisse.
En sus de la CNSS, le site du ministère de l’emploi a également fait objet d’une attaque. Ces incidents les plus récents et d’autres non médiatisés rappellent à juste titre que la digitalisation en dépit de ses vertus ô combien nombreuses n’est pas exempte de risques.
A rappeler qu’au cours des dernières années, le Maroc a fait du numérique et de la digitalisation, un levier de développement.
Notre pays a fait le choix, sous la conduite éclairée de Sa Majesté Le Roi, d’accorder une place de plus en plus large aux nouvelles technologies de l’information et des communications, eu égard à leur rôle crucial en matière de développement économique et social. La dynamique enregistrée pour l’accélération de la transition numérique nationale s’est vue appuyée par le nouveau modèle de développement qui a consacré le digital comme levier transverse à même d’assurer un développement responsable et inclusif.
Pratiquement toutes les entités publiques sont actuellement digitalisées. Toutefois comme rappelé ci-dessus, si le numérique, offre un immense potentiel contribuant ainsi de manière forte à la modernisation des structures publiques, il n’en demeure pas moins qu’il est aussi porteur de risques et de menaces. Une digitalisation accélérée associée à la généralisation du recours aux moyens informatiques offre un terrain propice à la délinquance informatique et aux activités malveillantes.
Pour répondre à cet enjeu, la cybersécurité fait partie intégrante des stratégies de digitalisation au Maroc. Beaucoup d’efforts ont été déployés pour le renforcement de la sécurité et de la résilience des systèmes d’information au niveau national. La cybersécurité constitue en effet un pilier incontournable pour le développement de la confiance numérique et l’essor des services digitaux.
Dans le cadre de cette vision, une dynamique soutenue a été engagée, depuis la création de la Direction Générale de la Sécurité des Systèmes d’Information (DGSSI), pour la mise en place d’un cadre juridique complet qui tiendrait compte des défis auxquels notre pays est confronté dans le domaine de la cybersécurité.
En 2014, la Directive Nationale de la Sécurité des Systèmes d’Information (DNSSI) a été publiée par la circulaire N° 3/2014 du Chef du Gouvernement. La DNSSI vise comme objectifs d’élever et d’homogénéiser le niveau de protection et de maturité de la sécurité de l’ensemble des systèmes d’information des administrations et organismes publics, ainsi que des infrastructures d’importance vitale.
En 2020, l’arsenal juridique national a été enrichi par la promulgation de la loi n° 05-20 relative à la cybersécurité. Cette loi prévoit un ensemble de mesures de sécurité de nature organisationnelle et technique qui sont destinées à accroître les capacités nationales dans le domaine de la cybersécurité, à accompagner la transition numérique du Royaume et à coordonner l’action de prévention et de protection contre les attaques et incidents de cybersécurité. Le décret n° 2-21-406 pris pour l’application de la loi n° 05-20 a vu ensuite le jour en 2021.
Dans la continuité de ces efforts, et pour tenir compte de l’évolution constante de l’environnement des technologies de l’information et des menaces et risques qui lui sont associés, la DGSSI a procédé à la mise à jour de la Directive Nationale de la Sécurité des Systèmes d’Information. La nouvelle Directive tient compte des enseignements tirés des actions de contrôle, d’audit, de gestion et de traitement d’incidents menées notamment par la DGSSI au sein des différents organismes. Elle prend en considération également les changements apportés au cadre juridique et normatif et aux bonnes pratiques applicables dans le domaine de la sécurité des systèmes d’information.
Au-delà de la directive
Conformément à la loi n° 05-20 sur la cybersécurité, le champ d’application de la nouvelle version de la Directive couvre les administrations de l’Etat, les établissements et entreprises publics, les personnes morales de droit public, les collectivités territoriales, ainsi que toutes les infrastructures d’importance vitale (IIV) qu’elles soient publiques ou privées.
Après ce bref aperçu, la question qui se pose d’emblée : est-ce que cette instruction est appliquée ou pas par l’ensemble des établissements publics ? Et si des sanctions sont-elles prévues par la DGSSI en cas de non-respect ?
Dans le même sillage, la Direction Générale de la Sécurité des Systèmes d’Information est-elle l’autorité chargée de veiller au respect et à l’application de cette directive ainsi que des modalités de sa mise en œuvre par les entités concernées. Sachant que pour y parvenir, un audit du système d’information est primordial pour identifier les faiblesses et les réparer éventuellement.
Il ne faut surtout pas occulter que la cybersécurité se développe en continu et il est donc capital que ces systèmes fassent l’objet d’un audit régulier. Pour ce faire, les entités publiques ou privées doivent s’outiller de moyens logiciels matériels et humains.
Sur un autre registre, il s’avère judicieux d’instaurer un système de subvention permettant à ces établissements de se prémunir en continu contre d’éventuelles attaques parce que le coût de la prévention est souvent moins couteux que celui de la réparation.
Un cahier de charge bien défini régissant les problèmes de sécurité et imposé par l’Autorité en charge d’audit et de contrôle serait également souhaitable pour pallier à ce genre d’incidents.
Lire également : Cyberattaques contre des institutions nationales : la réaction du gouvernement
