Cyberattaque de la DGFiP : à la recherche des responsabilités
La Direction générale des finances publiques (DGFiP) fait face à une crise qui va au-delà des simples enjeux techniques. Les récentes cyberattaques ont mis en lumière des problèmes structurels, tels qu’une dette accumulée, des niveaux de sécurité disparates entre administrations et des moyens jugés insuffisants. Un sujet délicat émerge : celui des responsabilités individuelles. Selon des sources à Bercy, Amélie Verdier, directrice générale de la DGFiP, aurait proposé sa démission, proposition qui a été refusée jusqu’à présent. Cependant, avant de désigner un coupable, il est crucial de déterminer qui a accepté le risque.
Les faiblesses structurelles révélées par ces attaques sont désormais bien documentées. Bien que des règles de cybersécurité soient en place, les ressources, les architectures et les niveaux de maturité restent inégaux. Cela soulève la question de la responsabilité à l’avenir, alors que des enquêtes internes sont en cours pour identifier d’éventuelles erreurs ou négligences.
L’audit devra également examiner les événements survenus après l’incident FICOBA, où un accès frauduleux au fichier national des comptes bancaires a été signalé, compromettant environ 1,2 million de comptes. Cet incident a démontré que des identifiants légitimes pouvaient être détournés pour mener des attaques.
Il est essentiel de comprendre qui a accepté le risque lié à l’accès aux systèmes d’information. Le décret du 8 avril 2022 stipule que les infrastructures et services logiciels de l’État doivent faire l’objet d’une homologation de sécurité, impliquant une identification et une acceptation formelle des risques résiduels.
La recherche d’un responsable est nécessaire, mais il est tout aussi important d’éviter la chasse aux lampistes. Les audits doivent aller au-delà des erreurs individuelles pour examiner les décisions stratégiques et les arbitrages budgétaires qui ont pu influencer la sécurité des systèmes.
En somme, la DGFiP doit faire face à des choix d’architecture et de sécurité qui nécessitent une réflexion approfondie sur la gestion des risques. Les dossiers d’homologation devront être scrutés pour comprendre qui a pris les décisions critiques.
Source : Informatiquenews
