Fuite DGFIP : le malentendu français qui fragilise notre cybersécurité
La fuite massive de données subie par la DGFIP cet été met en exergue une exception française : nous avons un vrai problème avec la notion de responsabilité.
La langue française est généralement précise. Il est pourtant un mot qu’elle emploie avec une étonnante imprécision : « responsabilité ». Ce terme confond trois notions distinctes :
Responsabilité technique (« faire ») : il s’agit de l’exécution opérationnelle de certaines actions, qui peut être partagée et déléguée. Les conséquences peuvent inclure un recadrage par la hiérarchie ou une mauvaise notation en matière de performance.
Accountability (« arbitrer et décider ») : ce concept, traduit par la notion de redevabilité, implique que l’acteur détient le pouvoir décisionnel d’autoriser ou d’interrompre une action, ce qui l’oblige à justifier a posteriori ses choix. Cette responsabilité ne souffre d’aucun partage et repose sur une tête unique.
Liability (« répondre juridiquement ») : cela concerne la responsabilité juridique et assurantielle, désignant l’obligation légale de répondre des conséquences d’un fait dommageable, avec des sanctions potentielles.
Ce malentendu se manifeste notamment par la difficulté à remplir les tableaux RACI (Responsible, Accountable, Consulted, Informed).
Selon le sociologue Philippe d’Iribarne, cette exception française peut être expliquée par un héritage culturel. Le modèle anglo-saxon repose sur une logique transactionnelle explicite, où les responsabilités et les critères d’évaluation sont convenus contractuellement. En revanche, la culture organisationnelle française est influencée par l’Ancien Régime, où l’autorité s’ordonne autour des prérogatives de chaque rang. Cela entraîne une réticence à la vérification systématique, perçue comme une forme de défiance.
En cas d’incident, la recherche de la faute individuelle alimente une rétention des alertes au sein des équipes techniques, ralentissant la réaction face à l’assaillant. À l’inverse, l’approche anglo-saxonne encourage un espace d’apprentissage, tout en maintenant une exigence d’imputabilité pour les directeurs exécutifs.
Cette culture de la culpabilité a des conséquences directes. Les exigences de conformité sont souvent traitées de manière formelle, avec des entreprises qui se contentent de cocher des cases pour s’exonérer de toute responsabilité. À l’ère de l’intelligence artificielle, cela peut même être automatisé, ce qui pose des risques supplémentaires.
Pour améliorer cette situation, les organisations doivent adopter une approche dynamique, fondée sur une démonstration continue de la maîtrise des risques. Cela implique des exercices réguliers, des tests d’intrusion et des programmes de bug bounty, comme proposé par le ministre de l’Action et des Comptes publics suite à la fuite de données de la DGFIP.
La cybersécurité doit être considérée comme une composante majeure de la gouvernance des risques d’entreprise. La stratégie de cybersécurité et l’appétence au risque doivent être arrêtées et surveillées au plus haut niveau de la gouvernance.
Dans le cas de la DGFIP, la mise en ligne d’un système sans authentification à facteurs multiples (MFA) représente un arbitrage stratégique. Les dirigeants doivent assumer la responsabilité de la dette technique, qui a conduit à cette exposition.
Il est essentiel de reconstruire la chaîne de décision pour identifier les responsabilités à chaque niveau et ainsi améliorer la résilience des systèmes.
Source : Journal du Net
