Piratages de l’État : les mes du gouvernement suffisent-elles ?
L’été a été particulièrement difficile pour le gouvernement français, confronté à une série de piratages informatiques sans précédent. Le 14 août, la Direction générale des finances publiques (DGFiP) a annoncé avoir subi un accès illégitime à son système d’information. Quelques jours plus tard, le ministère de l’Éducation nationale a confirmé le vol de plusieurs millions de données concernant des enseignants et des élèves, dans un double piratage revendiqué par un groupe de hackers français nommé ZeroBytes.
Cette situation représente un véritable camouflet pour l’exécutif, d’autant plus que ces violations de données avaient été précédées, plus tôt dans l’année, par des piratages touchant le ministère de la Culture, l’ANTS (Agence nationale des titres sécurisés) et France Travail. Face à cette crise, le Premier ministre a pris la parole.
Le 15 août, Sébastien Lecornu a annoncé une série de mes de sécurité, dont la plupart avaient déjà été présentées le 30 avril. Parmi celles-ci, on note le déblocage de 200 millions d’euros pour renforcer la sécurité des systèmes d’information de l’État et la création d’Ariane, l’Autorité référente pour l’intelligence artificielle et le numérique de l’État, rattachée à Matignon. De plus, chaque ministère sera tenu, à partir de 2027, de consacrer 5 % de son budget numérique à la cybersécurité.
Un plan d’urgence a également été mis en place, comprenant 40 actions prioritaires, telles que la généralisation de l’authentification multifacteur, des exercices d’« auto-attaque » obligatoires, et l’utilisation de l’intelligence artificielle pour améliorer la détection des vulnérabilités. Parmi les nouvelles initiatives, la création d’une force d’intervention rapide au sein de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a été annoncée pour intervenir en cas de menace sérieuse sur les systèmes de l’État.
Des fragilités identifiées de longue date
Jean-Michel Mis, dirigeant du cabinet de conseil ViaPublica, souligne que cette réaction gouvernementale témoigne d’une prise de conscience au plus haut niveau. Cependant, il met en avant un certain retard dans la réactivité de l’État face à ces enjeux. Le rapport d’avril 2019 de la Cour des comptes avait déjà mis en lumière les défis actuels : des responsabilités diffuses, un organigramme peu clair, une coordination insuffisante, ainsi que des ressources financières et humaines limitées.
Pour évaluer l’efficacité des mes prises, il faudra attendre le Conseil de défense et de sécurité nationale prévu mi-septembre, qui devrait aboutir à des décisions concrètes et orienter les choix budgétaires futurs. Julien Grimault, expert en cybersécurité, précise que les mes devront être jugées sur leur caractère opérationnel et leur capacité à améliorer la sécurité des services publics numériques.
Un audit général pour redémarrer sur le bon pied
Les experts s’accordent à dire que les annonces gouvernementales vont dans le bon sens, bien qu’ils appellent à des actions plus audacieuses. Des exemples récents montrent que lorsque l’État investit dans la cybersécurité, les résultats sont au rendez-vous, comme en témoigne la réussite des JO de Paris.
Benoit Grunemwald, expert en cybersécurité chez ESET France, évoque le programme CaRE (Cybersécurité, Accélération et Résilience des Établissements), dédié à la protection des hôpitaux contre les attaques de rançongiciels, doté d’une enveloppe de 750 millions d’euros, qui a prouvé son efficacité.
Cependant, certaines mes apparaissent décalées par rapport aux besoins actuels. Julien Grimault souligne qu’il est préoccupant qu’en 2026 l’authentification multifacteur soit encore un sujet de discussion, alors qu’elle est largement adoptée dans le secteur privé.
Une dette technique de plusieurs décennies
Hélène Brisset, ancienne dirigeante au sein de l’ANSSI, observe que les usagers attendent des services publics modernes et accessibles, mais que les budgets et effectifs n’ont pas suivi cette montée en puissance. Dans un contexte budgétaire tendu, les administrations doivent jongler entre la création de nouveaux services et le maintien de systèmes d’information souvent obsolètes.
Avec l’essor de l’intelligence artificielle, le rythme des cyberattaques s’accélère. Julien Grimault rappelle que l’IA peut contribuer à la détection des comportements anormaux, mais ne représente pas une solution unique. En assurant un cloisonnement efficace des accès et des environnements, l’État peut réduire l’impact d’un incident.
Un empilement d’entités cyber et un organigramme flou
La création de nouvelles entités pour répondre à ces crises interroge. Benoit Grunemwald met en garde contre le risque d’une multiplication des structures sans réelle efficacité. L’État dispose déjà de nombreux acteurs dédiés à la cybersécurité, tels que l’ANSSI, le Commandement de la cyberdéfense, et d’autres entités, mais il est essentiel d’éviter d’ajouter des couches sans renforcer les capacités d’action.
Jean-Michel Mis appelle également à une clarification des missions des autorités compétentes pour leur donner un pouvoir d’action réel. La question de la responsabilité est cruciale : pourquoi les dysfonctionnements récurrents dans la cybersécurité des sites de l’État ne conduisent-ils jamais à des sanctions ?
Un recours accru au privé ?
Les récents piratages fragilisent le lien de confiance entre l’État et les citoyens. Julien Grimault souligne que la protection des données publiques est un enjeu démocratique. Si l’État échoue dans sa mission de protection, il pourrait être nécessaire de faire appel à des spécialistes du secteur privé.
Jean-Nicolas Piotrowski, PDG d’ITrust, note que l’État coordonne et enquête, mais ne remédie pas. Les prestataires privés sont souvent ceux qui interviennent pour restaurer les systèmes. Il prône une industrialisation du recours au privé pour renforcer la réponse aux incidents.
En l’absence d’un soutien accru du secteur privé, l’État devra améliorer son attractivité pour attirer des talents en cybersécurité, tout en évitant de complexifier les circuits décisionnels, ce qui pourrait démotiver les acteurs sur le terrain.
L’Estonie, un modèle à suivre
En conclusion, les experts estiment que les annonces gouvernementales montrent une prise de conscience, mais ne constituent pas un changement de doctrine. Benoît Grunemwald suggère que la France pourrait s’inspirer de l’Estonie, qui a développé une approche basée sur la résilience, assurant la continuité des services publics même en cas d’échec.
Source : INCYBER NEWS.
