La cybersécurité, priorité de l’État numérique
Par Dan Butnaru, Senior Advisor Digital Identity, Atos
Vasco Gomes, Global CTO Cybersecurity products, Atos
et Emeric Silvestre, Responsable Commercial Cybersecurité, Atos
Responsable de la sécurité des Français dans l’espace numérique autant que dans l’espace physique, l’État renforce sa politique en matière de cybersécurité afin de garantir la protection durable des données, des personnes et des biens.
Il ne se passe guère de jours sans que des cyberattaques ne fassent les gros titres de l’actualité. À juste raison, le public est frappé par leur sophistication, leur ampleur et les conséquences de plus en plus dramatiques qu’ont ces incidents dans le monde réel. Face à une menace qui touche directement les citoyens et qui peut mettre en péril des infrastructures et des services vitaux, la responsabilité de l’État est triple.
Une responsabilité à trois niveaux
En premier lieu, il doit sécuriser ses propres systèmes, ceux des administrations et des organismes de la sphère publique, qui sont à la fois indispensables au bon fonctionnement du pays et une cible de choix des cybercriminels. Garantir la confidentialité, l’authenticité et l’intégrité des données et des documents produits, stockés et échangés est désormais une obligation. Selon qu’ils sont considérés comme des OIV (opérateurs d’importance vitale) et des OSE (opérateurs de services essentiels), les acteurs publics doivent se conformer, respectivement, aux exigences de la loi de programmation militaire (LPM) ou à celles de la directive européenne Network Information Security (NIS), sous le contrôle de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Doté de 136 millions d’euros, le volet cybersécurité du plan de France Relance vise tout particulièrement à renforcer le niveau de sécurité des organisations publiques.
Le deuxième échelon de responsabilité de l’État en matière de cybersécurité concerne les citoyens eux-mêmes. À mesure que leurs rapports à l’administration se digitalisent, il faut s’assurer qu’ils puissent accéder aux services auxquels ils ont droit, que leurs données personnelles soient bien protégées et que la personne qui se connecte est toujours qui elle prétend.
La mise en place programmée d’une identité numérique, assisse sur la carte nationale d’identité électronique (CNIe), permettra de poursuivre la transformation numérique du secteur public en conciliant sécurité, personnalisation des services et qualité de l’expérience pour les usagers.
Enfin, le troisième niveau de responsabilité concerne l’espace informationnel tout entier. Une part grandissante de l’activité économique, de la vie sociale et de la richesse du pays se dématérialisant, l’État doit œuvrer pour faire de l’espace numérique un espace de liberté, de tranquillité et de confiance, favorable à l’épanouissement des individus et des entreprises. Pour cela, la réglementation et le contrôle de son application, la création et la diffusion d’outils, ainsi que la sensibilisation et l’éducation sont des instruments complémentaires.
Les solutions : identité, chiffrement, cloud, security by design
En matière de cybersécurité, l’État est donc confronté à des enjeux, des risques et des objets à protéger d’une extrême diversité, mais quatre éléments restent au cœur de toutes les démarches : les identités, le chiffrement, le cloud et la sécurité par conception. Dans des environnements ouverts et fluctuants, l’identité – des utilisateurs, des applications, des systèmes – est le seul invariant, le seul repère certain, qui conditionne les accès et l’attribution des droits. Via les systèmes de gestion des identités et des accès (IAM) et de certificats, l’identité est aujourd’hui la pierre angulaire de toute politique de sécurité. Le chiffrement, qui rend illisibles les données pour toute personne qui n’aurait pas les autorisations adéquates, en est le complément naturel.
L’usage croissant du cloud n’est pas en contradiction avec ces exigences. La doctrine de l’État concernant le cloud enjoint désormais les acteurs publics de recourir soit aux clouds privés très sécurisés des ministères de l’Intérieur (PI) et de la Direction générale des finances publiques (Nubo), soit à des solutions commerciales labellisées, l’un des critères étant une qualification SecNumCloud par l’ANSSI.
Enfin, étant donné l’évolution rapide du contexte technologique et sécuritaire, il n’est plus possible d’aborder les questions de sécurité en toute fin de projet comme c’en était souvent l’usage. Exigence du RGPD, la sécurité par conception (security by design) est moins coûteuse et offre une protection plus efficace et plus durable. En revanche, envisager la sécurité en parallèle des questions fonctionnelles et d’ergonomie, et faire en sorte qu’elle reste une préoccupation tout au long du projet, réclame une évolution des compétences, des méthodes et de la maturité de tous les intervenants. Tous doivent voir la sécurité non plus comme un frein ou une contrainte, mais comme une bonne pratique de leur métier, nécessaire et responsable.
La souveraineté, un enjeu réactualisé
En mettant en lumière la position hégémonique de quelques entreprises américaines, la pandémie de Covid-19 a contribué à replacer la souveraineté technologique au centre des enjeux de sécurité. Se définissant comme une autonomie de décision concernant les règles à appliquer et une autonomie d’action pour protéger les données, les systèmes et le patrimoine intellectuel les plus sensibles, la souveraineté exige de disposer d’un arsenal de solutions de cybersécurité locales, hermétiques à toutes pressions extérieures, et conformes à nos lois et à notre éthique. À cet égard, la commande publique constitue un levier important pour soutenir une discipline qui réclame beaucoup de R&D, donc des moyens. Présentée début 2021, la stratégie française sur la cybersécurité prévoit de mobiliser 1 milliard d’euros d’ici 2025 afin de structurer et renforcer l’écosystème cyber national.
De la sécurité à la confiance
Dans l’espace numérique comme dans le monde réel, la sécurité est aussi une affaire de perception. À l’heure où la technologie est parfois remise en cause et où l’opinion peut se montrer méfiante vis-à-vis de sa propre administration, il est primordial de communiquer de façon claire et transparente sur la sécurité des projets. Ce n’est qu’en démontrant sa rigueur sans faille sur ce sujet que l’État gagnera la confiance des citoyens et obtiendra leur indispensable adhésion à sa transformation numérique.
N°1 en Europe et N°2 mondial des services de sécurité managés, avec une équipe de plus de 6 000 spécialistes de la cybersécurité dans le monde et un réseau de centres d’opérations de sécurité (SOC), Atos se positionne comme le partenaire de confiance pour une cybersécurité de bout en bout.
Atos est Supporteur Officiel en services et opérations de Cybersécurité des Jeux Olympiques et Paralympiques de Paris 2024 et fournira des services numériques sécurisés pour les Jeux européens de 2023 et 2027.
Réservez ici votre atelier « Innovation in a box »,
un parcours personnalisé en 60 minutes !
- Choisissez un ou plusieurs sujets « brûlants » de votre activité
- Nous personnalisons ensemble l’agenda
- Nous réunissons pour vous : experts, démos, cas d’usage
- Atelier à distance ou sur place
- Exemples d’ateliers : Souveraineté, cybersécurité,
plateformes de données, décarbonation et écologie urbaine, …