La crise de la Covid-19 frappe durement nos sociétés. Le bilan sanitaire, le confinement ou encore la dépression économique qui s’annonce sont à l’évidence au premier rang des préoccupations. Pourtant, la cybercriminalité a profité de la crise pour augmenter encore son activité. Il y a probablement des attaques menées au niveau national mais force est de constater que les criminels ont visé les plus faibles et les moins protégés.
Si les particuliers et les PME sont évidemment concernés, il convient de regarder les collectivités publiques décentralisées, aussi bien les collectivités territoriales que les établissements hospitaliers : tous ont subi de nombreuses agressions cyber, révélant un phénomène d’ampleur, celui de l’oubli du cyber par ces collectivités de premier niveau. Cette note vise à faire le point de la question.
Les collectivités territoriales ne sont pas épargnées par la cybercriminalité
Une brève histoire des cyberagressions des collectivités territoriales
Les collectivités territoriales (CT) ont subi une première vague d’agressions cyber en 2015, à la suite des attentats terroristes
Les choses ont poursuivi leur cours et malgré les initiatives des autorités (l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a notamment lancé un certain nombre d’actions sur le sujet, la CNIL s’y intéresse aussi) ou des médias et spécialistes (Cybercercle, Acteurs Public, FIC, SD magazine, association Déclic), la cybercriminalité s’est développée notamment contre les collectivités territoriales. On a ainsi assisté, dès 2018 mais plus visiblement au cours de l’année 2019, au développement d’attaques par rançonnage (ransomware), d’abord contre des villes américaines. Baltimore, Atlanta, Las Vegas ou la Nouvelle-Orléans sont les plus connues, mais « au moins 170 systèmes (informatiques) de comté, de ville ou d’Etat ont subi une attaque de ransomware depuis 2013 et 22 de ces attaques ont eu lieu en 2019 seulement »
La France a connu un mouvement similaire. La ville de Vannes fut une des premières victimes, dès février 2016
L’année 2020 a confirmé cette tendance : en janvier, la mairie d’Aimargues dans le Gard est touchée
Le service public hospitalier est lui-même fortement ciblé
On pourrait poursuivre l’énumération : elle est cependant déjà assez frappante pour constater que les collectivités territoriales, quels que soient leur taille ou leur statut, sont devenues des victimes courantes de cyberagressions. Ces dernières revêtent plusieurs types.
Typologie des agressions
On classe en général les cyberagressions en quatre catégories, selon la règle des « 4 S » : espionnage, sabotage, subversion et escroquerie.
Espionnage
L’espionnage est la plus courante et la moins décelée des cyberagressions. Les affaires en la matière concernent principalement les États ou les grandes entreprises. Il s’agit le plus souvent de vol de brevets ou de renseignements de recherche ou développement. Mais d’autres informations sont également recherchées : contacts avec les clients, positions de négociation, éléments financiers.
Cela concerne évidemment les collectivités territoriales : certes, elles sont soumises à des obligations de données ouvertes (loi NOTRe) et l’on pourrait considérer que la question ne se pose pas. Cependant, elles passent des marchés publics ou détiennent des informations personnelles, économiques ou fiscales, soit de leurs collaborateurs, soit de leurs administrés ; sans même parler de la question de la protection des données personnelles, devenue une obligation depuis l’adoption du Règlement général de protection des données (RGPD), car elles détiennent des données sensibles qui peuvent intéresser des tiers.
Dans le secteur public, les données de santé sont très recherchées
Sabotage
Une collectivité territoriale ou un établissement de santé peuvent être la cible d’attaques de sabotage. Cela peut passer par un défacement de site internet, ou encore par une attaque en déni de service (DoS) ou déni de service distribué (DDoS) qui consiste à saturer de requêtes un serveur informatique pour le faire tomber. Encore s’agit-il là d’agressions « extérieures ». Ainsi, comme indiqué précédemment, le site de l’AP-HP a subi une attaque DDoS au beau milieu de la crise sanitaire.
Mais les attaquants peuvent vouloir entrer dans le système proprement dit : cela passera par des courriels piégés (avec une pièce jointe qui permet d’installer un agent malveillant), plus ou moins profilés par le biais de l’ingénierie sociale, désormais facile à réaliser grâce aux réseaux sociaux. Une fois entré, l’agresseur cherchera à progresser de poste en poste jusqu’à pénétrer un compte d’administrateur de système, ce qui lui donnera les accès privilégiés au système d’information. Ce faisant, il peut détruire de l’intérieur tout ou partie du système. Des informations peuvent être supprimées, ainsi que cela était arrivé au site internet du Sancerrois.
Subversion
La subversion consiste principalement à changer l’état d’esprit du public. Les agresseurs peuvent viser une réputation, par exemple en mettant une nouvelle image sur la page d’accueil d’un site internet (le maire déguisé en Hitler, par exemple) ou en détournant le texte qui y est inscrit. Ils peuvent également se faire passer pour quelqu’un, ce qui peut provoquer des dégâts énormes. Ainsi, une prétendue cyberarmée syrienne avait piraté le compte Twitter de l’agence Associated Press et avait annoncé que la Maison-Blanche était attaquée : le Dow Jones avait immédiatement perdu 300 points
Le développement des infox (fake news) et de la « post-vérité » est également favorisé par les réseaux sociaux. Des rumeurs informatiques se répandent, se faisant passer pour telle ou telle personne. Ce peut être anodin, comme cette (fausse) infirmière du Samu de Toulouse
D’autres maires peuvent être victimes indirectes d’infox ou devoir lutter contre ces rumeurs, comme le maire de Pieux (Manche), qui dément l’installation d’une vidéosurveillance sur la plage
On le voit, l’information publique est désormais au centre des préoccupations, même au niveau local – et non seulement national.
Escroquerie
L’escroquerie est aujourd’hui le phénomène le plus rapide et le plus handicapant pour les maires. En premier lieu, la technique de l’hameçonnage ne cesse d’augmenter et de viser des collectivités territoriales de plus en plus réduites, comme nous l’avons vu.
Mais d’autres techniques existent, comme celle du faux changement de coordonnées, mésaventure survenue à la mairie de Sens : la méthode du pirate « consiste à se renseigner sur les activités d’entreprises du BTP avant de contacter leurs clients, en l’occurrence la mairie de Sens et d’autres structures moins emblématiques en Île-de-France. L’escroc se fait passer pour l’entreprise du bâtiment avant d’expliquer que la société a changé de coordonnées bancaires et qu’il convient de virer l’argent sur un autre compte »
L’escroquerie affecte également le secteur sanitaire et hospitalier, comme le rappelle Le Monde
Fragilité des collectivités territoriales
Les collectivités territoriales présentent de nombreuses fragilités numériques. Cela est dû principalement à deux facteurs.
Tout d’abord, la complexité de l’organisation territoriale rend les choses difficiles : régions, départements, communautés de communes et agglomérations, sans compter les syndicats mixtes soit de niveau départemental soit de la commune (établissements publics intercommunaux, EPCI) : le millefeuille territorial rend les choses malaisées, surtout pour un domaine émergent.
Ensuite, la plupart des collectivités territoriales, particulièrement celles de petite taille, n’ont pas les moyens d’une action en la matière. Pour la plupart, elles utilisent des prestataires informatiques extérieurs pour assurer la mise en place et le suivi de leurs systèmes informatiques. Autant dire qu’elles n’ont pas de directeurs des systèmes d’information (DSI) et encore moins de responsable de la sécurité des systèmes d’information (RSSI) : d’une part parce que la ressource disponible sur le marché est rare, d’autre part parce que ces talents sont généralement chers, donc hors de portée de bourse de la plupart des collectivités territoriales.
Elles font donc face à la même difficulté que les PME et les ETI dans le secteur privé : elles constituent une cible évidente, détiennent des données nombreuses mais ne sont pas capables de se saisir de la question.
Des acteurs (presque) oubliés
Constatons enfin que ces acteurs sont presque oubliés, tout d’abord parce que l’État n’a pas vraiment les moyens de s’en occuper. Il y a pourtant une prise de conscience nationale des enjeux de la cybersécurité : débutée avec le Livre blanc sur la défense et la sécurité nationale de 2008, la mobilisation s’est depuis poursuivie au niveau du pays avec notamment la création de l’ANSSI en 2009 puis la définition d’opérateurs d’importance vitale (OIV) astreints à des règles numériques de protection renforcées dès 2013. De même, le Forum international de la Cybersécurité (FIC) de Lille a été fondé au milieu des années 2000 par le général de gendarmerie Watin-Augouard et la gendarmerie nationale, dont la mission est d’être proche des territoires, est très sensible à cette question. Il a depuis pris une importante européenne, avec 15 000 visiteurs en janvier 2020. En 2018, la Revue stratégique de cyberdéfense, SGDSN, février 2018. consacre quelques paragraphes aux collectivités territoriales.
Il reste que les moyens sont encore peu utilisés au niveau local. L’ANSSI a bien créé, en 2015, un dispositif de délégués régionaux de SSI et nommé, en 2019, un chargé de mission à la cybersécurité des territoires
Des initiatives commencent à se faire jour, comme la publication régulière d’articles sur le sujet par le magazine Acteurs publics
Quelle réponse des responsables de collectivités territoriales ?
La responsabilité des élus
Les élus sont responsables de la cybersécurité des systèmes informatiques employés par leurs collectivités territoriales mais aussi des EPCI (établissements publics de coopération intercommunale) qui en dépendent.
En effet, les élus sont soumis à plusieurs obligations.
La première est celle du Référentiel général de sécurité (RGS
Par ailleurs, comme le remarquent D. Mullenex et G. Morat, « à l’instar des personnes morales de droit privé, il n’est pas à exclure que les collectivités territoriales puissent voir leur responsabilité pénale engagée devant les juridictions répressives sur le fondement de l’article 121-2, alinéa 2 du Code pénal
La loi NOTRe de 2015 impose aux collectivités territoriales de plus de 3 500 habitants de rendre accessibles, sur internet, la plupart des informations publiques en leur possession. La loi de 2016 pour une République numérique oblige les administrations à offrir l’accès libre et gratuit aux données publiques. Rappelons également le règlement européen eIDAS, en vigueur depuis 2016, qui formule des exigences sur les moyens d’identification électronique ainsi que la signature électronique.
Enfin, les responsables de collectivités territoriales sont considérés comme des responsables de traitement. A cet égard, ils encourent la responsabilité pénale associée au traitement des données personnelles, selon les instructions données par la CNIL puis par le règlement européen de protection des données personnelles (RGPD). Cette responsabilité pourrait être mise en cause à la suite de divulgation de données qui ferait suite à une cyberattaque résultant d’un système d’information non sécurisé.
Selon le baromètre Databreach rendu public au FIC 2020, 3,7 % des plaintes déposées à la CNIL en 2019 concernent les libertés publiques et les collectivités. Il reste que de nombreuses attaques contre les collectivités territoriales n’ont probablement pas suscité de déclaration d’incident… Notons que la plupart des plaintes concernent aujourd’hui les dispositifs de vidéoprotection de la voie publique ou la collecte de données excessives lors de démarches administratives. La CNIL peut prononcer des sanctions administratives mais aussi des sanctions pénales.
Quant au RGPD, entré en vigueur en mai 2018, il encadre la gestion des données personnelles : cela concerne le nom et l’adresse (données nominatives) mais aussi les données indirectes (numéro de téléphone, numéro de plaque minéralogique, empreinte digitale, inscription cadastrale, demande de permis de construire, impôts, retraits à la médiathèque) ou rattachées, comme le nombre de repas de cantine facturés ou encore l’adresse IP utilisée pour se connecter au site de la commune
Une faible prise de conscience
Les collectivités territoriales sont, sauf exception, peu sensibilisées à ces questions. Bien sûr, le niveau régional est présent et quasiment toutes les régions ont pris des initiatives en la matière : Occitanie
Les départements peuvent également agir en la matière, même si ces actions paraissent plus isolées : ainsi de la Gironde
Enfin, les agglomérations sont également intéressées : Rennes, où est implanté le Pôle d’excellence cyber et qui accueille la European Cyber Week, ou Lille, qui accueille chaque année le Forum international de Cybersécurité (FIC), sont évidemment sensibilisées. Mais des agglomérations comme Brest
Logiquement, ce tableau suggère que les villes moyennes ou petites, sans même parler du monde rural, sont les grandes absentes de ce paysage, sauf exceptions.
Des défis nouveaux
La révolution informatique dure depuis maintenant quatre décennies. Elle a connu plusieurs vagues : ordinateur personnel, accès à l’internet, écriture 2.0 (blogs), smartphone… Ces outils numériques ont profondément transformé nos vies, dans le champ personnel comme professionnel. L’adaptation (individuelle ou organique) est plus ou moins rapide et, surtout, synchronisée avec les évolutions techniques. Si toutes les collectivités territoriales disposent désormais de systèmes informatiques, beaucoup restent à la traîne sur les nouvelles évolutions à l’œuvre.
Aussi, la prise de conscience des enjeux de la cybersécurité doit s’inscrire dans un phénomène plus général : de même que nous ne vivons plus sans électricité ou voiture
Or, tout comme dans le cas du secteur automobile, de nouveaux changements sont déjà présents.
La crise de la Covid-19 a imposé à beaucoup de Français l’usage du télétravail ou de la communication à distance. Chacun se sert désormais de quatre ou cinq applications de vidéo conférence, connaissant les avantages et les inconvénients de chacune. Or, ce télétravail n’a la plupart du temps pas été préparé. Chacun a dû improviser – beaucoup de fonctionnaires territoriaux n’ayant pas d’accès sécurisé à leurs dossiers professionnels, l’immense majorité n’ayant même pas d’outil informatique portable… On a donc assisté à l’utilisation de moyens personnels (ce qu’on désigne par BYOD : bring your own device), ce qui a logiquement entraîné d’énormes failles dans la sécurité des communications professionnelles.
D’autres révolutions sont à l’œuvre : celle du stockage des données ; celle de l’utilisation à distance d’applications, appelée à passer de plus en plus par des systèmes d’infonuagique (cloud), qui permettront ultérieurement de travailler sur ces données en masse afin d’en tirer de nouvelles informations (datavisualition), puis de valoriser des données massives (Big Data), qui pourront, au-delà, être analysées par des intelligences artificielles à base d’apprentissage machine.
Une autre révolution touchera beaucoup plus directement les collectivités territoriales : celle des réseaux télécom de cinquième génération (5G), qui permettra le développement massif de l’internet des objets (internet of things, IOT). Déjà, ces objets connectés envahissent l’espace public – si l’on pense aux caméras publiques de surveillance. La plupart ont des protections numériques très faibles
Or, la 5G, associée à l’internet des objets, est à la base des développements futurs de la ville intelligente (smart city). On imagine par exemple que demain, les véhicules seront tous connectés aux services de la ville et que les feux de signalisation réguleront automatiquement la circulation, au regard des données reçues et analysées. Imaginez qu’un pirate s’introduise dans le système et mette tous les feux au rouge : il s’ensuivrait un gigantesque embouteillage qui bloquerait même les services d’urgence (pompiers et ambulances) avec des morts à la clef. Or, il risque d’y avoir un creusement entre les collectivités territoriales, les plus grandes agglomérations pouvant passer à la « ville intelligente » et accroître ainsi leur compétitivité au niveau national, au détriment de la région environnante, qui sera numériquement handicapée.
Un investissement, plutôt qu’une assurance
Les collectivités territoriales doivent donc considérer la cybersécurité comme une priorité. Il s’agit, à court terme, d’éviter des sabotages et escroqueries qui entraveraient leur fonctionnement normal (rançonnage). Il faut également se mettre en conformité avec le RGPD et prendre conscience que les données manipulées constituent un trésor qu’il faut protéger mais aussi valoriser. Les collectivités territoriales doivent empêcher les escroqueries qui les ciblent, protéger leur réputation, garantir la confidentialité des informations de leurs collaborateurs et de leurs administrés : cette mission de sécurité du service public est première.
De même, il s’agit d’organiser la résilience de son administration par la mise en place régulière de plans de continuité d’activité mais aussi de dispositifs récurrents de télétravail. Au fond, les collectivités territoriales doivent organiser une résilience générale qui va au-delà des plans communaux de sauvegarde (PCS) : ceux-ci ne sont pas toujours dressés, pas toujours mis à jour ni testés, et ils s’intéressent le plus souvent à des catastrophes naturelles. La cybersécurité doit s’intégrer dans une démarche plus générale de résilience territoriale.
À terme, il s’agit d’envisager les risques qu’apportera la ville intelligente. Les collectivités territoriales peuvent ici se saisir des avancées futures pour renforcer leur développement économique et réduire la fracture territoriale et numérique qui existe aujourd’hui en France.
Bien sûr, l’édile peut considérer cette dimension comme une contrainte ou une dépense. Autrement dit, un système d’assurance et de simple couverture du risque. Ce serait une erreur. Il doit au contraire prendre le parti que c’est un investissement sur lequel il aura un retour, non seulement en fiabilisation de son administration et du service rendu aux administrés, mais aussi en termes de développement.
Tout d’abord, la cybersécurité fait partie, avec la connectivité, des demandes récurrentes des entreprises qui veulent s’installer sur un territoire : pas de développement économique aujourd’hui sans cybersécurité. Ensuite, la cybersécurité entraîne les administrations à porter un regard nouveau sur leur outil informatique et donc à conduire une transformation digitale qui permettra une plus grande efficacité et une plus grande satisfaction des employés et des administrés. Enfin, cela permet de prendre à bras le corps la transformation profonde occasionnée par la révolution informatique que nous connaissons. S’en saisir parmi les premiers permet d’influer sur la définition des règles et des standards plutôt que de les subir quand ils sont définis par d’autres.
Il ne s’agit bien sûr pas de faire cela tout seul, et chaque collectivité territoriale veillera à se rapprocher de ses voisines afin de « chasser en meute » : la mutualisation paraît à l’évidence une des premières réponses au défi posé. De même, réfléchir ensemble afin de trouver des réponses collectives, à chaque niveau adapté, paraît de bonne méthode. On peut espérer que dans ces conditions, la fracture numérique qui existe aujourd’hui entre les grandes métropoles et le reste du territoire sera progressivement réduite.
