Entre janvier 2022 et juin 2023, l’ANSSI avait déjà recensé et traité pas moins de 187 incidents de cybersécurité visant les collectivités territoriales, soit une moyenne de 10 incidents par mois. Ces chiffres, déjà préoccupants, ne représentent que la partie émergée de l'iceberg. En effet, de nombreuses attaques demeurent non déclarées ou non détectées. De par la valeur des données sensibles et personnelles qu'elles détiennent et la vulnérabilité de leurs infrastructures IT, les établissements publics sont des cibles privilégiées des cybercriminels.
Les collectivités font face à un éventail de cybermenaces. Parmi elles, les rançongiciels, particulièrement dévastateurs, chiffrent les données et les systèmes d’information, et exigent une rançon pour leur déblocage. L'hameçonnage vise quant à lui à tromper les utilisateurs pour obtenir des informations sensibles, comme des identifiants bancaires. Une fois subtilisées, les données volées peuvent être monnayées sur le darknet, exposant les citoyens à de nouveaux risques d'usurpation d'identité ou de fraude.
Des établissements aux ressources limitées
Au regard de ces menaces persistantes, l'État français a déployé plusieurs initiatives. Parmi elles, l'outil SensCyber, plateforme d'e-sensibilisation visant à la fois les collectivités territoriales et le grand public. En parallèle, l'évolution des réglementations en matière de cybersécurité instaurées ces dernières années a posé les jalons d'une meilleure protection des systèmes d'information.
Bien que des mesures préventives s'ancrent progressivement au sein des établissements publics, le chemin à parcourir reste encore long. De nombreuses collectivités, en particulier les plus petites, manquent encore de ressources et d'expertise pour faire face efficacement aux cybermenaces. Une enquête de l’ANSSI révèle que si 42% d’entre elles sont conscientes de leur vulnérabilité aux cyberattaques, 20%, principalement de petites communes, ne parviennent pas à évaluer leur niveau d'exposition. Au sein des petites communes, les ressources humaines sont bien souvent limitées et les personnels jouent plusieurs rôles à la fois, si bien qu’il arrive qu’il n’y ait aucun collaborateur spécialisé et chargé de la cybersécurité.
L'urgence d'une sensibilisation et d’une formation continues
Face à la nécessité de se protéger des cybermenaces, il devient impératif pour les collectivités de renforcer leur sécurité informatique. Pour ce faire, elles doivent en premier lieu se doter de technologies avancées dans la détection des menaces et la protection des systèmes (gestion des accès et des mots de passe, anti-virus, pare-feu, sauvegarde des données, etc.), mais également miser sur l’humain. Car si l’union fait la force, il en va de même avec la cybersécurité. Selon un rapport d’IBM, 90% des cyberattaques aboutissent en raison d'une erreur humaine.
Chaque membre du personnel doit ainsi devenir un acteur éclairé et attentif en matière de cybersécurité, grâce à des formations et des sensibilisations régulières et ludiques. L’apprentissage théorique devra être complété par un apprentissage en condition réelle à travers, par exemple, des simulations d’attaques envoyées à des collaborateurs différents régulièrement, et de manière inopinée. Cette méthode permet de mettre en pratique les connaissances acquises grâce à l’apprentissage par essai-erreur, et de maintenir la vigilance des équipes. Car comme le disait Benjamin Franklin, “Tu me dis, j’oublie. Tu m’enseignes, je me souviens. Tu m’impliques, j’apprends”.
La sophistication constante des menaces impose aux collectivités territoriales de faire de la cybersécurité une priorité absolue. En combinant des investissements technologiques et une formation du personnel, elles pourront se prémunir contre les menaces futures et garantir la continuité de leurs services.
