Cybersécurité : évaluer, anticiper et se préparer

À l’heure où les administrations publiques accélèrent leur transformation numérique, la cybersécurité est devenue un enjeu stratégique majeur. Protection des données citoyennes, phishing, ransomwares, intelligence artificielle ou sécurisation des infrastructures : les menaces évoluent rapidement et concernent désormais toutes les organisations. 

Pour rendre cette problématique plus lisible, Luxcontrol a développé le Cyberscore, représenté par un pictogramme simple et immédiatement compréhensible : une échelle allant de A à E, à l’image des classifications que nous connaissons déjà dans d’autres domaines. En un coup d’œil, elle permet de visualiser le niveau de maturité d’une organisation en matière de cybersécurité. Mais derrière ce pictogramme se trouve surtout une véritable démarche d’évaluation. Le Cyberscore permet d’établir un état des lieux, d’identifier les vulnérabilités et de déterminer les mesures prioritaires à mettre en œuvre. Plusieurs niveaux d’accompagnement sont proposés, de la première auto-évaluation jusqu’à une analyse approfondie intégrant notamment les exigences de NIS2 et ISO 27001.

Pour les communes, l’enjeu est particulièrement important. Elles gèrent quotidiennement des données personnelles et assurent des services essentiels à la population. Prévenir, protéger, mais aussi savoir réagir en cas d’attaque devient donc une responsabilité à part entière des décideurs publics. Organisme indépendant, Luxcontrol apporte ici un regard neutre : son rôle est d’évaluer, de conseiller et d’accompagner, sans avoir ensuite vocation à vendre les solutions ou produits informatiques préconisés.

Pour mieux comprendre le Cyberscore, les nouvelles menaces et les moyens concrets de renforcer la résilience des administrations, LG – Lëtzebuerger Gemengen a rencontré David Covelli et Olivier Antoine de Luxcontrol.

La cybersécurité est devenue un enjeu majeur pour les communes et les acteurs publics. Quelles sont aujourd’hui les principales menaces auxquelles ils sont confrontés et constatez-vous une réelle prise de conscience sur le terrain ?

Les collectivités publiques sont aujourd’hui confrontées aux mêmes cybermenaces que les entreprises, avec une difficulté supplémentaire : elles gèrent des données personnelles et parfois sensibles ainsi que des services essentiels aux citoyens.

Le phishing et l’usurpation d’identité restent parmi les portes d’entrée les plus courantes, mais il faut également compter avec les ransomwares, le vol de données, la compromission des accès ou encore les attaques visant à perturber les systèmes informatiques. 

Nous constatons néanmoins une prise de conscience croissante. La question n’est plus seulement de savoir comment empêcher une attaque, mais également de déterminer si l’organisation est suffisamment préparée pour la détecter, y répondre et assurer la continuité de ses activités. 

La cybersécurité devient ainsi un véritable sujet de gouvernance qui concerne non seulement les responsables informatiques, mais également les directions et les décideurs publics.

Avec NIS2 et des exigences réglementaires de plus en plus importantes, les organisations doivent renforcer leur niveau de protection. Comment Luxcontrol les accompagne-t-elle concrètement, et quel rôle peut jouer votre Cyberscore ?

Notre approche consiste d’abord à permettre aux organisations de connaître précisément leur situation. Avant d’investir dans de nouvelles solutions, il faut identifier les points forts, les vulnérabilités et surtout les priorités.

C’est précisément l’objectif du Cyberscore. Nous avons développé une démarche progressive, adaptée au niveau de maturité et aux besoins de chaque organisation. Elle va d’une première auto-évaluation avec Cyberscore Light jusqu’à des analyses beaucoup plus approfondies avec les niveaux Basic, Standard et Compliance.

L’évaluation porte sur plus de 90 points de contrôle et intègre des entretiens, des vérifications sur site et l’analyse des mesures de sécurité existantes. L’objectif n’est donc pas simplement d’attribuer une note de A à E, mais de donner à l’organisation une vision claire de sa situation et des actions prioritaires à entreprendre.

Cette démarche comprend également un important volet de sensibilisation. Il est essentiel de présenter clairement les risques aux décideurs comme aux collaborateurs afin que chacun comprenne son rôle dans la chaîne de sécurité. Sur cette base, nous pouvons établir un plan d’accompagnement à long terme, permettant à l’organisation d’améliorer progressivement son niveau de maturité.

Avec le niveau Compliance, cette démarche permet également de se positionner par rapport à des référentiels et exigences tels que NIS2 ou ISO 27001, d’identifier les écarts et d’établir une véritable feuille de route.

Et il est important de préciser que le Cyberscore n’est pas uniquement destiné aux petites ou moyennes structures. Il est tout aussi pertinent pour les grandes communes et les organisations disposant déjà de ressources informatiques importantes, car il apporte une évaluation structurée et indépendante de leur niveau de cybersécurité et permet de mettre en valeur le travail qu’ils ont déjà accompli.

Intelligence artificielle, multiplication des données, services publics numériques et objets connectés vont encore accroître les enjeux. Si vous vous projetez à cinq ans, quels seront les grands défis en matière de cybersécurité ?

L’intelligence artificielle va accélérer les évolutions des deux côtés. Elle constitue un formidable outil pour détecter plus rapidement certaines anomalies et renforcer la sécurité, mais elle permet également aux attaquants de développer des méthodes beaucoup plus sophistiquées, notamment dans le phishing, l’usurpation d’identité ou l’ingénierie sociale.

Parallèlement, les administrations, les entreprises et les infrastructures deviennent toujours plus numériques et interconnectées. Cloud, applications, objets connectés, plateformes citoyennes, véhicules ou équipements électroniques : plus les systèmes communiquent entre eux, plus la surface d’exposition aux risques augmente.

C’est dans cette logique que nous mettons notamment en place un CyberLab, c’est-à-dire un laboratoire permettant de tester la cybersécurité de produits et d’équipements intégrant de l’électronique. Cela concerne notamment le secteur automobile, où les véhicules sont de plus en plus connectés et autonomes.

Nous procédons également à des tests d’intrusion – ou penetration tests – qui consistent à tester concrètement la résistance d’un système informatique en simulant des méthodes pouvant être utilisées par un attaquant, on parle ici de hacking éthique. L’objectif est d’identifier les failles avant qu’elles ne puissent être exploitées lors d’une véritable cyberattaque.

Le défi des prochaines années sera donc autant technologique qu’humain. Il faudra continuer à investir dans les outils, mais également dans les procédures, la formation et la sensibilisation des collaborateurs. La cybersécurité doit progressivement devenir une véritable culture partagée au sein de l’organisation.

Les communes ne disposent pas toutes des mêmes moyens humains, techniques et financiers. Comment une petite ou moyenne commune peut-elle mettre en place une stratégie efficace sans disposer d’une équipe spécialisée ?

Une commune n’a pas nécessairement besoin de disposer d’une importante équipe spécialisée en interne pour commencer à améliorer significativement sa cybersécurité. L’essentiel est d’adopter une démarche structurée et proportionnée aux risques.

La première étape reste l’évaluation. Il faut savoir quels sont les systèmes critiques, quelles données doivent être particulièrement protégées, qui dispose de quels accès et quelles seraient les conséquences d’une indisponibilité des systèmes.

Une évaluation comme le Cyberscore permet précisément d’identifier ces priorités. Une fois le diagnostic réalisé, il devient possible de définir les mesures à mettre en œuvre et, lorsque cela est nécessaire, de prévoir la mise à disposition de ressources et de compétences tel que le « CISO as a Service » un ou deux jours par semaine pour accompagner la commune.

Certaines mesures fondamentales peuvent être engagées rapidement : sauvegardes fiables et régulièrement testées, authentification multifacteur, mises à jour des systèmes, gestion rigoureuse des accès et sensibilisation du personnel, notamment face au phishing.

Mais il faut également préparer l’organisation à l’éventualité d’une attaque. C’est tout l’objectif d’un Business Continuity Plan, ou plan de continuité d’activité : déterminer à l’avance comment continuer à assurer les fonctions essentielles lorsqu’un système devient indisponible, comment organiser la réponse à l’incident et comment rétablir progressivement les services.

L’objectif n’est donc pas uniquement de protéger la commune contre une attaque, mais de la préparer à y faire face et à son retour à la normale dans les meilleures conditions et dans les meilleurs délais.

Le risque zéro n’existe pas. Comment préparez-vous les organisations à réagir lorsqu’une attaque survient et quels sont, selon vous, les critères essentiels pour choisir un partenaire en cybersécurité ?

Le risque zéro n’existe effectivement pas. Notre objectif est donc aussi d’aider les organisations à acquérir les bons réflexes et un véritable savoir-faire afin qu’elles puissent réagir rapidement lorsqu’un incident survient et en limiter au maximum les conséquences.

Il ne suffit plus de se protéger. Il faut également savoir détecter une attaque, réagir efficacement, assurer la continuité des activités et rétablir les services dans les meilleurs délais. Dans certains cas, nous pouvons également proposer un accompagnement dans la durée permettant de suivre l’évolution du niveau de sécurité, d’identifier de nouvelles vulnérabilités et de mieux anticiper de futures attaques. Nous avons également construit un écosystème composé de partenaires Luxembourgeois que nous pouvons proposer à nos clients pour les accompagner sur les projets techniques.

Pour les communes, les décideurs peuvent voir leur responsabilité engagée. Ils ont la charge de données appartenant aux citoyens et doivent veiller à la mise en place de mesures techniques et organisationnelles appropriées pour les protéger. La cybersécurité n’est donc plus uniquement une question informatique : c’est une question de gouvernance et de responsabilité.

Lorsqu’une organisation choisit de se faire accompagner, plusieurs critères sont essentiels : l’indépendance, l’expérience, la qualité de l’expertise et naturellement le prix.

L’indépendance de Luxcontrol est à ce titre fondamentale. Notre métier est d’évaluer, de conseiller et d’accompagner. Nous ne cherchons pas ensuite à vendre des produits ou des solutions informatiques. Cela nous permet de conserver une analyse neutre et de recommander les mesures réellement adaptées aux besoins de l’organisation.

Cette approche présente également un autre avantage : vous pouvez conserver vos prestataires habituels. Notre intervention n’a pas vocation à remplacer les partenaires informatiques d’une commune ou d’une entreprise. Nous apportons une expertise indépendante, identifions les améliorations nécessaires et pouvons ensuite travailler en complémentarité avec les prestataires déjà en place.

L’expérience, la qualité de l’analyse et la capacité à proposer des recommandations concrètes et proportionnées sont finalement déterminantes. La cybersécurité ne consiste pas à multiplier les solutions techniques, mais à investir au bon endroit, en fonction des risques réels de chaque organisation.