{"id":9218,"date":"2020-05-04T16:47:54","date_gmt":"2020-05-04T14:47:54","guid":{"rendered":"http:\/\/www.villes-internet.net\/site\/?p=9218"},"modified":"2020-05-07T17:38:13","modified_gmt":"2020-05-07T15:38:13","slug":"ingerence-economique-et-piratage-pendant-la-crise-sanitaire-les-systemes-informatiques-des-collectivites-durement-frappes","status":"publish","type":"post","link":"https:\/\/www.villes-internet.net\/site\/ingerence-economique-et-piratage-pendant-la-crise-sanitaire-les-systemes-informatiques-des-collectivites-durement-frappes\/","title":{"rendered":"Ing\u00e9rence \u00e9conomique et piratage pendant la crise sanitaire : les syst\u00e8mes informatiques des collectivit\u00e9s durement frapp\u00e9s"},"content":{"rendered":"

\u00c0 la suite des mesures de confinement d\u00e9cid\u00e9es par une grande majorit\u00e9 des pays du monde, le t\u00e9l\u00e9travail s\u2019est r\u00e9v\u00e9l\u00e9 \u00eatre la solution afin de maintenir la continuit\u00e9 d\u2019activit\u00e9 des entreprises priv\u00e9es et de l\u2019administration publique. Enferm\u00e9s chez eux, les salari\u00e9s et les agents ont d\u00fb adopter en quelques jours de nouvelles modalit\u00e9s de travail d\u00e9mat\u00e9rialis\u00e9es. Parfois pr\u00e9vu pour quelques-uns, rarement g\u00e9n\u00e9ralis\u00e9, le t\u00e9l\u00e9travail n\u00e9cessite une organisation informatique capable de prot\u00e9ger les donn\u00e9es et les syst\u00e8mes. Dans l\u2019urgence, ils ont \u00e9t\u00e9 nombreux \u00e0 utiliser des applications de visioconf\u00e9rence ou de partage de documents non s\u00e9curis\u00e9s, souvent sur les ordinateurs ou t\u00e9l\u00e9phones personnels, ouvrant ainsi la porte aux attaques informatiques. La situation est suffisamment alarmante pour que la direction du renseignement int\u00e9rieur (DGSI) se fende d\u2019une note \u00e0 destination des entreprises et des administrations afin de les mettre en garde.<\/span><\/p>\n

Anne Le Henanff, maire adjointe au num\u00e9rique, \u00e0 la d\u00e9fense et \u00e0 la m\u00e9moire de la ville de Vannes depuis 2008 et vice-pr\u00e9sidente de Villes Internet, r\u00e9pond \u00e0 nos questions sur le sujet.<\/strong><\/span><\/p>\n

Villes Internet : Comme vous le rappelez souvent, vous n\u2019\u00eates pas informaticienne, ni m\u00eame technicienne du num\u00e9rique, comment vous \u00eates-vous int\u00e9ress\u00e9e au sujet de la cyber s\u00e9curit\u00e9\u2009?<\/b><\/p>\n

Anne Le Henanff : j\u2019ai d\u00e9cid\u00e9 de m\u2019engager sur ces probl\u00e9matiques \u00e0 la suite d\u2019une attaque de \u00ab ran\u00e7ongiciel \u00bb contre la ville de Vannes [logiciel malveillant qui prend en otage des donn\u00e9es personnelles – NDLR]. \u00c0 l\u2019\u00e9poque, j\u2019\u00e9tais tr\u00e8s engag\u00e9e sur la d\u00e9mat\u00e9rialisation et le d\u00e9veloppement des usages num\u00e9riques, et ce, d’autant plus que l\u2019\u00c9tat nous poussait \u00e0 la d\u00e9mat\u00e9rialisation de la cha\u00eene comptable, des actes d\u2019urbanisme, des march\u00e9s publics, etc …. Nous nous \u00e9tions alors lanc\u00e9s dans une course au num\u00e9rique o\u00f9 tout \u00e9tait possible. Jusqu\u2019au jour o\u00f9 on a subi une attaque, en f\u00e9vrier 2016. Ce jour-l\u00e0, la directrice des syst\u00e8mes d\u2019information (DSI) Muriel Raimbault m\u2019a dit : \u00ab\u2009nbsp;Nous en avons subies d\u2019autres par le pass\u00e9 que nos services ont g\u00e9r\u00e9es , il n’\u00e9tait pas utile de vous inqui\u00e9ter, mais l\u00e0 je vous en parle, car cete fois on a peut-\u00eatre fr\u00f4l\u00e9 la catastrophe. \u00bb J\u2019ai alors compris que mon r\u00f4le n\u2019\u00e9tait pas seulement de d\u00e9velopper notre syst\u00e8me informatique, il \u00e9tait aussi de veiller \u00e0 ce qu\u2019il soit bien prot\u00e9g\u00e9. On a donc d\u00e9cid\u00e9 de cesser tous projets de d\u00e9veloppement, comme l\u2019Open data par exemple ou <\/span>la smart city<\/span><\/i>. Cela nous a permis de nous consacrer totalement \u00e0 un projet : emp\u00eacher l\u2019acc\u00e8s au r\u00e9seau par l\u2019ext\u00e9rieur. Il s\u2019agissait de remettre \u00e0 niveau la s\u00e9curit\u00e9 num\u00e9rique de la ville, mais \u00e9galement de monter en comp\u00e9tence et de sortir cette responsabilit\u00e9 de la DSI. Avec l\u2019arriv\u00e9e du RGPD, nous pouvions sensibiliser la direction g\u00e9n\u00e9rale et le maire en leur disant que la protection des donn\u00e9es \u00e9tait de leur responsabilit\u00e9. On s\u2019est alors lanc\u00e9s sur ce chantier de 3 ans.<\/span><\/p>\n

Et j\u2019ai d\u00e9cid\u00e9, avec l\u2019accord du maire de Vannes, de t\u00e9moigner et de raconter notre attaque pour sensibiliser mes coll\u00e8gues des autres communes aux risques d’attaques cyber dans les collectivit\u00e9s locales et partager notre exp\u00e9rience.<\/span><\/p>\n

Quelles ont \u00e9t\u00e9 les cons\u00e9quences de cette prise de conscience pour la ville de Vannes\u2009?<\/b><\/p>\n

\u00a0<\/span>La cl\u00e9 d\u2019une bonne s\u00e9curit\u00e9 num\u00e9rique, c\u2019est l\u2019humain. C\u2019est l\u2019humain qui fait la diff\u00e9rence.\u00a0<\/span>Nous avons donc fait des formations obligatoires \u2014 y compris pour les personnes qui ne travaillaient pas sur un ordinateur comme les jardiniers par exemple \u2014 afin que tout le monde soit sensibilis\u00e9 \u00e0 la question. Et en cette p\u00e9riode de confinement et donc de t\u00e9l\u00e9travail, nous observons que \u00e7a fonctionne. 280 agents sont en t\u00e9l\u00e9travail, nous subissons des attaques tous les jours depuis deux mois, mais aucune n\u2019est parvenue \u00e0 ses fins.<\/span><\/p>\n

Si la ville de Vannes est bien arm\u00e9e face \u00e0 la cybermenace, plusieurs villes ont \u00e9t\u00e9 attaqu\u00e9es par le biais du t\u00e9l\u00e9travail des agents pendant le confinement. Quelles formes prennent ces attaques\u2009?<\/b><\/p>\n

\u00a0<\/b>La brigade num\u00e9rique de la gendarmerie nationale ou\u00a0<\/span>cybermalveillance.Gouv.fr<\/span><\/a> ont en effet not\u00e9 une recrudescence des attaques depuis mars 2020. Dans l’environnement des collectivit\u00e9s territoriales la plus fr\u00e9quemment utilis\u00e9e est la demande de ran\u00e7on ou <\/span>ran\u00e7ongiciel<\/span><\/i>. Elle est facile et relativement simple pour eux : l’envoi d’un mail que l’agent est invit\u00e9 \u00e0 cliquer. Cela permet de faire entrer un virus qui bloque les syst\u00e8mes d’informations, les postes de travail. Pour r\u00e9cup\u00e9rer la main, il est demand\u00e9 de payer une ran\u00e7on. Les sites Internet peuvent \u00e9galement devenir des portes d\u2019entr\u00e9e pour les pirates. Les entreprises peuvent aussi faire face \u00e0 d’autres types d’arnaques, telles que <\/span>l’arnaque au Pr\u00e9sident<\/span><\/i> ou le cyber-attaquant se fait passer pour un dirigeant pour donner de faux ordres de virements \u00e0 des collaborateurs .<\/span><\/p>\n

Pour les collectivit\u00e9s, le montant des ran\u00e7ons est souvent assez bas pour inciter les communes \u00e0 payer plut\u00f4t que de risquer de perdre toutes leurs donn\u00e9es ou de ne pas reprendre la main sur leurs syst\u00e8mes. Malheureusement, cela arrive que m\u00eame s\u2019ils payent, l\u2019attaquant ne leur transmette pas la \u00ab cl\u00e9 \u00bb. Dans ce cas, on vous a vol\u00e9 vos donn\u00e9es, on a bloqu\u00e9 vos syst\u00e8mes, vous payez, et on ne vous rend pas vos donn\u00e9es ou la ma\u00eetrise de vos syst\u00e8mes.<\/span><\/p>\n

\u00a0<\/span>Quels conseils donneriez-vous \u00e0 vos homologues dans les autres collectivit\u00e9s qui subissent des attaques\u2009?<\/b><\/p>\n

\u00a0<\/span>Il ne faut pas payer la ran\u00e7on, d\u00e9brancher imm\u00e9diatement les ordinateurs infest\u00e9s et aller voir directement la gendarmerie ou la Police nationale. Ensuite, c\u2019est aux informaticiens , en interne ou via le prestataire ext\u00e9rieur, de r\u00e9cup\u00e9rer les sauvegardes pour restaurer les donn\u00e9es de la communes et le syst\u00e8me d’informations.\u00a0<\/span>Et pour se prot\u00e9ger des attaques, c\u2019est l\u2019humain qui est le meilleur alli\u00e9 des communes pour lutter contre les intrusions. C\u2019est lui qui cliquera sur le mail malveillant par inadvertance s’il n’est pas sensibilis\u00e9. Tout passe donc par la formation des agents territoriaux et la pr\u00e9vention. Dans le doute, on ne clique pas.<\/span><\/p>\n

\u00a0<\/span>Au-del\u00e0 du strict confinement qui devrait progressivement prendre fin \u00e0 partir du 11 mai, il semble n\u00e9cessaire de r\u00e9fl\u00e9chir \u00e0 l\u2019organisation du t\u00e9l\u00e9travail et \u00e0 la d\u00e9mat\u00e9rialisation des proc\u00e9dures en toute s\u00e9curit\u00e9. Vers qui peuvent se tourner les communes qui souhaitent aborder ce chantier\u2009?<\/b><\/p>\n

\u00a0<\/span>Plusieurs acteurs publics se sont saisis de cette question : l’ANSSI,<\/span> Cybermalveillance.gouv.fr<\/span><\/a>, la Gendarmerie nationale, la police, les associations de collectivit\u00e9s, l’AMF . Le RGPD et l’augmentation des attaques cyber contre les communes ont acc\u00e9l\u00e9r\u00e9 la prise de conscience. Nous ne pouvons que nous en f\u00e9liciter !\u00a0<\/span>En termes d’accompagnement des petites communes, l\u2019intercommunalit\u00e9 me semble \u00eatre le bon \u00e9chelon. Malheureusement, trop peu d\u2019entre elles se sont encore appropri\u00e9es ce sujet.\u00a0<\/span>Cependant il est toujours possible pour une commune d\u2019appeler la nouvelle brigade num\u00e9rique (BNum) de la gendarmerie nationale sur leur territoire. Celle-ci les guidera, les orientera ou les assistera sur les d\u00e9marches \u00e0 mettre en oeuvre, soit pour se prot\u00e9ger, soit pour r\u00e9agir face \u00e0 une attaque cyber.\u00a0<\/span>Chaque commune peut ais\u00e9ment faire un audit simple de son niveau de s\u00e9curit\u00e9 num\u00e9rique par les acteurs publics du domaine ou plus pouss\u00e9s par des prestataires informatiques de leur territoire.\u00a0<\/span><\/p>\n

\u00a0<\/span>Quel message souhaiteriez-vous adresser \u00e0 vos homologues\u2009?<\/b><\/p>\n

\u00a0<\/span>Mon objectif est faire prendre conscience aux \u00e9lus que la cyber s\u00e9curit\u00e9 n\u2019est pas quelque chose d\u2019inatteignable. C\u2019est un enjeu, c\u2019est une responsabilit\u00e9, mais il ne faut pas en avoir peur. On ne demande pas aux maires d\u2019\u00eatre des sp\u00e9cialistes de la s\u00e9curit\u00e9 num\u00e9rique, mais d\u2019avoir une vision politique du sujet et de prendre des d\u00e9cisions. Ce sont les techniciens et les experts qui mettront en oeuvre.<\/span><\/p>\n

Pour aller plus loin :<\/b><\/p>\n