Une directrice d'école demande un audit après avoir entendu parler d'une attaque chez un confrère. Le rapport tient en trois pages. La sauvegarde du serveur administratif s'exécutait chaque nuit depuis un an, et personne n'avait jamais essayé de la restaurer. Elle ne fonctionnait pas. Ce n'était ni sophistiqué, ni coûteux à corriger — c'était simplement invisible tant que personne ne regardait.

Un métier de hiérarchisation

Une organisation, même petite, peut lister facilement trente mesures de sécurité souhaitables. Le problème n'est pas de les connaître : c'est qu'aucune n'est mise en œuvre, parce que la liste décourage avant de commencer.

Le travail d'un professionnel de la sécurité consiste donc d'abord à trier : quels sont les scénarios réellement plausibles pour cette structure, lesquels lui coûteraient le plus cher, et quelles mesures réduisent le plus le risque pour le moins d'effort.

Un rapport utile classe et ordonne. On traite ce qui est critique, on planifie le reste, on assume ce qu'on accepte de ne pas traiter. Un document qui met tout au même niveau ne produit aucune décision.

Personne n'est trop petit

L'objection revient systématiquement : « nous sommes trop petits pour intéresser quelqu'un ». Elle repose sur une image fausse, celle d'un attaquant qui choisirait ses cibles.

L'essentiel des attaques courantes est automatisé et ne sélectionne rien : des programmes parcourent ce qui est exposé et exploitent ce qui n'a pas été mis à jour. Une petite structure n'est pas moins visée ; elle est simplement moins préparée, et souvent plus vulnérable parce qu'elle n'a ni sauvegarde vérifiée ni personne dont c'est le rôle.

Cette réalité change la conversation. Il ne s'agit pas de se protéger contre un adversaire déterminé, mais de ne plus faire partie des cibles faciles.

L'audit : établir ce qui existe

On ne protège pas ce qu'on ne connaît pas. Un audit commence donc par un inventaire, souvent plus révélateur que la suite : quels postes, quels serveurs, quels services en ligne, quels comptes, qui détient quoi, quelles données sont stockées où, quelles sauvegardes existent, et qui pourrait entrer aujourd'hui sans qu'on le sache.

Les découvertes les plus fréquentes ne sont pas techniques. Un compte administrateur partagé entre quatre personnes. Un ancien salarié dont l'accès n'a jamais été retiré. Une messagerie sans double authentification. Un serveur dont plus personne ne connaît le mot de passe. Une sauvegarde jamais testée.

La restitution compte autant que l'analyse. Un dirigeant doit comprendre ce qu'il risque, dans son vocabulaire, pour décider lui-même de ce qu'il corrige en premier. Un rapport que personne ne lit ne protège rien.

Un cadre pour organiser la démarche

Le désordre est l'ennemi principal. Un cadre de référence aide à structurer sans imposer une méthode.

Le cadre de cybersécurité du NIST, dont la version 2.0 a été publiée en février 2024, est l'un des plus utilisés. Il vise à aider les organisations à mieux comprendre et améliorer leur gestion du risque de cybersécurité, et il s'adresse aussi bien aux entreprises qu'aux administrations. Il organise les résultats attendus en grandes fonctions — gouverner, identifier, protéger, détecter, répondre et rétablir — ce qui donne un fil conducteur simple : qui décide, qu'avons-nous, comment le protégeons-nous, comment saurions-nous qu'il se passe quelque chose, que faisons-nous alors, et comment revenons-nous à la normale.

Un point mérite d'être souligné : ce cadre est une orientation volontaire. Il n'impose rien par lui-même, et son adoption ne dispense d'aucune obligation légale nationale.

Les accès : le sujet le plus rentable

Si une seule chose devait être traitée, ce serait celle-là, parce qu'elle coûte peu et protège beaucoup.

Les principes sont connus : un compte nominatif par personne plutôt qu'un compte partagé, des droits limités à ce qui est réellement nécessaire, une authentification renforcée activée là où elle est disponible, une révocation immédiate lorsqu'une personne quitte l'organisation ou le projet, et un stockage des identifiants dans un outil prévu pour cela.

Trois pratiques sont à écarter sans discussion : un mot de passe partagé dans une conversation de groupe, un fichier texte non protégé contenant les identifiants, et le même mot de passe réutilisé sur tous les services. Elles ne se corrigent pas après coup : le jour où l'une d'elles pose problème, il est déjà trop tard.

Les sauvegardes : la seule mesure qui répare

Toutes les autres mesures réduisent la probabilité d'un incident. La sauvegarde est la seule qui répare ses conséquences.

Encore faut-il qu'il s'agisse d'une vraie sauvegarde. Une synchronisation entre postes n'en est pas une : une suppression se synchronise, et un fichier chiffré par un rançongiciel se synchronise également. Il faut distinguer les données en production, une copie conservée séparément, une synchronisation, un historique de versions et un export réutilisable ailleurs.

Les principes tiennent en quatre points : des copies réellement séparées de la production, une fréquence adaptée à ce que l'organisation accepte de perdre, un accès restreint à ces copies, et des restaurations testées. Aucun schéma chiffré ne constitue une norme universelle. Ce qui l'est davantage : une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde, c'est une supposition.

Le poste de travail et les mises à jour

La majorité des compromissions courantes exploite des défauts déjà corrigés par les éditeurs. Appliquer les mises à jour du système, des navigateurs et des logiciels métier reste la mesure la plus banale et la plus efficace.

S'y ajoutent des gestes simples : un antivirus à jour, un pare-feu actif, un chiffrement du disque sur les appareils qui sortent des locaux, et une politique claire sur les clés USB et les appareils personnels. Le détail dépend du contexte et des moyens, mais l'ordre de priorité varie peu.

Les applications exposées

Un site, une boutique ou une application accessible depuis Internet demande une attention particulière, parce qu'elle est exposée en permanence.

La référence défensive la plus répandue est le Top 10 de l'OWASP, publié par la fondation du même nom. Ce document de sensibilisation destiné aux développeurs et aux équipes de sécurité applicative recense les catégories de risques les plus critiques pour les applications web, et se présente comme une première étape vers un développement plus sûr. Il s'utilise comme une liste de vérification : il indique quoi surveiller, pas comment attaquer.

Côté exploitation, cela se traduit par des questions simples à poser au prestataire qui a livré l'application : qui applique les mises à jour du socle et de ses composants, à quelle fréquence, qui détient les comptes techniques, ce qui est journalisé, et où sont les sauvegardes.

Sensibiliser plutôt qu'interdire

Une part importante des incidents commence par un geste humain ordinaire : un lien ouvert, une pièce jointe consultée, un mot de passe donné à quelqu'un qui semblait légitime.

Une session de sensibilisation bien faite change davantage les habitudes qu'un logiciel supplémentaire. Elle est concrète : à quoi ressemblent les messages frauduleux réellement reçus dans cette organisation, que faire en cas de doute, à qui signaler, et surtout comment signaler sans crainte d'être blâmé. Une équipe qui n'ose pas dire qu'elle a cliqué fait perdre les heures qui comptent le plus.

Données personnelles et cadres régionaux

Une organisation qui traite des données de clients, d'élèves, de patients ou de salariés doit savoir lesquelles elle détient, où, qui y accède et pendant combien de temps. La minimisation — ne collecter que ce qui sert — reste la mesure de sécurité la moins coûteuse qui existe.

Deux textes régionaux africains encadrent ce sujet, avec des statuts différents. La Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, adoptée le 27 juin 2014 à Malabo, couvre les transactions électroniques, la protection des données à caractère personnel et la cybersécurité ; comme tout traité, elle ne produit d'effets que dans les États qui l'ont ratifiée, à travers leurs lois nationales. Le Cadre de politique des données de l'Union africaine, publié le 28 juillet 2022, vise pour sa part à renforcer et harmoniser la gouvernance des données en Afrique afin de créer un espace de données partagé, au service d'une économie numérique inclusive ; il s'agit d'un cadre d'orientation, non d'une législation contraignante.

Les obligations réellement applicables à une organisation donnée découlent donc de son droit national et, le cas échéant, de son autorité de protection des données. C'est là qu'il faut vérifier, et nulle part ailleurs.

Répondre à un incident

Un incident se gère mieux quand la conduite à tenir a été écrite avant, à un moment où personne n'était sous pression.

La trame est stable : détecter, qualifier ce qui se passe et ce qui est touché, contenir pour éviter la propagation, communiquer aux personnes concernées, corriger, vérifier que la correction tient, documenter ce qui s'est passé, puis traiter la cause pour que cela ne se reproduise pas.

Deux points s'ajoutent selon les pays : certaines réglementations imposent de notifier une violation de données à une autorité ou aux personnes concernées, dans des délais et des formes qui varient. Cela se vérifie localement, à froid, et non le jour de l'incident.

Dans le contexte africain

Les conditions d'exercice diffèrent fortement d'un pays et d'une ville à l'autre, et il n'existe pas de contexte africain unique.

Sur le plan réglementaire, la situation est hétérogène : certains États ont ratifié la Convention de Malabo, d'autres non ; certains disposent d'une autorité de protection des données opérationnelle, d'autres d'un texte sans autorité, d'autres encore d'aucun cadre spécifique. Le Cadre de politique des données de l'Union africaine cherche précisément à réduire cette dispersion, sans se substituer aux droits nationaux. Un professionnel vérifie donc d'abord ce qui s'applique là où son client exerce.

Sur le plan opérationnel, plusieurs contraintes reviennent dans certains contextes sans être propres au continent : coupures d'électricité qui rendent les sauvegardes automatiques irrégulières, connexion facturée au volume qui décourage les sauvegardes distantes, prédominance du téléphone comme poste de travail principal, usage intensif de la messagerie instantanée pour des échanges professionnels, parc composé d'appareils personnels. Chacune se traite par des mesures adaptées — sauvegarde locale chiffrée en complément d'une copie distante, sensibilisation ciblée sur les messages reçus par téléphone, séparation des comptes professionnels et personnels — et aucune ne se déduit d'une supposée réalité continentale.

Enfin, la disponibilité de compétences en sécurité varie fortement selon les villes. Là où elles sont rares, la bonne stratégie consiste souvent à rendre l'organisation autonome sur quelques gestes essentiels plutôt qu'à installer un dispositif que personne ne saura maintenir.

Ce qu'un professionnel de la sécurité ne promet pas

Aucun spécialiste ne garantit qu'aucun incident ne surviendra. La sécurité absolue n'existe pas, et un prestataire qui la promet décrit un produit qui n'existe pas.

Il ne garantit pas non plus qu'une donnée effacée sera récupérée, qu'un rançongiciel sera déchiffré, qu'un compte compromis sera restitué, ni qu'un fournisseur tiers restera disponible. Il ne vend pas la conformité juridique : celle-ci dépend du droit national et se constate, elle ne s'achète pas.

Ce qu'il engage se vérifie : un inventaire réel, des risques hiérarchisés et expliqués, des mesures proportionnées, des sauvegardes restaurées devant le client, des accès remis en ordre, des équipes sensibilisées, une conduite à tenir écrite en cas d'incident, et une documentation que l'organisation garde.

Une intelligence artificielle peut l'aider à rédiger un rapport, à trier des alertes ou à préparer une session de sensibilisation. Elle peut se tromper, produire une référence inexacte, et ne doit recevoir aucune donnée sensible sans précaution ; la décision et la responsabilité restent celles du professionnel.

Enfin, cet article décrit un métier ; il ne remplace ni un audit ni un avis juridique, et les obligations évoquées varient d'un pays à l'autre.