Durant le mois d’octobre 2022 l’Autorité de Régulations des Télécommunications et des Postes a été victime d’un piratage de données à hauteur de 149 Go.
La quantité de données piratées n’est pas le plus important, mais plutôt la nature des données volées, et l’image que renvoi un tel acte vis-à-vis d’une agence aussi importante que l’ARTP.
Seule la nature des données volées peut déterminer l’impact de risque sur cet incident.
Cet incident est un phénomène récurrent dans le monde du digital et aucun système n’est à l’abri, car il n’y a aucune garantie de sécurité offrant une protection de sécurité à 100%.
Dans ce contexte nous faisons face à une violation de données manifeste, car il s’agit de divulgation non autorisée de données, et d’accès non autorisé à ces données.
D’autres techniques de piratage peuvent bien être utilisées pour bloquer tout le système et le rendre complètement indisponible.
Différents types de vulnérabilités peuvent apparaitre lors d’une attaque entre autres.
Au niveau infrastructurel :
• Absence de base de données centrale où les données sont classées et stockées.
• La non mise en place des droits d’accès et leur contrôle sur les serveurs de base de données.
• Utiliser un cloud en dehors de notre contrôle : Vérifier les mesures de sécurité, valider les termes et conditions, risque que le fournisseur disparaisse, vol, changements de formats.
• Ne pas respecter le changement des standards matériels tous les 3 ans – 5 ans,
La liste est loin d’être exhaustive.
Mais Il est important de savoir ce que l’utilisateur fait dans l’environnement informatique (phénomène de la menace interne : insider threat)
De plus, le fait de savoir où résident les données sensibles et qui y accède aidera à déterminer l’étendue d’une atteinte à la vie privée et quels dossiers pourraient avoir été compromis.
Le renforcement de la protection des données personnelles devient un enjeu stratégique dans le monde. Le Sénégal pourrait mieux saisir son importance au moment où la vie de la population se numérise de plus en plus.
Et pourtant le Sénégal veut faire de l’économie numérique un facteur de croissance.
Les données sont les nouvelles matières premières de la nouvelle économie numérique mondiale qui permet de les collecter, analyser et exploiter.
Qu’en est-il de la sécurité requise pour les données personnelles et données sensibles au Sénégal ?
Nous devons à la vérité de reconnaitre que la Gestion de la Sécurité des Systèmes D’information est une partie intégrante du Business, et doit être une entité autonome et non une mission dans un département de gestion d’infrastructures informatique.
De l’existant il nous faut aller vers une consolidation avec une Agence Nationale indépendante et autonome de la Sécurité des Systèmes D’information avec de la compétence en ressources humaines ayant une expérience terrain et pratique.
Sa mission sera d’assurer la gouvernance de la stratégie de sécurité des systèmes d’information de l’état, des directions et entités sous tutelles, de la sécurité des actifs et des personnes et de prêter main forte au secteur privé.
Ceci doit être inscrit dans le plan Sénégal émergent, c’est une nécessité absolue de disposer d’une Agence de Sécurité nationale des systèmes d’information qui devra dessiner la politique de sécurité et sa mise en application, condition essentielle pour une transformation digitale réussie.
Seule une organisation bien établie nous permettra d’assurer une bonne sécurité de nos données personnelles, sensibles et stratégiques.
L’agence devrait être au premier plan pour la gestion de crise et l’analyse d’impact suite aux différentes attaques des deux prestigieuses agences au Sénégal : l’ARTP et l’ASECNA.
Combien de sociétés nationales ont eu recours à un cloud étranger pour stocker des données stratégiques et sensibles du Sénégal, sans au préalable effectuer une évaluation de sécurité, et s’assurer aussi de la conformité par rapport aux lois en vigueur bien établie au niveau de commission à la protection des données (CDP).
Aussi il existe un risque de souveraineté bien évident, des données biométriques des sénégalais collecter au niveau des ambassades lors des demandes de visa, sans avoir en retour le principe du droit à l’information s’agissant de la durée de conservation, et surtout de la finalité.
Pour être à jour dans l’ère du numérique, une politique de réforme suivie nous est indispensable.
L’investissement dans la préparation des collaborateurs est le meilleur moyen de
protéger les organisations. Le facteur humain joue un rôle clé pour assurer la cyber résilience.
Comme disait Barbara Engels, la cybersécurité est déterminante pour la réussite de la transformation numérique. On ne peut exploiter tout le potentiel des technologies numériques que si les institutions, les entreprises et les particuliers peuvent se reposer sur la sécurité de leurs données et des systèmes.
Babacar Charles Ndoye – CEO Cellule Group
Expert GRC (Governance – Risk – Compliance)
