Après plusieurs cyberattaques majeures ayant touché les systèmes d’information de l’administration française, le gouvernement durcit sa stratégie de cybersécurité. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) dispose désormais d’un mécanisme lui permettant d’imposer rapidement des mesures techniques aux ministères concernés et de centraliser la gestion des crises cyber.
REACTIV donne à l’ANSSI un pouvoir d’intervention renforcé
À la demande de Matignon, l’ANSSI a activé un nouveau dispositif opérationnel baptisé REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données ».
Ce mécanisme marque une évolution importante dans la gouvernance informatique de l’État. Jusqu’à présent principalement chargée d’accompagner, de conseiller et de coordonner les administrations en matière de cybersécurité, l’ANSSI bénéficie désormais d’un véritable pouvoir d’injonction en situation de crise.
Selon l’Agence, ces nouvelles prérogatives offrent « la possibilité pour l’Agence de faire prendre aux ministères, dans des délais contraints, les mesures immédiates qui s’imposent pour protéger les données des citoyens confiées aux administrations ».
Concrètement, l’ANSSI pourra demander aux ministères concernés d’appliquer des mesures techniques dans des délais déterminés afin de stopper une intrusion, limiter une fuite de données ou empêcher sa propagation.
Une communication de crise centralisée
REACTIV prévoit également de centraliser la communication technique lors des incidents majeurs. L’ANSSI devient ainsi l’interlocuteur central pour les aspects techniques des crises touchant les ministères et les agences de l’État.
Cette organisation doit permettre de réduire les délais de réaction et d’éviter une gestion fragmentée entre plusieurs administrations.
« Il y a urgence à concevoir et conduire sans délai une réponse opérationnelle plus réactive et plus forte aux cyberattaques que l’Etat rencontre actuellement », avait récemment écrit Sébastien Lecornu à l’ANSSI, appelant à renforcer la réponse aux incidents survenus durant l’été.
Les incidents de la DGFiP accélèrent la réaction de l’État
La mise en place de REACTIV intervient après plusieurs compromissions importantes, notamment celles ayant touché la Direction générale des Finances publiques (DGFiP).
La triple compromission de la DGFiP a entraîné l’exposition des données de 678 000 usagers. Le piratage de l’Agence nationale des titres sécurisés (ANTS) a également illustré les vulnérabilités auxquelles sont confrontés certains systèmes publics.
Ces affaires ont notamment mis en évidence des faiblesses dans la gestion des accès et des identifiants, alors que les administrations manipulent quotidiennement des volumes considérables de données personnelles et fiscales.
Le Premier ministre a accordé un ultimatum de quinze jours aux administrations afin d’accélérer leur mise en conformité et le renforcement de leurs dispositifs de sécurité.
Pour le gouvernement, les difficultés ne proviennent pas uniquement de systèmes informatiques vieillissants ou d’une dette technique accumulée. Elles concernent également certaines pratiques élémentaires de sécurité numérique.
« Globalement, on avait une maison qui était bien fermée, avec une porte blindée bien fermée, serrure deux points […] malheureusement, la clé a été mise sous le paillasson », avait ainsi résumé Sébastien Lecornu.
MFA et clés de sécurité matérielles généralisées
La création de REACTIV s’accompagne d’une transformation plus large de l’architecture numérique gouvernementale. Un budget de 200 millions d’euros doit soutenir cette évolution, parallèlement à la fusion programmée de la DINUM et de la DITP.
Authentification renforcée pour les administrateurs
Parmi les mesures prioritaires figure le déploiement de l’authentification multifacteur (MFA) pour l’ensemble des administrateurs système avant la fin de l’année.
Cette technologie ajoute une étape de vérification à l’utilisation traditionnelle d’un identifiant et d’un mot de passe. Elle permet notamment de limiter les conséquences du vol ou de la compromission d’identifiants.
Pour les autres agents, les autorités souhaitent également renforcer la protection contre les attaques reposant sur l’ingénierie sociale. Le gouvernement prévoit notamment une généralisation des clés de sécurité matérielles, souvent présentées sous la forme de dispositifs USB.
Une nouvelle doctrine de cybersécurité pour l’administration
Des interrogations demeurent toutefois concernant le financement et le déploiement opérationnel de certaines mesures. Le coût de la généralisation des clés matérielles à l’ensemble des agents de l’État ne semble notamment pas être entièrement couvert par l’enveloppe budgétaire initialement annoncée.
Au-delà des moyens financiers, la réussite du dispositif dépendra aussi de la capacité des administrations à appliquer rapidement les directives techniques et à moderniser leurs infrastructures.
Avec REACTIV, l’État français privilégie désormais une organisation plus centralisée de la réponse aux cyberattaques. En donnant à l’ANSSI la possibilité d’imposer des mesures immédiates et en instaurant un commandement technique unique lors des incidents majeurs, le gouvernement entend réduire le délai entre la détection d’une brèche et sa neutralisation, tout en renforçant la protection des données confiées aux services publics.
Alexandre Dumas est rédacteur pour Paris Tribune. Il suit l’actualité nationale et internationale, ainsi que les sujets liés à l’économie, aux entreprises, à la technologie et à la société. Il s’attache à fournir une information claire, fiable et utile, en mettant en perspective les événements qui comptent pour les lecteurs.