Cybersécurité : le Maroc bien classé au Maghreb et en Afrique, mais ce n'est pas suffisant

Alors que les entreprises s'inscrivent dans une nouvelle dynamique de transformation, elles sont confrontées à de nouveaux défis, dont la lutte contre les cyberattaques. Il s’agit d’un phénomène qui n'épargne aucune organisation, quelle que soit sa taille. Par conséquent, une bonne gouvernance du risque numérique est désormais centrale pour gagner en agilité. Les États comme le Maroc et ses acteurs économiques l’ont bien compris.

Selon un récent classement de MixMode, entreprise de référence dans le domaine de la cybersécurité, le Royaume parvient à consolider sa position de leader régional en matière de cybersécurité en occupant la 55e position sur 77 pays audités. Il se hisse à la première place du Maghreb et à la troisième en Afrique. Une performance jugée remarquable par les rédacteurs du rapport qui ont mis en avant les importants efforts entrepris pour renforcer sa sécurité numérique et protéger ses citoyens et ses entreprises contre les cybermenaces croissantes. Il s’agit de la Stratégie nationale en matière de cybersécurité, de l'infrastructure numérique mise en place, des campagnes de sensibilisation relatives aux enjeux de la cybersécurité et de la mise en place de programmes efficaces.

Et de préciser que le Maroc s'affirme comme un modèle à suivre dans la lutte contre les cybermenaces tant qu’il continue à investir dans la sécurité numérique et à sensibiliser l'ensemble des acteurs aux enjeux qui touchent ce domaine.



Dans ce rapport, MixMode insiste sur l’importance d’agir pour mieux appréhender la complexité du paysage de la cybersécurité au niveau national et international. Les concepteurs du rapport invitent, en outre, les entreprises qui font face à de grands risques de cybermenaces de renforcer davantage les efforts afin de réduire les risques qui menacent la sécurité et l'économie nationales.

Le classement MixMode est une référence dans le domaine de la cybersécurité. Il s’appuie sur 4 indicateurs, à savoir l'Indice national de cybersécurité, l'Indice mondial de cybersécurité, l'Indice de cyberexposition et l'Indice de cyberrésilience. Chaque pays est classifié selon son score général : 60,55 points pour le Royaume (70,13 points pour l’Indice national de cybersécurité, 25,2 pour l’Indice mondial de cybersécurité, 82,41 pour l’Indice de cyberexposition et 74,05 pour l’Indice de cyberrésilience.

Le Matin : Quels sont les principaux défis en matière de cybersécurité auxquels les entreprises doivent se préparer ?

Reda Bakkali : Les entreprises font face à plusieurs menaces en matière de cybersécurité pour protéger leurs systèmes, leurs données et leur réputation : les menaces et vulnérabilités technologiques d’une part, et les menaces liées à la gestion des risques et à la conformité d’autre part.

Faire face à ces menaces présuppose un certain nombre de défis à relever : ils sont d’ordre technologique, organisationnel et humain. Il est d’abord nécessaire d’être bien outillé pour faire face à une menace qui ne cesse d’évoluer, de se complexifier et de s’intensifier, en adoptant une approche de sécurité en profondeur. Ajouter à cela la nécessité de développer une solidité et une compréhension organisationnelles pour gérer les risques liés aux systèmes, aux personnes, aux actifs, aux données et aux capacités. Enfin, il convient de se doter et/ou de former les ressources humaines nécessaires [internes et/ou externes] à même d’orchestrer le dispositif de prévention et de réponses aux menaces et incidents. Ces trois éléments constituent un triptyque indissociable et complémentaire. Relever ces défis doit permettre aux entreprises, non seulement d’être protégées, mais également de se montrer résilientes en termes de reprise et de continuité d’activité en cas d’attaque.

C’est, aujourd’hui, la raison d’être d’une entreprise comme Cyberforces, qui accompagne ses clients pour développer leur posture de sécurité autour de ces 3 aspects fondamentaux.

Pensez-vous que les entreprises marocaines sont en mesure de faire face aux potentielles attaques de cybersécurité ?

Même si la maturité face au sujet peut différer en fonction des entreprises et des secteurs, la réponse est clairement «oui». La technologie est aujourd’hui mondialisée et le Maroc a accès aux mêmes outils que n’importe quel autre pays sur la planète. Par ailleurs, nous disposons d’excellentes ressources humaines sur le plan qualitatif. Le principal défi réside dans la volumétrie disponible et l’adéquation entre l’offre et la demande. Quant au volet organisationnel, il existe aujourd’hui des cadres de travail standardisés et normalisés qui offrent aux entreprises marocaines la possibilité de se conformer aux meilleures pratiques en la matière. On peut notamment citer le cadre de la cybersécurité du National Institute of Standards and Technology [NIST] qui est une structure de gestion des risques conçue pour aider les organisations à gérer et à réduire les risques de cybersécurité. Il est basé sur des normes, des directives et des pratiques reconnues à l’échelle internationale.

Par ailleurs, la Direction générale de la sécurité des systèmes d’information du Maroc joue un rôle fondamental dans la veille, l’accompagnement et l’encadrement des établissements marocains (a fortiori ceux considérés comme étant «d’intérêt vital») dans la gestion des risques liés à la cybersécurité.

Les entreprises marocaines disposent donc de l’ensemble des prérequis pour faire face aux potentielles attaques de cybersécurité. Il reste le défi de la prise de conscience des menaces qui planent, qui sous-tendent, par exemple, des limitations budgétaires entravant les efforts de protection et de résilience cyber. Les experts internationaux s’accordent à dire qu’il faut en moyenne consacrer entre 7 et 10% a minima du budget IT à la cybersécurité. Je considère, quant à moi, que c’est toujours trop peu.

Quels seraient les éléments clés à surveiller pour mieux prévenir les cyberrisques ?

Les principaux éléments clés sont le renforcement des mécanismes de défense (à travers le triptyque mentionné précédemment), la mise en place d’une véritable politique de continuité des activités en cas d’attaque, ainsi que la formation et la sensibilisation des employés. Je souhaiterais m’attarder sur les 2 derniers points. Il arrive souvent que les entreprises privilégient le renforcement du dispositif de sécurité afin de rendre imperméable leur surface d’attaque. Cette priorisation, aussi louable soit-elle, fait néanmoins peser le risque d’occulter le volet de la résilience. En effet, la protection totale et en tout temps est un mythe, et le risque zéro n’existe pas. L’actualité récente le démontre, avec des multinationales, opérant même dans le secteur de la cybersécurité, qui ont subi des attaques ayant donné lieu à une fuite des données par exemple. C’est pour cette raison qu’il est important de se doter d’une politique de reprise et de continuité des activités, car dans le cas contraire, c’est toute l’activité de l’entreprise qui est paralysée, avec toutes les conséquences que cela peut induire (opérationnelles, financières, réputationnelles, etc.)

Par ailleurs, il convient de noter que la première menace, aujourd’hui, provient de l’individu peu formé et/ou sensibilisé, qui peut constituer, sans le vouloir, une brèche dans sa propre entreprise. Il faut former régulièrement les employés sur les meilleures pratiques de la cybersécurité, y compris la reconnaissance des tentatives de phishing (hameçonnage) et des techniques d’ingénierie sociale (l’attaque au président étant parmi les plus connues). Une main d’œuvre informée est une première ligne de défense cruciale contre les cyberattaques.

L’intelligence artificielle peut-elle venir en aide à la cyberdéfense ou le contraire ?

L’intelligence artificielle (IA) est à la fois une formidable opportunité de renforcer la cyberdéfense, mais également une menace complexe, imprévisible, et encore peu appréhendée. Une étude récente met en lumière 3 cas d’usage intéressants pour lesquels l’IA peut se révéler être un véritable atout en termes de cybersécurité : permettre aux analystes d’effectuer des tâches avancées plus rapidement, une détection et réponse plus rapides aux menaces, et l’assistance pour une prise de décision plus efficace. Quant aux menaces, comme je l’ai dit, elles sont à la fois multiples et imprévisibles. L’IA est capable d’augmenter, d’accélérer, de densifier et de complexifier tout ce que le pirate informatique est capable de faire aujourd’hui : des Malwares au vol de données, en passant par le Deepfake (désinformation et usurpation d’identités) et l’ingénierie sociale. Elle impose, par conséquent, de renforcer les compétences, mais aussi l’appréhension des défis et menaces qui en découlent : les orientations sur l'éthique de l'IA et la protection des données, la confidentialité et la conformité, mais également les aspects liés à la gouvernance ou encore à l’intelligence face aux menaces. À ce titre, un moratoire international sur l'intelligence artificielle a été discuté et mis en avant par plusieurs instances et experts mondiaux en raison des risques potentiels pour les droits de l'Homme et la sécurité. En mars 2024, l'Assemblée générale des Nations unies a adopté une résolution historique visant à promouvoir des systèmes d'intelligence artificielle sûrs, sécurisés et dignes de confiance, tout en respectant les droits de l'Homme. Cette résolution a été soutenue par plus de 120 États membres et met l'accent sur l'importance de la réglementation de l'IA pour garantir son utilisation responsable et éthique.

Quelles sont les leçons à retenir pour se prémunir efficacement contre des failles de cybersécurité ?

La principale leçon à retenir est qu’une entreprise avertie en vaut deux. La cybersécurité exige une approche à la fois préventive, multidimensionnelle, rigoureuse, organisée et rationnelle. Il ne sert à rien, en effet, de multiplier l’acquisition de solutions technologiques, si l’on ne dispose ni d'hommes, ni d'organisations adéquates à même de planifier, surveiller, détecter et répondre aux menaces.

Il ne faut, également, pas hésiter à s’entourer et à collaborer avec des experts et des communautés de cybersécurité pour évaluer et renforcer les défenses de l’entreprise, tout en partageant les menaces et les meilleures pratiques en la matière. C’est exactement en ce sens que Cyberforces agit auprès de ses clients pour prodiguer des conseils et apporter des évaluations agnostiques par rapport à leur posture de sécurité, tout en encourageant une approche favorisant la résilience et l’implication des collaborateurs à travers la formation et la sensibilisation. La cybersécurité est l’affaire de tous, et non pas seulement celle des équipes informatiques.