La transformation numérique et la cybersécurité sont désormais deux enjeux indissociables. C’est l’un des principaux messages de la Semaine nationale de la cybersécurité, « Morocco CyberSecurity Week », organisée du 12 au 14 octobre à Rabat par la Direction générale de la sécurité des systèmes d’information (DGSSI), relevant de l’Administration de la Défense nationale.
Placée sous le thème « La cybersécurité au service de la transformation numérique et du développement », cette rencontre réunit des responsables gouvernementaux, dont des ministres africains, ainsi que des personnalités nationales et internationales. Elle vise notamment à mettre en avant le rôle de la cybersécurité dans l’instauration d’un environnement de confiance nécessaire au développement des usages numériques.
Lors de la séance d’ouverture, Abdeltif Loudyi, ministre délégué auprès du Chef du gouvernement chargé de l’Administration de la Défense nationale, a insisté sur la nécessité de renforcer la protection et la résilience des systèmes d’information nationaux face à l'évolution des menaces numériques. Selon le ministre, les cyberattaques ne constituent plus un risque hypothétique, mais une réalité à laquelle l’ensemble des pays est confronté. Une situation dont les effets sont accentués par le développement de l’intelligence artificielle. Face à ces défis, Abdeltif Loudyi a appelé à une réponse reposant sur une vision nationale structurée autour de plusieurs piliers complémentaires : une stratégie nationale, un cadre juridique et normatif, le développement des compétences, la sensibilisation, le renforcement des capacités de détection et de réponse aux incidents, ainsi que la coopération régionale arabe, africaine et internationale. Le ministre a également rappelé les chantiers engagés ces dernières années par la DGSSI, notamment la généralisation des centres opérationnels de sécurité (SOC), le renforcement des dispositifs de contrôle et d’audit ainsi que la formation des responsables de sécurité. Pour les prochaines étapes, quatre priorités ont été identifiées : la formation des talents, le soutien aux entreprises de l’écosystème national de cybersécurité, la protection des infrastructures d’importance vitale et la prise en compte des défis liés à l’intelligence artificielle. Abdeltif Loudyi a enfin souligné que la cybersécurité exige une vigilance permanente et une mobilisation commune des acteurs publics et privés pour renforcer la résilience collective.
Pour Nouhade Mechkour, directrice ICT d’Orange Maroc, la décision de migrer vers le cloud doit d’abord répondre à une question : quelle valeur ajoutée cette technologie peut-elle apporter à l’activité de l’entreprise ? Elle explique qu’Orange Maroc applique cette approche à ses propres besoins en tant qu’opérateur télécoms, mais également dans l’accompagnement de ses clients en tant que partenaire technologique. Cette démarche repose sur trois critères : la valeur métier, la sensibilité des données et leur maîtrise.
Le premier consiste à évaluer les bénéfices attendus de la migration. Il peut s’agir, par exemple, de faciliter le lancement d’un nouveau service ou d’améliorer sa disponibilité. Le deuxième concerne la criticité des applications et des données. Avant toute migration, l’entreprise doit déterminer les conséquences d’une éventuelle interruption de service et évaluer la sensibilité des informations qui seront hébergées dans le cloud. Le troisième critère porte sur le contrôle des données. Il s’agit notamment de définir les personnes autorisées à y accéder, leur localisation géographique et les risques liés à un éventuel changement de fournisseur. Selon Nouhade Mechkour, l’analyse de ces trois dimensions permet de définir une architecture adaptée et de choisir entre plusieurs modèles d’hébergement : cloud privé, local, public ou hybride.
Les solutions de cloud public peuvent ainsi convenir aux applications nécessitant des capacités importantes et une forte évolutivité, tandis que d’autres environnements peuvent offrir un contrôle plus étroit sur les données et leur visibilité.
La responsable d’Orange Maroc insiste également sur la nécessité de limiter la dépendance à un fournisseur unique de services cloud.
Pour cela, elle recommande de définir un plan de sortie avant même d’engager la migration. Ce dispositif doit notamment préciser les modalités d’un éventuel transfert vers un autre fournisseur, les délais nécessaires et les coûts associés. L’objectif, selon elle, est de permettre aux entreprises d’accélérer leur transformation numérique tout en conservant la maîtrise de leurs données et en garantissant la résilience de leurs systèmes.
Le premier concerne l’application de règles de sécurité cohérentes aux différentes entités et activités du groupe, notamment celles qui interviennent auprès d’autres opérateurs en Afrique. Ces règles sont adaptées à la criticité des systèmes, des charges de travail et des applications déployées dans les environnements cloud.
Le deuxième élément porte sur la définition des rôles et des responsabilités. Mehdi Benamar insiste sur la nécessité d’établir une matrice claire permettant de déterminer les obligations respectives du fournisseur, du client et du régulateur. Cette clarification doit permettre à chaque intervenant de connaître précisément son périmètre de responsabilité dans la protection des systèmes et des données.
Le troisième élément concerne les politiques de sécurité et les mécanismes de contrôle appliqués aux environnements cloud.
Selon le responsable de Maroc Telecom, ces contrôles peuvent être assurés directement par le client, par un partenaire chargé de l’exploitation ou par l’opérateur télécoms. Toutefois, quel que soit le modèle retenu, l’entreprise cliente doit conserver une visibilité sur les contrôles mis en œuvre et disposer d’une vue d’ensemble de son environnement de sécurité.
Placée sous le thème « La cybersécurité au service de la transformation numérique et du développement », cette rencontre réunit des responsables gouvernementaux, dont des ministres africains, ainsi que des personnalités nationales et internationales. Elle vise notamment à mettre en avant le rôle de la cybersécurité dans l’instauration d’un environnement de confiance nécessaire au développement des usages numériques.
Lors de la séance d’ouverture, Abdeltif Loudyi, ministre délégué auprès du Chef du gouvernement chargé de l’Administration de la Défense nationale, a insisté sur la nécessité de renforcer la protection et la résilience des systèmes d’information nationaux face à l'évolution des menaces numériques. Selon le ministre, les cyberattaques ne constituent plus un risque hypothétique, mais une réalité à laquelle l’ensemble des pays est confronté. Une situation dont les effets sont accentués par le développement de l’intelligence artificielle. Face à ces défis, Abdeltif Loudyi a appelé à une réponse reposant sur une vision nationale structurée autour de plusieurs piliers complémentaires : une stratégie nationale, un cadre juridique et normatif, le développement des compétences, la sensibilisation, le renforcement des capacités de détection et de réponse aux incidents, ainsi que la coopération régionale arabe, africaine et internationale. Le ministre a également rappelé les chantiers engagés ces dernières années par la DGSSI, notamment la généralisation des centres opérationnels de sécurité (SOC), le renforcement des dispositifs de contrôle et d’audit ainsi que la formation des responsables de sécurité. Pour les prochaines étapes, quatre priorités ont été identifiées : la formation des talents, le soutien aux entreprises de l’écosystème national de cybersécurité, la protection des infrastructures d’importance vitale et la prise en compte des défis liés à l’intelligence artificielle. Abdeltif Loudyi a enfin souligné que la cybersécurité exige une vigilance permanente et une mobilisation commune des acteurs publics et privés pour renforcer la résilience collective.
Cloud : la sécurité des données au cœur des stratégies de migration
Au-delà des enjeux nationaux de cybersécurité, les discussions ont porté sur les conditions de sécurisation de la transformation numérique des entreprises, notamment à travers le recours aux infrastructures cloud. Un panel consacré au thème « Cloud-Driven Digitalization: What Guarantees for a Trusted and Secure Transformation? » a permis d'examiner les conditions dans lesquelles les entreprises peuvent tirer parti du cloud sans compromettre la sécurité de leurs données, de leurs services et de leurs infrastructures critiques. Les échanges ont notamment abordé la gouvernance, la conformité réglementaire, la gestion des risques, les environnements hybrides et multicloud ainsi que le partage des responsabilités entre fournisseurs de services cloud et entreprises clientes.Pour Nouhade Mechkour, directrice ICT d’Orange Maroc, la décision de migrer vers le cloud doit d’abord répondre à une question : quelle valeur ajoutée cette technologie peut-elle apporter à l’activité de l’entreprise ? Elle explique qu’Orange Maroc applique cette approche à ses propres besoins en tant qu’opérateur télécoms, mais également dans l’accompagnement de ses clients en tant que partenaire technologique. Cette démarche repose sur trois critères : la valeur métier, la sensibilité des données et leur maîtrise.
Le premier consiste à évaluer les bénéfices attendus de la migration. Il peut s’agir, par exemple, de faciliter le lancement d’un nouveau service ou d’améliorer sa disponibilité. Le deuxième concerne la criticité des applications et des données. Avant toute migration, l’entreprise doit déterminer les conséquences d’une éventuelle interruption de service et évaluer la sensibilité des informations qui seront hébergées dans le cloud. Le troisième critère porte sur le contrôle des données. Il s’agit notamment de définir les personnes autorisées à y accéder, leur localisation géographique et les risques liés à un éventuel changement de fournisseur. Selon Nouhade Mechkour, l’analyse de ces trois dimensions permet de définir une architecture adaptée et de choisir entre plusieurs modèles d’hébergement : cloud privé, local, public ou hybride.
Les solutions de cloud public peuvent ainsi convenir aux applications nécessitant des capacités importantes et une forte évolutivité, tandis que d’autres environnements peuvent offrir un contrôle plus étroit sur les données et leur visibilité.
Conformité réglementaire et dépendance aux fournisseurs
La conformité réglementaire constitue un autre volet de la stratégie cloud présentée par Orange Maroc. Pour Nouhade Mechkour, les exigences légales et de sécurité doivent être intégrées dès la conception du projet de migration. L’entreprise prend notamment en compte la loi 09-08 relative à la protection des données personnelles, le cadre applicable de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), ainsi que les exigences en matière de sécurité et de certification des services cloud. Cette approche suppose une coordination entre les équipes juridiques, les responsables de la sécurité et les équipes opérationnelles afin d'intégrer l’ensemble des obligations dès les premières étapes du projet.La responsable d’Orange Maroc insiste également sur la nécessité de limiter la dépendance à un fournisseur unique de services cloud.
Pour cela, elle recommande de définir un plan de sortie avant même d’engager la migration. Ce dispositif doit notamment préciser les modalités d’un éventuel transfert vers un autre fournisseur, les délais nécessaires et les coûts associés. L’objectif, selon elle, est de permettre aux entreprises d’accélérer leur transformation numérique tout en conservant la maîtrise de leurs données et en garantissant la résilience de leurs systèmes.
Multicloud : Maroc Telecom privilégie une répartition claire des responsabilités
La question du partage des responsabilités entre fournisseurs et clients a également été abordée par Mehdi Benamar, responsable de la sécurité des systèmes d’information du groupe Maroc Telecom (Group CISO). Il souligne que les opérateurs télécoms occupent une position particulière dans cet écosystème puisqu’ils peuvent intervenir à la fois comme utilisateurs et comme fournisseurs de services cloud. Dans ce contexte, Maroc Telecom fonde son approche de sécurisation des environnements cloud sur trois éléments : les règles, les rôles et les politiques de contrôle.Le premier concerne l’application de règles de sécurité cohérentes aux différentes entités et activités du groupe, notamment celles qui interviennent auprès d’autres opérateurs en Afrique. Ces règles sont adaptées à la criticité des systèmes, des charges de travail et des applications déployées dans les environnements cloud.
Le deuxième élément porte sur la définition des rôles et des responsabilités. Mehdi Benamar insiste sur la nécessité d’établir une matrice claire permettant de déterminer les obligations respectives du fournisseur, du client et du régulateur. Cette clarification doit permettre à chaque intervenant de connaître précisément son périmètre de responsabilité dans la protection des systèmes et des données.
Le troisième élément concerne les politiques de sécurité et les mécanismes de contrôle appliqués aux environnements cloud.
Selon le responsable de Maroc Telecom, ces contrôles peuvent être assurés directement par le client, par un partenaire chargé de l’exploitation ou par l’opérateur télécoms. Toutefois, quel que soit le modèle retenu, l’entreprise cliente doit conserver une visibilité sur les contrôles mis en œuvre et disposer d’une vue d’ensemble de son environnement de sécurité.
