Connexion
Le Matin : Après la CNSS, Tawtik, puis le ministère de la Justice, la série d’intrusions revendiquées par Jabaroot DZ alerte l’opinion publique. En tant qu’expert, comment analysez-vous ce ciblage systématique des infrastructures numériques sensibles du Maroc ?
Youssef Bentaleb : Je pense que ce ciblage répété n’est pas négligeable. Il s’inscrit dans une stratégie offensive visant à tester la résilience des infrastructures publiques marocaines. Le fait que ces attaques soient revendiquées montre également une volonté de déstabilisation symbolique : attaquer des entités stratégiques comme la CNSS ou des ministères ou certaines institutions sensibles, c’est envoyer un message politique autant que technique. En tout cas, il est clair que ce genre de cyberattaques révèle des vulnérabilités structurelles et une coordination défensive encore trop hétérogène. Le Maroc est clairement dans le viseur d'acteurs hostiles, probablement bien organisés, qui exploitent certaines failles d’une transition numérique encore incomplète sur le plan de la cybersécurité, ou encore des systèmes d’information de faible maturité.
Ces attaques ne visent pas seulement des plateformes techniques, mais touchent des données personnelles de citoyens et de magistrats. Quel est le risque réel derrière cette exposition de données à l’échelle nationale ?
Le risque posé par ces fuites de données est multiple. À l’échelle individuelle, elles peuvent exposer les citoyens à des formes graves de préjudice, telles que le chantage, l’usurpation d’identité ou l’atteinte à la réputation. Au niveau institutionnel, elles fragilisent la crédibilité des institutions en termes de capacité à protéger les données des citoyens, en particulier celles liées au système judiciaire y compris les professionnels de la Justice. Sur le plan national, ces données peuvent être exploitées à des fins de désinformation, d’ingérence ou d’espionnage.
L’exposition d’informations sensibles concernant des magistrats ou des hauts responsables constitue une faille stratégique majeure, susceptible d’être instrumentalisée pour exercer des pressions ou des manipulations, menaçant ainsi la souveraineté des données de l’État.
Le Maroc a engagé une stratégie de digitalisation accélérée dans différents secteurs. Ce mouvement s’accompagne-t-il, selon vous, d’un renforcement suffisant des mécanismes de sécurité numérique ?
Malheureusement le rythme rapide de digitalisation des secteurs d’activités au Maroc y compris les secteurs des services publics, bien que nécessaire, dépasse souvent celui du renforcement des capacités de cybersécurité. Il existe un décalage entre ambition technologique et maturité sécuritaire. Trop souvent, la sécurité est perçue comme un coût ou une contrainte, alors qu’elle devrait être une condition préalable à tout projet numérique. C’est la sécurité By designe qui est nécessaire, c’est-à-dire intégrer la cybersécurité dès les premières étapes de la conception d'un produit, d'un service ou d'un système numérique. Je pense qu’au Maroc, la maturité en matière de cybersécurité dans les secteurs publics n'est pas de même niveau, certains départements ministériels ont fait des progrès, mais d'autres accusent un retard préoccupant.
Existe-t-il aujourd’hui une architecture marocaine unifiée de cybersécurité publique ? Ou bien sommes-nous encore dans une approche fragmentée où chaque organisme tente de se défendre seul ?
Le Maroc dispose d’un cadre juridique et organisationnel en matière de cybersécurité, structuré notamment depuis l’adoption de la loi 05-20 relative à la protection des systèmes d’information des organisations d’importance vitale. Des efforts notables de centralisation ont été engagés, en particulier à travers la Direction générale de la sécurité des systèmes d’information (DGSSI), chargée d’accompagner ces structures dans la mise en œuvre de politiques de cybersécurité conformes aux standards internationaux. Toutefois, le paysage national demeure assez fragmenté: en pratique, chaque organisme agit de manière autonome, avec ses propres outils, prestataires et protocoles. Je pense que cette approche impacte la résilience collective et limite l’efficacité globale de la réponse nationale face aux cybermenaces croissantes.
Quelles seraient, selon vous, les priorités urgentes à mettre en œuvre au niveau national pour anticiper, prévenir et contenir ce type d’attaques ?
Face à l’ampleur croissante des menaces cybernétiques, plusieurs priorités urgentes doivent être mises en œuvre. En premier lieu, des audits de sécurité réguliers doivent être rendus obligatoires pour l’ensemble des administrations, des entreprises publiques ainsi que leurs prestataires ayant accès aux systèmes d’information, avec des mécanismes clairs de responsabilisation et de sanctions en cas de manquements. Parallèlement, une formation à large échelle des responsables et du personnel en charge des systèmes numériques est indispensable, fondée sur une approche de «cyber-hygiène», afin de renforcer la culture de cybersécurité et la capacité de réaction face aux incidents. Il est également crucial que le Maroc développe ses propres capacités de cyberdéfense active, incluant des dispositifs de veille, des simulations d’attaques réalistes et des équipes d’intervention rapide. Enfin, l’interconnexion du centre national de réponse aux incidents (maCERT) avec les CERT sectoriels doit être renforcée pour garantir une réponse coordonnée et efficace à l’échelle nationale.
Ces dernières fuites pointent du doigt la question de la souveraineté numérique. Le Maroc dépend-il encore trop de technologies étrangères dans la gestion de ses systèmes critiques ?
Absolument, c’est un point stratégique. Les infrastructures critiques du Maroc dépendent encore majoritairement de technologies étrangères, souvent propriétaires et peu transparentes, ce qui réduit considérablement la marge d’audit indépendant, d’autonomie opérationnelle et de souveraineté en cas de crise. Cette vulnérabilité appelle à une réaction stratégique forte : il est impératif de développer un écosystème national de cybersécurité, en s’appuyant sur l’innovation locale, startups, centres de recherche, et solutions open-source, et de promouvoir activement la souveraineté numérique, en renforçant la maîtrise nationale des services d’identité, des infrastructures cloud souveraines et des systèmes de chiffrement essentiels.
Enfin comment renforcer la confiance des citoyens après de telles incidents ? Et que recommandez-vous concrètement aux institutions, mais aussi aux citoyens et aux entreprises marocaines, pour s’armer contre la prochaine vague d’attaques numériques ?
La confiance ne se décrète pas : elle se reconstruit par la transparence, la compétence et la rigueur. Pour les institutions, cela passe par une communication claire, la reconnaissance des failles, la présentation des mesures correctives et l’abandon de toute posture de déni. Du côté des citoyens, il est essentiel de renforcer la sensibilisation à la gestion de leurs données personnelles et de promouvoir des pratiques numériques sécurisées, telles que l’usage de mots de passe robustes, l’authentification à double facteur et le signalement des incidents. Quant aux entreprises, elles doivent se conformer à des normes de cybersécurité obligatoires et intégrer pleinement ces enjeux dans leur gouvernance. Plus largement, il est crucial de faire émerger une véritable culture nationale de la cybersécurité, ancrée dès l’école, relayée par les médias et consolidée dans les parcours de formation professionnelle. Ce chantier structurant est indispensable pour renforcer la résilience du Maroc numérique.
Youssef Bentaleb : Je pense que ce ciblage répété n’est pas négligeable. Il s’inscrit dans une stratégie offensive visant à tester la résilience des infrastructures publiques marocaines. Le fait que ces attaques soient revendiquées montre également une volonté de déstabilisation symbolique : attaquer des entités stratégiques comme la CNSS ou des ministères ou certaines institutions sensibles, c’est envoyer un message politique autant que technique. En tout cas, il est clair que ce genre de cyberattaques révèle des vulnérabilités structurelles et une coordination défensive encore trop hétérogène. Le Maroc est clairement dans le viseur d'acteurs hostiles, probablement bien organisés, qui exploitent certaines failles d’une transition numérique encore incomplète sur le plan de la cybersécurité, ou encore des systèmes d’information de faible maturité.
Ces attaques ne visent pas seulement des plateformes techniques, mais touchent des données personnelles de citoyens et de magistrats. Quel est le risque réel derrière cette exposition de données à l’échelle nationale ?
Le risque posé par ces fuites de données est multiple. À l’échelle individuelle, elles peuvent exposer les citoyens à des formes graves de préjudice, telles que le chantage, l’usurpation d’identité ou l’atteinte à la réputation. Au niveau institutionnel, elles fragilisent la crédibilité des institutions en termes de capacité à protéger les données des citoyens, en particulier celles liées au système judiciaire y compris les professionnels de la Justice. Sur le plan national, ces données peuvent être exploitées à des fins de désinformation, d’ingérence ou d’espionnage.
L’exposition d’informations sensibles concernant des magistrats ou des hauts responsables constitue une faille stratégique majeure, susceptible d’être instrumentalisée pour exercer des pressions ou des manipulations, menaçant ainsi la souveraineté des données de l’État.
Le Maroc a engagé une stratégie de digitalisation accélérée dans différents secteurs. Ce mouvement s’accompagne-t-il, selon vous, d’un renforcement suffisant des mécanismes de sécurité numérique ?
Malheureusement le rythme rapide de digitalisation des secteurs d’activités au Maroc y compris les secteurs des services publics, bien que nécessaire, dépasse souvent celui du renforcement des capacités de cybersécurité. Il existe un décalage entre ambition technologique et maturité sécuritaire. Trop souvent, la sécurité est perçue comme un coût ou une contrainte, alors qu’elle devrait être une condition préalable à tout projet numérique. C’est la sécurité By designe qui est nécessaire, c’est-à-dire intégrer la cybersécurité dès les premières étapes de la conception d'un produit, d'un service ou d'un système numérique. Je pense qu’au Maroc, la maturité en matière de cybersécurité dans les secteurs publics n'est pas de même niveau, certains départements ministériels ont fait des progrès, mais d'autres accusent un retard préoccupant.
Existe-t-il aujourd’hui une architecture marocaine unifiée de cybersécurité publique ? Ou bien sommes-nous encore dans une approche fragmentée où chaque organisme tente de se défendre seul ?
Le Maroc dispose d’un cadre juridique et organisationnel en matière de cybersécurité, structuré notamment depuis l’adoption de la loi 05-20 relative à la protection des systèmes d’information des organisations d’importance vitale. Des efforts notables de centralisation ont été engagés, en particulier à travers la Direction générale de la sécurité des systèmes d’information (DGSSI), chargée d’accompagner ces structures dans la mise en œuvre de politiques de cybersécurité conformes aux standards internationaux. Toutefois, le paysage national demeure assez fragmenté: en pratique, chaque organisme agit de manière autonome, avec ses propres outils, prestataires et protocoles. Je pense que cette approche impacte la résilience collective et limite l’efficacité globale de la réponse nationale face aux cybermenaces croissantes.
Quelles seraient, selon vous, les priorités urgentes à mettre en œuvre au niveau national pour anticiper, prévenir et contenir ce type d’attaques ?
Face à l’ampleur croissante des menaces cybernétiques, plusieurs priorités urgentes doivent être mises en œuvre. En premier lieu, des audits de sécurité réguliers doivent être rendus obligatoires pour l’ensemble des administrations, des entreprises publiques ainsi que leurs prestataires ayant accès aux systèmes d’information, avec des mécanismes clairs de responsabilisation et de sanctions en cas de manquements. Parallèlement, une formation à large échelle des responsables et du personnel en charge des systèmes numériques est indispensable, fondée sur une approche de «cyber-hygiène», afin de renforcer la culture de cybersécurité et la capacité de réaction face aux incidents. Il est également crucial que le Maroc développe ses propres capacités de cyberdéfense active, incluant des dispositifs de veille, des simulations d’attaques réalistes et des équipes d’intervention rapide. Enfin, l’interconnexion du centre national de réponse aux incidents (maCERT) avec les CERT sectoriels doit être renforcée pour garantir une réponse coordonnée et efficace à l’échelle nationale.
Ces dernières fuites pointent du doigt la question de la souveraineté numérique. Le Maroc dépend-il encore trop de technologies étrangères dans la gestion de ses systèmes critiques ?
Absolument, c’est un point stratégique. Les infrastructures critiques du Maroc dépendent encore majoritairement de technologies étrangères, souvent propriétaires et peu transparentes, ce qui réduit considérablement la marge d’audit indépendant, d’autonomie opérationnelle et de souveraineté en cas de crise. Cette vulnérabilité appelle à une réaction stratégique forte : il est impératif de développer un écosystème national de cybersécurité, en s’appuyant sur l’innovation locale, startups, centres de recherche, et solutions open-source, et de promouvoir activement la souveraineté numérique, en renforçant la maîtrise nationale des services d’identité, des infrastructures cloud souveraines et des systèmes de chiffrement essentiels.
Enfin comment renforcer la confiance des citoyens après de telles incidents ? Et que recommandez-vous concrètement aux institutions, mais aussi aux citoyens et aux entreprises marocaines, pour s’armer contre la prochaine vague d’attaques numériques ?
La confiance ne se décrète pas : elle se reconstruit par la transparence, la compétence et la rigueur. Pour les institutions, cela passe par une communication claire, la reconnaissance des failles, la présentation des mesures correctives et l’abandon de toute posture de déni. Du côté des citoyens, il est essentiel de renforcer la sensibilisation à la gestion de leurs données personnelles et de promouvoir des pratiques numériques sécurisées, telles que l’usage de mots de passe robustes, l’authentification à double facteur et le signalement des incidents. Quant aux entreprises, elles doivent se conformer à des normes de cybersécurité obligatoires et intégrer pleinement ces enjeux dans leur gouvernance. Plus largement, il est crucial de faire émerger une véritable culture nationale de la cybersécurité, ancrée dès l’école, relayée par les médias et consolidée dans les parcours de formation professionnelle. Ce chantier structurant est indispensable pour renforcer la résilience du Maroc numérique.
