Identifier les dysfonctionnements pour éviter qu'une situation similaire ne se reproduise. Tel était l'objectif du rapport commandé par le gouvernement à la suite de la panne massive ayant eu lieu le 2 juin sur des équipements d'Orange. Celle-ci avait entraîné l'impossibilité d'appeler les services d'urgence pour de nombreux Français (environ 12 000 appels non acheminés) et pourrait ainsi avoir indirectement engendré plus de six décès, faute d'accès aux secours.
Pas de cyberattaque
L’Agence nationale de la sécurité des systèmes d’information (Anssi) a donc travaillé de concert avec l’Inspection générale de l’administration (IGA), l’Inspection générale des affaires sociales (Igas), le Conseil général de l’économie (CGE) et le Commissariat aux communications électroniques de défense (CCED) pour comprendre les origines de cette panne et évaluer comment Orange l'avait gérée. « Il y a eu des insuffisances de la part de l'entreprise », a d'emblée indiqué Cédric O, le secrétaire d'Etat chargé de la Transition numérique et des Communications électroniques, jeudi 22 juillet.
Ce dernier précise tout d'abord que les entretiens menés au cours des dernières semaines ont permis de confirmer avec certitude que cette panne n'était pas due à une cyberattaque, mais à un bug logiciel survenu lors d’une opération de maintenance sur un équipement du réseau téléphonique. Concrètement, le dysfonctionnement provenait des six « call servers » de l'opérateur, des passerelles qui permettent de réaliser les interconnexions entre le monde IP et le réseau téléphonique commuté (RTC).
Une réaction trop lente
Trois facteurs auraient provoqué la panne en question : des manipulations techniques effectuées sur l'un de ces call servers « dans un ordre inhabituel », le fait d'avoir répliqué ces manipulations sur l'ensemble des call servers quelques minutes plus tard, puis un bug apparu sur un équipement fourni par le prestataire Italtel. Le rapport souligne que l'ordre d'exécution des commandes est « une erreur d'Orange », qui aurait de toute façon conduit à des appels en échecs, mais avec une ampleur bien moindre. Ainsi, le bug logiciel coupable d'un si grand nombre d'appels non acheminés « n'est pas la responsabilité » de l'opérateur.
Néanmoins, d'autres reproches ont été faits à l'entreprise, notamment concernant sa gestion de la crise. En effet, les responsables du rapport ont pointé du doigt une « réactivité insuffisante avec une prise en considération tardive de la problématique des numéros d’urgence ». Interrogé à l'Assemblée nationale le 16 juin, le PDG d'Orange Stéphane Richard l'avait déjà reconnu : « l'activation des cellules de crise a été trop lente ». Il avait d'ailleurs indiqué que l'inspection interne avait préconisé que le délai soit ramené de 2 heures à 30 minutes pour les pannes concernant les services d'urgence.
Un exercice sous six mois
Le rapport dénonce également « l’absence de procédures de tests avant la mise en production lors des manipulations réalisées », « l’incapacité d’Orange à jouer un rôle de conseil dans l’appréhension technique de la crise auprès des autorités publiques » et encore « l’absence d’un dispositif national dédié à ces numéros spécifiques ». Le gouvernement a ainsi décidé de saisir l'Arcep (le régulateur des télécoms) dans les prochains jours afin d'étudier les suites, potentiellement judiciaires, à donner à cet incident.
Plusieurs recommandations ont été transmises au gouvernement afin d'éviter qu'une telle situation ne se reproduise. En conséquence, ce dernier prévoit notamment de modifier d'ici à fin 2021 le cadre réglementaire « afin de renforcer les obligations de résilience et de sécurité applicables aux opérateurs de communications électroniques en matière d’acheminement des appels d’urgence ». Dès cet été, les opérateurs devront appliquer un plan d'actions concret, dont les mesures seront rapidement définies, et un exercice de crise sera organisé au cours des six prochains mois.
