«Sans fondamentaux de sécurité informatique, tout ce que l'on construit repose sur du sable», selon Damien Alexandre

Le Grand Cognac, Sarrebourg et la métropole d'Aix-Marseille-Provence ont récemment subi une attaque informatique. Ces collectivités ont été sommées de payer une rançon, ce qu'elles n'ont pas fait, pour décrypter leurs données. Comment éviter cela ?

La première étape est de mettre en place les fondamentaux. Il faut d'abord établir une politique de sauvegarde. Quelles données sauvegarde-t-on, à quelle fréquence et combien de temps sont-elles conservées ? J'applique la règle du « 3-2-1-0 » : trois jeux de données (un en production et deux sauvegardes), deux sauvegardes sur deux supports différents, une sauvegarde externalisée pour faire face au risque de cambriolage ou d'incendie et zéro défaut.

A minima une fois par an, il faut vérifier que la sauvegarde fonctionne en testant la restauration de manière aléatoire. Et instaurer une politique de mots de passe de qualité. Sans cela, tout ce que l'on construit repose sur du sable. Il faut s'assurer que les mises à jour informatiques soient faites. Enfin, il s'agit d'être vigilant, de s'informer sur les principaux pièges que tendent les cybercriminels.

Que faire au-delà de ces premières mesures basiques ?

Je conseille aux collectivités de se saisir de leurs obligations et d'y voir des opportunités. Elles doivent en effet se conformer au référentiel général de sécurité et au règlement général sur la protection des données (RGPD). Ce sont deux textes très complémentaires qui incitent à mettre en place des systèmes de management de la sécurité. Cette gouvernance doit prendre en compte les dimensions technique, organisationnelle, humaine et juridique. On sait, par exemple, que les utilisateurs sont ciblés dans les attaques de rançongiciels. En Charente-Maritime, nous avons demandé aux chefs de service d'accorder du temps à leur personnel pour que ces derniers puissent suivre deux très bons MOOC, ceux de l'Anssi et de la Cnil (*).

On peut également sensibiliser avec les fiches réflexes provenant du kit du GIP Cybermalveillance. Quand on s'intéresse à la sécurité, on se rend compte qu'il existe des moyens et que quelques mesures de sensibilisation permettent d'éviter la plupart des attaques.

Quels réflexes adopter en cas d'attaque ?

La première étape est de déposer plainte et de contacter son assureur. Les informaticiens des collectivités se trouvent alors face à une contrainte, puisqu'ils doivent rétablir le système le plus vite possible, tout en préservant la collecte de preuves pour l'enquête. Cet exercice est susceptible d'entraîner un nécessaire achat de nouveaux matériels.

Surtout, il ne faut pas payer une rançon lorsqu'elle est demandée. C'est là que le respect du principe du « 3-2-1-0 » pour la sauvegarde est essentiel.

(*) Agence nationale de la sécurité des systèmes d'information et Commission nationale de l'informatique et des libertés.