Cybersécurité : quels défis pour le Maroc ?

Les mesures adop­tées par le Royaume ché­ri­fien pour le cybe­res­pace ont per­mis de gagner 43 points et le clas­ser 50^e à l’échelle mon­diale, selon l’indice de la cyber­sé­cu­ri­té publié par l’Union inter­na­tio­nale des télécom­munica­tions. C’est une orien­ta­tion poli­tique volon­ta­riste du Maroc, qui per­met d’envisager l’avenir avec confiance.

La cyber­sé­cu­ri­té est un sujet de plus en plus impor­tant au Maroc comme dans le monde entier. De nom­breuses entre­prises et admi­nis­tra­tions dé­­pendent de plus en plus de la techno­logie pour leur acti­vi­té quoti­dienne. Pro­té­ger leurs don­nées et leurs sys­tèmes ain­si que les don­nées per­son­nelles et confi­den­tielles des uti­li­sa­teurs contre les cyber­me­naces devient cru­cial. En février 2022, le conflit ukrai­nien a ouvert la voie à un nou­veau cha­pitre dans la guerre hybride, la cyber­dé­fense devient une prio­ri­té vitale.

Tremblement de terre et cybersécurité

Le der­nier trem­ble­ment de terre tra­gique au Maroc, comme tout autre évé­ne­ment qui dégage une forte émo­tion et une ava­lanche en flux de com­mu­ni­ca­tions à tra­vers inter­net et les réseaux sociaux, repré­sente une oppor­tu­ni­té pour les cyber-cri­mi­nels cher­chant à tirer pro­fit de cette crise dou­lou­reuse. Des escrocs uti­lisent le thème du « trem­ble­ment de terre » dans des cam­pagnes de phi­shing, à tra­vers le télé­char­ge­ment de fichiers et de liens mal­veillants, afin de dif­fu­ser dif­fé­rents types de mal­wares, notam­ment des che­vaux de Troie d’accès à dis­tance et de vol d’informations.

C’est pour cela que le Royaume, fort des nou­velles struc­tures de cyber­dé­fense qu’il a mises en place der­niè­re­ment, a dif­fu­sé dès les pre­miers jours une cam­pagne de sen­si­bi­li­sa­tion des grandes entre­prises et de la popu­la­tion sur ce risque à tra­vers la DGSSI créée pour cette mis­sion. Alors, com­ment le Maroc est arri­vé à ce niveau de cyber­sé­cu­ri­té et quelle éva­lua­tion peut-on en faire ?

La création d’une autorité nationale

Au Maroc, plu­sieurs mesures ont été prises pour ren­for­cer la cyber­sé­cu­ri­té du pays. L’une des mesures phares est bien la créa­tion d’une agence natio­nale de cyber­sé­cu­ri­té : la DGSSI, la direc­tion géné­rale de la sécu­ri­té des sys­tèmes d’information (auto­ri­té natio­nale en la matière), qui a pour mis­sion de coor­don­ner les efforts de lutte contre les menaces infor­ma­tiques et de veiller à la pro­tec­tion des sys­tèmes et des don­nées du pays. Cette agence tra­vaille en étroite col­la­bo­ra­tion avec les acteurs du sec­teur pri­vé et les auto­ri­tés com­pé­tentes pour ren­for­cer la sécu­ri­té des réseaux et des sys­tèmes infor­ma­tiques au Maroc. 

La DGSSI a pris un ensemble de mesures et mis en place des pro­cé­dures à carac­tère stra­té­gique, juri­dique, tech­nique, opé­ra­tion­nel et de sen­si­bi­li­sa­tion, visant à assu­rer un envi­ron­ne­ment numé­rique sûr et fiable garant de la réus­site de la tran­si­tion numé­rique au Maroc, ain­si qu’à amé­lio­rer et à conso­li­der le niveau de confiance natio­nal et inter­na­tio­nal dans les ser­vices numériques.

Lire aus­si : Le Maroc : une future start-up nation africaine ?

Un centre de veille et de coordination

Après la Direc­tive natio­nale de la sécu­ri­té des sys­tèmes d’information et la Stra­té­gie natio­nale en sécu­ri­té des sys­tèmes d’information, la DGSSI a publié ces deux der­nières années une bat­te­rie de guides et réfé­ren­tiels et des bonnes pra­tiques en matière de cyber­sé­cu­ri­té, dont plu­sieurs res­tent encore à pro­duire pour être aux stan­dards internationaux.

Le maCERT (Moroc­can Com­pu­ter Emer­gen­cy Res­ponse Team) créé par la DGSSI est le centre de veille, détec­tion et réponse aux attaques infor­ma­tiques. Il est char­gé de la mise en œuvre, en rela­tion avec les autres admi­nis­tra­tions, de sys­tèmes de veille, de détec­tion, d’alerte des évé­ne­ments sus­cep­tibles d’affecter la sécu­ri­té des sys­tèmes d’information de l’État et de la coor­di­na­tion de la réac­tion à ces évé­ne­ments. Le maCERT est une source pré­cieuse d’informations sur les dif­fé­rentes menaces qui frappent aux portes.

Des initiatives publiques et privées

En 2021, la loi n° 05–20 sur la cyber­sé­cu­ri­té a été adop­tée pour ren­for­cer les exi­gences et ins­tal­ler des normes pour les grandes entre­prises publiques et pri­vées, vitales pour l’économie et la sou­ve­rai­ne­té natio­nale. Tou­te­fois au niveau PME un grand retard reste à combler. 

Déjà, bien avant, le Maroc avait adop­té plu­sieurs lois et règle­ments pour pro­té­ger les don­nées per­son­nelles et la vie pri­vée des citoyens, notam­ment la loi n° 09–08 rela­tive à la pro­tec­tion des per­sonnes phy­siques à l’égard du trai­te­ment des don­nées à carac­tère per­son­nel. Cette loi vise à assu­rer une pro­tec­tion effi­cace des par­ti­cu­liers contre les abus d’utilisation des don­nées, de nature à por­ter atteinte à leur vie pri­vée, et à har­mo­ni­ser le sys­tème maro­cain de pro­tec­tion des don­nées per­son­nelles avec ceux de ses par­te­naires notam­ment euro­péens. En outre, la loi ins­ti­tue une Com­mis­sion natio­nale de contrôle de la pro­tec­tion des don­nées per­son­nelles. En plus des efforts gouverne­mentaux, de nom­breuses entre­prises au Maroc prennent des mesures de sécu­ri­té prio­ri­taires pour pro­té­ger leurs don­nées et leurs sys­tèmes. D’ailleurs, plu­sieurs ont déjà mis en œuvre des cer­ti­fi­ca­tions comme l’ISO 27001.

À titre de per­for­mance exem­plaire, notons IMDAE, la pla­te­forme cloud de Barid Media, filiale de Poste Maroc, qui est la seule pla­te­forme de signa­ture élec­tro­nique au monde à assu­rer la confi­den­tia­li­té totale de ses don­nées (fichiers signés sans upload).

Une coopération interétatique et industrielle

Cette volon­té du Maroc de faire de la cyber­sé­cu­ri­té une prio­ri­té attire les pays alliés pour une coopé­ra­tion plus étroite dans ce domaine. C’est ain­si que la cyber-diplo­ma­tie au Maroc est deve­nue un axe poli­tique très ani­mé ces der­nières années. 2022 a connu la signa­ture de plu­sieurs par­te­na­riats stra­té­giques en plus de celui avec le Royaume-Uni : avec Tel-Aviv par exemple, et la signa­ture du 2^e pro­to­cole addi­tion­nel à la Conven­tion de Budapest.

Plus tôt cette année, un « Centre d’excellence en cyber­sé­cu­ri­té pour l’Afrique » a été lan­cé dans le cadre d’un pro­jet conjoint entre le Royaume-Uni et le Maroc. De même l’implantation de géants mon­diaux, tels que Thales, Orange cyber­de­fense ou Atos, a voca­tion à favo­ri­ser la mise en place d’un hub de cyber­sé­cu­ri­té pour ser­vir leurs clients aus­si bien régio­naux en Afrique et Moyen-Orient que plus lar­ge­ment au niveau euro­péen et mon­dial. À titre d’exemple Thales vient d’ouvrir un nou­veau centre opé­ra­tion­nel de cyber­sé­cu­ri­té (SOC) au Maroc. Sixième au sein de son réseau inter­na­tio­nal, après ceux du Cana­da, de France, de Hong Kong, des Pays-Bas, du Royaume-Uni, ce centre per­met de béné­fi­cier d’une pro­tec­tion en temps réel contre les cyberattaques.

Relever les défis contemporains

Tou­te­fois, de nom­breux défis en matière de cyber­sé­cu­ri­té res­tent à rele­ver, dans une indus­trie et une tech­no­lo­gie qui évo­luent constam­ment, pour faire face aux menaces en ligne crois­santes en matière d’attaque et de défense. Voi­ci des exemples de nou­velles ten­dances et déve­lop­pe­ments dans le domaine de la cyber­sé­cu­ri­té. L’IA et l’apprentissage auto­ma­tique sont de plus en plus uti­li­sés pour atta­quer comme pour détec­ter et pré­ve­nir les cybe­rat­taques, en ana­ly­sant les don­nées en temps réel et en iden­ti­fiant les anomalies.

La cyber­sé­cu­ri­té de l’IoT (inter­net des objets) est deve­nue un risque de plus en plus impor­tant, car de nom­breux appa­reils connec­tés sont vul­né­rables aux attaques en ligne. Le déve­lop­pe­ment du télé­tra­vail et les réponses aux risques et sou­cis sécu­ri­taires sont en constante muta­tion. Les attaques de ran­som­ware ont aug­men­té en fré­quence et en sophis­ti­ca­tion, ce qui a conduit à la créa­tion de nou­velles tech­no­lo­gies pour pro­té­ger les don­nées et les sys­tèmes. Le phi­shing reste l’une des prin­ci­pales méthodes uti­li­sées par les cyber­cri­mi­nels pour accé­der aux infor­ma­tions sen­sibles des uti­li­sa­teurs. De nou­velles solu­tions de pro­tec­tion contre le phi­shing sont requises. L’évolution de la ges­tion des iden­ti­tés et des accès (Iden­ti­ty and Access Mana­ge­ment, IAM) est deve­nue un enjeu impor­tant pour gérer et pro­té­ger les accès aux don­nées et aux systèmes.

“Un savoir-faire technologique capable d’affronter les menaces futures.”

Il est donc pri­mor­dial pour le Maroc de res­ter à jour des der­nières ten­dances et déve­lop­pe­ments en matière de cyber­sé­cu­ri­té et de faire preuve d’agilité pour prendre les mesures de sécu­ri­té néces­saires et adé­quates. Cette agi­li­té et cette réac­ti­vi­té néces­saires pour rele­ver les défis futurs res­tent le plus grand sou­ci des acteurs maro­cains, qui ont réus­si jusqu’à pré­sent avec un peu de bara­ka à déjouer des attaques graves qui sont dignes de films hol­ly­woo­diens et qui sont res­tées dis­crètes et confi­den­tielles. La cyber­sé­cu­ri­té est un sec­teur d’in­novation en constante évo­lu­tion ; la cocons­truc­tion d’un éco­sys­tème par des pro­grammes appuyés par l’État, le pri­vé et les par­te­na­riats inter­na­tio­naux peut faire émer­ger un savoir-faire tech­no­lo­gique capable d’affronter les menaces futures.

---

Articles similaires :

Le Maroc en Afrique : émer­gence d’une puis­sance éco­no­mique régionale Le pro­jet Uni­ver­si­té Moham­med VI Polytechnique Le Maroc : une future start-up nation africaine ? X‑Maroc au ser­vice de l’entreprenariat et de l’innovation « L’Afrique détient un poten­tiel extraordinaire »