Cybersécurité : Les nombreuses vulnérabilités de l’Afrique exposées à Oran

C’est ce qui ressort à titre comparatif pour les cas de l’Algérie, de la Tunisie et du Mali. L’Algérie occupe la 181e place, donc très bien placée comparée à la Tunisie (131) et surtout au Mali (73). «Le Mali ne met pas beaucoup de contenus mais ce qu’il met est exposé», explique Flavien Vivier.   Délocalisé à Oran après un changement de dénomination conforme à la dimension africaine qu’on a voulu lui donner, l’«African Cyber Security Summit» (ACCS) revient pour une 6e édition organisée au CCO du 3 au 5 avril sous l’intitulé «La cybersécurité à l’ère de la transformation digitale africaine». La cérémonie d’ouverture, qui a eu lieu dans la soirée de mardi en présence de Abderrazak Henni, directeur général de la modernisation au ministère de l’Intérieur, a été marquée par la présentation des résultats d’une étude dénommée «Baromètre 2018 cybersécurité des entreprises et institutions algériennes». Celle-ci a été présentée par Mehdi Zakaria, président de l’ACSS, qui met en avant l’objectif de sensibiliser les acteurs concernés par l’IT, c’est-à-dire les entreprises, les institutions, les décideurs mais aussi le grand public sur l’importance de la cybersécurité et de la protection des données, qui ne doivent plus être considérées comme des préoccupations secondaires mais comme partie intégrante des stratégies de développement. L’enquête en question menée avec Rapid 7 a concerné plus de 1000 répondants avec des majorités relatives décrivant un univers dominé par le privé (38%), l’entreprise de taille moyenne (29%), le secteur de l’informatique, des télécoms et de l’internet (23%). Elle confirme en quelque sorte le bond de 36 places effectué par l’Algérie dans le domaine de la cybersécurité, passant à la 67e place du classement mondial 2017 établi par l’UIT, mais on considère que beaucoup d’efforts restent à faire. A titre indicatif, à la question «qui est en charge de la sécurité informatique ?» 33% des sondés ont répondu que celle-ci est assumée par un responsable de la sécurité des systèmes d’information, ce qui est jugé encourageant. Cependant, s’agissant du type d’incident auquel on a affaire (virus, malware, etc.), une majorité de 32% a répondu qu’elle n’a pas subi d’attaque mais, précise Mehdi Zakaria, il y a de fortes chances que les concernés ne le savent pas. «Les attaquants élaborent des stratégies qui leur permettent de cibler les parties les plus vulnérables ou celles qui leur ouvrent toutes les portes des autres composantes du réseau ou du système informatique mais aussi celles qui les rendent le moins visibles», explique-t-il pour insister sur la nécessité d’établir des politiques de sécurité (seulement 36% de réponses positives, mais 19% pour projets en cours) et de commander des audits de sécurité réguliers (seulement 23% de réponses positives). L’autre aspect pris en compte dans cette étude concerne l’utilisation du «cloud» pour partager des documents professionnels. Ici, le «non» recueille 42% des réponses et le «oui» est partagé entre ceux qui passent par l’accord de la direction informatique (30%) et ceux qui outrepassent cette «prérogative» (17%), ce qui pose également problème. Le président de l’ACSS précise à ce sujet que même pour le cas du «non», la réalité est qu’on utilise le «cloud» sans le vouloir. Concernant l’hébergement des données (sites web, e-mails, etc.) à l’étranger, il ressort que 45% des répondants recourent à cette solution, mais 45% ont répondu par la négative. Là aussi une précision s’impose compte tenu du fait que parmi 1000 entreprises prises en considération, 500 déclarent stocker leurs données en Algérie. «Ce n’est pas possible !» tranche-t-on. «Nous avons le sentiment de stocker en Algérie via des sociétés de droit algérien, mais en réalité les données sont à l’étranger», soutient Mehdi Zakaria. La question suivante en dit long sur un état d’esprit en rapport avec la confiance. A la question «hébergerez-vous vos données chez un hébergeur cloud algérien ayant ses Datacenters ?» le «non» totalise 57% contre 29% pour le «oui». Hormis l’effort de sensibilisation qui reste à faire ,car cette possibilité va se concrétiser, l’intervenant prévient qu’«en cas d’attaque, les possibilités de recours à l’étranger sont quasi nulles». Pour conclure, l’étude s’est intéressée aux principaux obstacles à l’adoption de politiques de sécurité des données, où il ressort que le manque de personnel qualifié vient en tête avec 52%, suivi par le manque de budget (35%) et la complexité de la technologie (34%). La complexité de la technologie, c’est justement ce qui a été développé dès le lendemain lors des premières plénières thématiques animées par des experts représentant des firmes internationales réputées dans le domaine de la sécurité informatique. C’est l’exemple de Hamid Boughazi, directeur régional Afrique du Nord et Afrique francophone de Fortinet. Dans son intervention, il a avancé l’idée de se prémunir contre l’inconnu en développant une automatisation de la réaction, car les attaquants redoublent d’ingéniosité et les méthodes basées, par exemple, sur la détection des signatures ne suffisent plus désormais. «Vous êtes attaqués sur quelque chose que vous ne voyez même pas», prévient-il pour mettre en avant le recours à l’intelligence artificielle, mais aussi à des politiques de gestion qui tiennent compte de la complexité de certaines organisations et qui exigent une même maturité des équipes informatiques opérant sur les différents sites. Consultant sécurité pour l’Afrique chez Cisco, Babacar Wagne s’intéresse également à la relation attaquant/défendant et considère que les premiers utilisent les nouvelles technologies car elles sont moins sécurisées. Selon un rapport établi par sa société, il fait ressortir un classement des extensions qui véhiculent des menaces dont office, archive (à l’exemple de rar) et du PDF. Pour ce dernier cas, il a tenu à prévenir les usagers du fait que le PDF attache lui-même de l’office et donc des fichiers qui peuvent s’exécuter à l’insu. «L’Afrique du point de vue d’un hacker» est l’intitulé de l’intervention de Flavien Vivier, ingénieur en solutions de sécurité chez Rapid 7. Il se base sur un projet dénommé Sonar, qui réalise des études sur la base de scans de tout l’internet afin d’évaluer l’exposition aux vulnérabilités. «Si Sonar peut voir votre exposition, un attaquant le peut aussi», indique-t-il et c’est partant de là que les données de ce projet sont rendues publiques (sonar.labs.rapid7.com) afin de contribuer à la sécurité des systèmes informatiques dans le monde. Un classement des 183 pays a été établi et il s’avère d’abord que l’exposition d’une plus grande quantité de choses sur internet ne dépend pas des PIB des pays pris en considération et où plus on est en bas du tableau mieux on est. C’est ce qui ressort à titre comparatif pour les cas de l’Algérie, de la Tunisie et du Mali. L’Algérie occupe la 181e place, donc très bien placée comparée à la Tunisie (131) et surtout le Mali (73). «Le Mali ne met pas beaucoup de contenus, mais ce qu’il met est exposé», explique Flavien Vivier. Néanmoins, prévoit-il : «L’Algérie ne restera pas dans cette place, parce qu’avec le développement prévu du e-paiement nous allons assister à la création de plus en plus de sites de vente et de sites web et donc à plus d’exposition.»