More

    La lutte contre la « cyber-menace » interne dans les entreprises : où en est la réglementation sénégalaise ?

    Les enjeux et risques liés au développement des technologies de l’information et des communications intéressent au plus haut point tant les autorités privées, publiques que les directions juridiques et des entreprises. Et, les règlementations dans ce domaine se multiplient. Le fait est qu’il est acquis que ces questions ne peuvent rester le pré carré des informaticiens. La révolution numérique passera par la réforme du cadre juridique du numérique.

    Ainsi, les juristes de toutes obédiences s’interrogent sur la problématique de « l’évolution du droit à l’aune de la révolution numérique ». Cette réflexion doit, bien entendu, se faire en collaboration avec les acteurs du numérique que sont les informaticiens. Loin d’être antinomiques Droit et numérique, se complètent.

    Dans l’exposé des motifs de la loi n° 2008-11portant sur la cybercriminalité, le législateur affirme à juste titre que « l’espace numérisé qu’offrent les technologies de l’information et de la communication notamment l’Internet est de plus en plus le lieu pour commettre des agissements répréhensibles de toutes sortes, attentatoires tant aux intérêts des particuliers qu’à ceux de la chose publique ». Est particulièrement visée la cybercriminalité encore connue sous l’appellation de criminalité informatique.

    En effet, une compréhension des menaces qui planent sur les entreprises telles que le piratage ou vol de données stratégiques ou encore l’espionnage est devenue une nécessité. Il est en effet devenu primordial de prendre la mesure des enjeux économiques, technologiques et juridiques.

    Pour ce faire, l’analyse de la convergence des deux disciplines à travers l’architecture de la sécurité en entreprise apparaît essentielle pour mieux cerner la problématique susvisée. Plus précisément, la question de la menace mérite aujourd’hui plus que jamais une attention toute particulière.

    C’est dans ce cadre que le législateur sénégalais a notamment institué un article 431-32 dans le Code pénal selon lequel « Quiconque aura produit, vendu, importé, détenu, diffusé, offert, cédé ou mis à disposition un équipement, un programme informatique, tout dispositif ou donnée conçue ou spécialement adaptée pour commettre une ou plusieurs des infractions prévues par les articles 431-8 à 431-16 de la présente loi ou un mot de passe, un code d’accès ou des données informatisées similaires permettant d’accéder à tout ou partie d’un système informatique, sera puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée ».

    Pour autant qu’elle concerne les infractions liées aux technologies de l’information et de la communication, cette loi d’être à la hauteur des enjeux.

    L’accès au système d’information auquel elle a trait n’est qu’un exemple parmi les nombreux autres risques auxquels font face les entreprises.

    La liste est encore longue. Le risque est présent lorsqu’un individu est en mesure de divulguer le mot de passe du wifi de l’entreprise ou qu’un employé frustré peut divulguer des informations confidentielles de l’entreprise.

    Cette menace interne s’oppose à celle externe à l’entreprise et qui correspond aux virus et pirates notamment.

    Par ailleurs, cette loi pour autant qu’elle concerne les infractions liées aux technologies de l’information et de la communication ne prévoirait pas de mesures permettant son application optimale

    Ainsi, il arrive que dans le cadre des certifications (en informatique), que les candidats effectuent de la stéganalyse qui consiste à déchiffrer des messages cachés par des techniques de stéganographie. Concrètement, il s’agit par exemple de retrouver des informations confidentielles et très sensibles de l’entreprise dissimulées dans une image par un employé ; la stéganographie étant l’art de la dissimulation de données. Autrement dit, il s’agit de faire passer un message (la vraie information) à travers un autre sans rapport apparent.

    L’on ne mesure pas toujours l’ampleur des menaces auxquelles font face les entreprises. Pourtant, a priori, il n’existe aucun moyen d’empêcher une personne ayant un accès autorisé à des informations sensibles de les divulguer. D’aucuns disent que le maillon faible de la sécurité c’est bien l’Homme. Si tout le monde s’accorde à dire que nous vivons à l’Ère du numérique, les entreprises ne sont pas assez préparées pour faire face aux risques l’accompagnant.

    A lire également  DISPARITES DANS LA FONCTION PUBLIQUE: Les raisons de la frustration

    En tout état de cause, il faut se rendre à l’évidence : il s’agit d’une menace avec plusieurs vecteurs possibles (toute partie ayant besoin d’accéder aux ressources pour travailler) rendant la protection très complexe.

    Aussi, les entreprises ont tendance à mettre en place une pléthore de ressources pour se prémunir des menaces : des antivirus, un firewall, un IDS/IPS, une politique de sécurité paranoïaque, le blocage des ports USB suivi d’un audit de conformité et des tests d’intrusion ou scan de vulnérabilités etc. Elles mobilisent la majorité de leurs ressources allouées à la sécurité, si tant est qu’il y en ait (cas du Sénégal), à la protection contre les menaces externes.

    Mais on peut s’interroger sur l’efficacité de ces outils dans la mesure où la menace est aussi présente en interne.

    Comme le faisait remarquer à juste titre, la directrice juridique adjointe de Capgemini «Nous somme arrivés à un stade où avoir simplement un anti-virus et modifier régulièrement ses mots de passe n’est clairement plus suffisant. L’objectif est de passer d’une vision actuelle assez statique de la sécurité à une vision plus dynamique, dans laquelle on supervise cette sécurité. Pour ce faire, il s’agit de bien connaître sa société et ses atouts, ses failles, ses adversaires, puis de classifier les données en fonction de leur criticité – un secret commercial dont le brevet n’a pas encore été déposé n’a pas le même degré d’importance que la rémunération d’un dirigeant. Il faut établir une véritable cartographie de l’existant »[1].

    Pour mieux lutter contre les risques de la cyber-menace rien ne vaut une bonne stratégie de prévention mise en place par une équipe de juristes et d’ingénieurs en informatique.

    La première solution semble se trouver dans ce que le directeur des affaires juridiques et des affaires publiques de Microsoft France (Marc Mossé) appelle « l’hygiène de sécurité » qui doit être érigée en priorité dans la lutte contre la cyber-menace, véritable épée de Damoclès pour les entreprises.

    In fine se pose la question de l’adaptation de la législation sénégalaise sur la cyber-menace aux risques auxquels font face les entreprises.

    Il est important d’insister sur la sensibilisation et la prise de conscience des employés par rapport à toutes les conséquences pouvant découler d’une fuite d’informations sensibles aussi bien sur le plan légal que sur le plan de la survie de l’entreprise même. Il semble urgent que les entreprises se dotent d’outils de lutte contre ce type tout en misant sur la prévention des risques juridiques. À défaut, la cyber stratégie mise en place par les pouvoirs publics risque d’être non seulement ineffective mais aussi inefficiente.

    Il est tout aussi urgent que cette cyber stratégie aille au-delà des simples annonces et que l’arsenal juridique de lutte contre les menaces qui pèsent sur les entreprises soit renforcé.

    Il n’est peut-être pas inutile de rappeler que le PSE contient un volet Plan Sénégal Numérique à l’horizon 2025. Osons espérer, sans esprit de chicane, que la question de la cyber-menace interne (à l’entreprise) sera davantage prise au sérieux par une politique de sensibilisation en direction des employés et dirigeants de sociétés. Autrement dit, il est important d’adopter une approche plus dynamique dans la lutte contre la cyber-menace.

    C’est dire que dans la lutte contre la cyber-menace et la cybercriminalité, autant le juriste que l’ingénieur informatique sont essentiels. Dans cette épreuve, le maillon le plus fort de la chaine n’a que la force du maillon le plus faible.

    [1] https://business.lesechos.fr/directions-juridiques/droit-des-affaires/contentieux/les-entreprises-face-aux-cyber-risques-200630.php?91cZxBIThZXmh6o3.99

    Article écrit en collaboration avec Serigne Mouhamadane Diop (C|EH) EC Council Certified Ethical Hacker, Security Analyst, Pentest, Offensive Security, Audit

     

    Articles récents

    Vous serez peut etre intéressé par ces articles