Inaccessibilité des sites internet, vol de données sensibles, demandes de rançon à l’aide d’un logiciel piégé (rançongiciel), piratage de comptes Twitter… Le risque de cyberattaques s’est amplifié avec le confinement qui a imposé le télétravail à de nombreux agents. En effet, le travail à distance s’est développé dans l’urgence, la plupart du temps sans cadre de sécurité adapté : une aubaine pour les pirates informatiques. « Il faut avoir conscience que les cybercriminels sont à l’affût de toutes les (bonnes) occasions pour infiltrer les systèmes informatiques des particuliers, des entreprises, des collectivités voire de l’État. La généralisation en masse du télétravail et de l’enseignement à distance leur procure une ouverture », précise ainsi Olivier Daroux, responsable sécurité informatique de SMACL Assurances, membre du Club des experts de la sécurité de l’information et du numérique (Cesin) qui apporte quelques pistes de sécurisation.

En effet, la multiplication des postes informatiques connectés constitue autant de portes d’entrées potentielles vers le système d’information (SI) de la collectivité. L’ordinateur peut être utilisé par plusieurs personnes du foyer, susceptibles d’ouvrir un mail frauduleux ou d’activer malencontreusement un virus ; si c’est un ordinateur professionnel, la sécurité du SI de la collectivité n’est plus assurée, les ordinateurs utilisés à distance ne bénéficiant pas forcément du degré de sécurité adéquat. Et le temps de réaction du service informatique est souvent plus long que pour les outils de bureau.

Sécuriser le travail à distance des agents est donc impératif pour éviter le cyberpiratage. Outre l’intégration du télétravail dans la politique de sécurité informatique et la nomination d’un responsable de la sécurité informatique des systèmes d’information (RSSI), pratiques encore peu courantes au sein des collectivités, l’accent doit être mis sur la sensibilisation des agents et des élus. « L’abus de ressources professionnelles pour des activités personnelles peut augmenter les comportements à risque », précise le Clusif qui recommande des systèmes de catégorisation de la navigation web et de détection/protection du matériel contre les menaces.

En effet, la plupart des attaques informatiques comptent sur le manque de vigilance ou la méconnaissance des utilisateurs pour pénétrer dans le SI à l’aide d’un faux mail ou d’une demande de renseignements qui activent un logiciel pirate. Les agents doivent être sensibilisés aux risques spécifiques liés aux outils personnels non sécurisés : disques dur familiaux, clef USB, portables… Notamment, les échanges de périphériques USB entre ordinateurs professionnels et personnels doivent être évités et les portables professionnels équipés d’une sécurisation à jour. Les mots de passe, rappelons-le, doivent être changés régulièrement et répondre à des règles sécurisées : caractères spéciaux, majuscules, nombre de caractères… Ils ne doivent jamais être notés à proximité de l’ordinateur.

L’Autorité nationale de sécurité des systèmes d’information (Anssi) propose une formation en ligne (Mooc) sur la sécurité des SI et présente de nombreux conseils dans un guide dédié aux collectivités, créés avec l’AMF.

Marie Gasnier

Source complémentaire : Sécurité numérique des collectivités territoriales – L’essentiel de la réglementation, ANSSI