S'il existe plusieurs approches de sécurité informatique que les entreprises peuvent appliquer, certains éléments de base constituent la pierre angulaire de chaque nouvelle approche quelle qu'elle soit. Selon Hosni Tounsi, la proactivité, la veille continue, le recrutement des compétences qui s'acquittent de cette tâche, sont autant de prérequis de toute stratégie de sécurité informatique au sein de l'entreprise. Depuis la crise Covid, les cyberattaques vont crescendo, partout à travers le globe. Les experts expliquent cette tendance haussière par l'amélioration de l'interconnectivité pour des fins diverses telles que le télétravail, qui accroît le risque d'exposition aussi bien des institutions que des entreprises aux menaces informatiques. Elle s'explique également par l'explosion du nombre des cyberpirates qui s'organisent en des groupes de plus en plus structurés et puissants. La Tunisie n'est pas à l'abri de ces menaces montantes. C'est ce qu'a affirmé Hosni Tounsi, directeur technique à KeyStone, une entreprise spécialisée dans la sécurité informatique, dans son intervention lors du séminaire "cybersécurité: enjeux et défis" qui a été, récemment, organisé par la Chambre tuniso-française de commerce et d'industrie. Il a précisé que 2022 était une "année difficile" marquée par une hausse des cyberattaques. En effet, plus de 250 incidents ont été traités, l'année dernière par le Cert (Computer Emergency Response Team) de l'entreprise. L'analyse des statistiques a révélé que les ransomwares arrivent en tête des attaques signalées (30%), suivis par les incidents de type Business Email Compromise (BEC) et les attaques contre les équipements périmétriques. "Pour les Ransomware, ce sont des pirates qui infiltrent le réseau de l'entreprise et essayent de crypter les données et demander, en contrepartie, une rançon. S'agissant du deuxième type de menace (BEC), la falsification des factures est l'attaque la plus répandue. Elle a lieu lorsque le pirate s'introduit dans une conversation entre le client et son fournisseur et modifie le numéro de compte. Dans ce cas, le client va payer le pirate", a expliqué Tounsi. Les piliers de chaque approche L'ingénieur a souligné que la cybersécurité repose sur trois axes indissociables, à savoir les gens (People), les procédures (Process) et la technologie (Technology). S'il existe plusieurs approches de sécurité informatique que les entreprises peuvent appliquer, certains éléments de base constituent la pierre angulaire de chaque nouvelle approche quelle qu'elle soit. Ainsi, avoir une vision inscrite dans la durée, être constamment informé des nouvelles tendances et menaces cybernétiques, confier la tâche de sécurisation à des compétences en la matière et, enfin, être proactif pour anticiper les nouvelles vagues sont tous des prérequis d'une stratégie de sécurité informatique au sein de l'entreprise. "Les entreprises et les institutions tunisiennes ont tendance à investir beaucoup dans les technologies mais malheureusement on est en train d'oublier les deux autres axes (People et Process) qui sont, à mon sens, les deux axes les plus importants. Donc, en gros,il faut former les gens, les sensibiliser, certifier, qualifier... pour qu'ils puissent gérer cette sécurité. De l'autre côté, il faut que l'entreprise soit dotée d'un système de gestion. Il faut, en somme, avoir les politiques et les process de sécurité, et derrière les technologies pour réaliser cette stratégie de cybersécurité", a souligné l'ingénieur dans une déclaration à La Presse. Et d'ajouter "Si on arrive à mettre en place ces trois axes-là, on peut améliorer le niveau de la sécurité. Ce qu'il faut savoir c'est que la sécurité n'est pas un projet. La sécurité ne s'arrête pas au niveau de la mise en place d'une solution, d'une application ou d'une mesure. La sécurité c'est de l'opérationnel, c'est quotidien et c'est un cycle qui doit être mis en place au sein de l'entreprise". Interrogé sur la notion de frontières cybernétiques qui a été évoquée, à maintes reprises, par plusieurs experts, Tounsi a répondu que ce concept n'est pas en phase avec ce qui se passe dans le monde qui évolue dans un cyberespace illimité. "Aujourd'hui on parle de solutions qui sont dans le cloud. Or, le cloud n'a pas de nationalité, de limite. Si on est connecté, si on commence à avoir des services dans ce cyberespace, c'est que, en quelques sorte, on n'a pas de frontières. Il est vrai qu'en termes de gouvernance, il est important d'avoir des mécanismes pour délimiter notre cyberespace. Sauf que cet espace ne peut pas être limité à une zone géographique. Aujourd'hui, plusieurs Tunisiens travaillent en Afrique avec des Data Center qui sont en Europe ou aux Etats-Unis. Donc aujourd'hui, comment est-ce qu'on peut parler de la notion de limites cybernétiques. Ce n'est plus possible", a-t-il asséné. Interrogé sur la migration vers le cloud, le projet que le ministère des Technologies est actuellement en train de préparer, Tounsi a souligné que ce projet consiste à confier les services à une tierce partie. Ce passage nécessite, donc, selon l'ingénieur, un effort supplémentaire de sécurisation, bien qu'il existe des réglementations qui régissent la gestion des données nationales. Stratégie Nationale de la CyberSécurité (Sncs) 2020-2025: Lors de son intervention, le directeur chargé de l'audit des systèmes d'information à l'Agence nationale de la sécurité informatique(Ansi), Saber Issa est revenu sur la Stratégie Nationale de la CyberSécurité (Sncs) pour la période 2020-2025 qui a été élaborée en 2019. Elle s'articule autour de 5 objectifs : à savoir la direction et la gestion du cyberespace national, la prévention des cybermenaces et l'amélioration de la cyber résilience par le renforcement des capacités nationales et la protection des infrastructures numériques vitales. Il s'agit, également, de renforcer la confiance numérique, d'atteindre le leadership numérique et de promouvoir la coopération internationale. Evoquant les orientations et les stratégies sectorielles, l'ingénieur a précisé que l'Ansi veillera à protéger les infrastructures numériques vitales contre les cybermenaces. D'ailleurs, une politique de Sécurité gouvernementale est en cours d'élaboration. Elle permettra de définir les mesures de sécurité minimales au niveau des systèmes d'information de l'Etat tout en tenant compte des besoins nationaux et sectoriels en la matière. Le responsable a ajouté que le ministère des Technologies s'est, actuellement, penché sur l'élaboration de deux nouvelles lois, portant respectivement sur la classification des données publiques et sur la cybersécurité (pour remplacer la loi n°5-2004) en vue d'harmoniser les textes juridiques avec les exigences internationales.
