Plusieurs chantiers sont engagés en matière de sécurité informatique, dont un texte législatif cohérent, alors que les efforts du public et du privé sont à combiner pour passer à un palier supérieur après des années de stagnation... Les 7es Rencontres de l'Agence nationale de la sécurité informatique (Ansi), qui ont démarré avant-hier, ont vu la participation de quelque 300 professionnels et experts du secteur de la sécurité informatique. Une exposition d'une dizaine d'entreprises a été lancée en marge des rencontres. En ouverture, le secrétaire d'Etat à l'Economie numérique, Habib Dabbebi, a évoqué, entre autres points, l'importance de l'économie numérique dans la création de postes d'emploi, notamment à travers la modernisation de l'administration en une administration numérique, ou zéro papier, outre la création d'entreprises nationales championnes. Et d'expliquer : «En Tunisie, nous avons des entreprises championnes et ce modèle d'entreprises fait partie de notre stratégie nationale. La créativité et l'innovation sont un autre axe sur lequel nous comptons pour lancer des entreprises pérennes et qui créent de nouveaux métiers. Dans cette perspective, il est important de créer un cadre législatif consacrant l'égalité des chances et garantissant la continuité de l'encouragement à l'entreprenariat grâce à des garanties aux investisseurs et porteurs d'idées. Un cadre législatif qui doit donc garantir la confiance en le cadre réglementaire et la stabilité». Dabbebi a relaté l'importance de la sécurité numérique dans ce processus d'instauration de la confiance qui reste, d'après lui, le moteur du développement du secteur et un pilier incontournable du développement durable. Texte et actions d'accompagnement Les rencontres de l'Ansi ont débattu de quatre thèmes. Selon le président-directeur général de l'Ansi, Mohamed Naoufel Frikha, la cyber-sécurité ou la sécurité des systèmes d'information est un ensemble de chantiers. «Il y a des aspects organisationnels à l'intérieur de l'entreprise. J'ouvre une parenthèse ici pour poser une question sur le rôle d'un responsable sécurité du système d'information. Est-ce un responsable sécurité système informatique ou information ! Les textes existent déjà pour l'administration, mais sur le plan pratique, il y a une réalité différente. Chaque entreprise a sa manière de gérer ce volet. Aussi, il y a l'aspect technico-technique. C'est-à-dire que dans l'entreprise, et d'une façon plus générale dans le pays, on doit avoir des compétences sur lesquelles on peut compter quel que soit le besoin. Dans ce sens, il y a certains acteurs dont le processus est assez figé pour s'adapter aux changements du secteur; à savoir l'enseignement supérieur, notamment en matière d'actualisation des programmes académiques. On a besoin des compétences et en qualité et en nombre. Ici on relève la problématique des "capacity building". D'ailleurs, ce volet figure parmi les quatre thèmes de nos rencontres aujourd'hui. Sur ce plan, nous devons parler de compétences et de métiers. Nous avons avec nous les responsables de l'Utica qui ont un projet de référentiel métiers TIC, alors que l'Ansi a un projet en cours de référentiel compétences en cyber-sécurité. On a voulu voir comment intégrer les deux en un seul projet», a expliqué Frikha. D'après lui, il y a une certaine complémentarité au niveau des rôles entre le public et le privé. Le deuxième thème est relatif à la sécurité des données où, selon lui, on a un problème de conscience par rapport à l'importance de ce volet et de son envergure dans le monde entier. La sécurité des Organismes à intérêt vital (OIV) est le troisième thème et, de même, la conscience générale quant à ce volet reste en deçà du niveau escompté. «Ce genre d'organisme, a-t-il ajouté, fait face à plusieurs menaces sécuritaires dont celles du type déni de service distribué, à l'instar de l'électricité, l'eau, les transports, etc.». Et d'enchaîner : «Dans ce volet, il y a un projet de texte qui sera présenté au gouvernement concernant les obligations des OIV et qui procèdera à énumérer les critères de classification des OIV par entreprises, secteurs et segments, dans le public et le privé. Le pays est en état d'alerte, mais par analogie, nous devons avoir un état d'alerte numérique. Le quatrième thème est la sécurité de l'e-gov, avec deux niveaux différents et, en tant qu'Ansi, on doit assister en tant que régulateur. L'idée est d'avoir les textes, mais aussi les actions qui les accompagnent pour garder les droits des uns et des autres, public et privé qui sont des partenaires dans ses efforts de sécurité informatique». Partenariat Public Privé effectif Le débat des professionnels et des experts présents aux rencontres de l'Ansi a révélé beaucoup d'inquiétudes et de questionnements parmi lesquels la sécurité des données localisées passe en premier, vu leur importance et vu qu'elles sont localisées sous d'autres cieux avec ce que cela peut engendrer comme problèmes de souveraineté... Le président de la Chambre nationale des sociétés de services et d'ingénierie informatique relevant de l'Utica, Karim Ahres, affirme dans ce sens, qu'il faut relever le niveau des compétences en premier lieu. «Nous voulons éviter qu'on soit dépassé. Tous les six mois, il y a une nouvelle technologie et ce qu'on va être sécurisé à chaque fois qu'on a une nouveauté... Depuis 2012, on a parlé de la localisation et de la maîtrise en Tunisie de la sécurité pour pouvoir commencer et conduire le changement. Au niveau du patronat, notre objectif c'est de faire du numérique une industrie et non pas "informatique et un logiciel ou télécommunications". Cette mentalité est dépassée et il doit y avoir une industrie au même titre que le tourisme ou le textile. Donc il faut mettre un plan pour aller vers le zéro papier. Ce qui ne peut aboutir que lorsqu'on a une confiance en le numérique, qui ne s'acquiert qu'en la maîtrise des compétences de la sécurité. Ça va de soi si on parle de tout cela en même temps ! Il faut former les gens vers les normes, ensuite vient l'étape de mettre en place les stratégies organisme par organisme», a soutenu Karim Ahres. Evoquant la cyber-criminalité, Ahres a indiqué que les attaques touchent d'abord les Organismes à intérêt vital, tels que la société d'électricité ou le ministère du Transport du pays attaqué. «Pour cela, nous n'arrêtons pas de dire, avec la construction de "Tunisie Digitale", qu'il faut que le niveau de confiance numérique doit accompagner les changements et cela progressivement avec la maîtrise des ressources humaines avant l'acquisition du matériel. Il faut partager les experts et les compétences. Dernier point et non des moindres. Quand on signe la convention 108 au niveau international qui est relative aux données à caractère personnel et qu'on y est éligible, désormais si nos organismes ne sont pas certifiés aux normes internationales, les auditeurs internationaux verront que tu es éligible, oui mais les gens derrière ne comprennent pas de quoi il s'agit ! C'est grave !», a-t-il expliqué. Ahres a ajouté que le niveau de sécurité dans certains secteurs reste lamentable et il préconise d'augmenter les budgets en sécurité, à l'instar du secteur du tourisme. La sécurité fait partie du stratégique et non du technique, a soutenu Karim Ahres, en insistant sur le rôle du Conseil stratégique du numérique fondé depuis 2013 et fonctionnel depuis 2014 sous la présidence du chef du gouvernement. Ahres a parlé de l'avancement de la coopération entre le privé et le public dans ce secteur de sécurité numérique et le projet national des systèmes d'information, «Tunisie Digitale » en est la preuve. D'après Karim Ahres, les 35 OIV dégagés doivent faire l'objet du démarrage du plan de changement en une complémentarité entre privé et public sans pour autant axer les efforts sur les textes seulement. C'est dire que certains chantiers doivent être engagés ensemble et simultanément...
