15
L’Algérie, face aux cyberattaques
Par Tarek Benaldjia
Il ne s’agit pas de « faire du renseignement », mais de travailler sur les tentatives visant à déstabiliser l’Etat.
Tout le monde qui s’intéresse à la Cybersécurité en Algérie est normalement au courant de la récente publication d’un nouveau Décret présidentiel relatif à la Sécurité des Systèmes d’Information en Algérie. Nous avons communiqué rapidement sur cette publication il y a déjà quelques jours sur notre compte facebook.
Le décret présidentiel portant mise en place d’un dispositif national de la sécurité des Systèmes d’information a été publié récemment dans le Journal officiel (JO), et prévoit notamment l’élaboration d’une stratégie nationale en la matière, incluant des investigations numériques en cas d’attaques cybernétiques ciblant les institutions nationales.
Je présenterais ici, en termes simples, une synthèse du contenu de ce nouveau Décret.
Tout ce qui suit sont mon interprétation et mon avis personnels.
De quoi s’agit-il ?
C’est un Décret présidentiel (et non une Loi !) datant du 20 janvier 2020, qui a pour objet la « mise en place d’un dispositif national de la sécurité des systèmes d’information », en Algérie bien sûr.
Qu’est-il entendu par « dispositif national » ?
L’article 2 répond à cette question. C’est le « cadre organisationnel » niveau État. La suite du Décret précise et décrit les entités composant ce cadre organisationnel.
Pourquoi faire ?
C’est toujours l’article 2 qui nous dit que ce qui est visé est :
• « l’élaboration de la stratégie nationale de la sécurité des systèmes d’information »
• « la coordination de sa mise en œuvre »
Comprendre par ça que le chantier principal des nouvelles entités créées sera justement l’élaboration de cette stratégie et sa mise en œuvre, ce qui est confirmé dans les missions assignées à ces entités dans la suite du Décret.
Quelles entités et sous quelle autorité ?
Le cadre organisationnel est constitué principalement des nouvelles entités suivantes :
• Un « conseil national de la sécurité des systèmes d’information » (CNSSI sur le schéma). Nous pouvons le voir comme assurant un rôle de niveau stratégique (décision et orientation) tel que le montre le chapitre 2 qui lui est consacré.
• Une « agence de la sécurité des systèmes d’information » (ASSI sur le schéma). Nous pouvons la voir comme assurant un rôle globalement de niveau tactique (pilotage et coordination) mais aussi de niveau opérationnel à certains égards, tel que le montre le chapitre 3 qui lui est consacré.
• Fait notable, cette agence dispose d’un « centre national opérationnel de sécurité des systèmes d’information » (CNOSSI sur le schéma). Il me semble que ce centre va jouer un rôle proche de celui d’un CERT national.
• Autre fait notable, c’est l’exigence pour toutes les entités publiques mais aussi privées « de désigner leur responsable en charge de la sécurité des systèmes d’information dans un délai, maximum, d’une (1) année ». (RSSI sur le schéma). Il faut remarquer qu’il est fait mention de « responsable » et non nécessairement de structure ou entité.
Ces responsables devront logiquement constituer le niveau opérationnel en appliquant à leurs niveaux la future stratégie nationale de SSI.
Je retiens aussi un élément intéressant, à savoir qu’il y aura instauration de « modalités d’accréditation des prestataires de service d’audit en matière de sécurité des systèmes d’information »
En termes d’autorité de tutelle, tout le dispositif est sous la tutelle du Ministère de la Défense Nationale. La lecture qu’on peut avoir ici est que la sécurité des systèmes d’information est considérée comme un sujet de Sécurité Nationale.
Quand ce dispositif sera mis en place ?
En prenant en considération les expériences passées (Certification électronique, e-commerce, protection des données à caractère personnel, …), il parait fort probable que si la mise en place du CNSSI et de l’agence pourraient se faire dans quelques semaines ou mois, l’élaboration de la stratégie nationale et de l’ensemble des textes d’applications prendront beaucoup plus de temps.
Espérant que les personnes qui seront choisies pour mettre en œuvre tout ceci aient réellement de solides expertises et expérience en la matière, autrement dit, des hommes et des femmes de terrain. Nous n’avons pas besoin de théoriciens qui ne maîtrisent que les mots !!
Pour ces détails. Effectivement, la création d’une SSI n’est pas une fin en soi, elle ne vaut que par les résultats auxquels aboutira une traduction réelle des besoins de nos systèmes d’informations. Toutefois, et c’est mon avis personnel, il y a beaucoup d’organes chez nous qui traitent de la sécurité, chiffrement, cyberdéfense, cybersécurité,….
Il serait peut-être utile de concevoir cet aspect de sécurité des systèmes d’informations comme un tout et pas un comme on avait l’habitude de le faire, chacun confiné dans son coin et fait ce qu’il lui plait. Nous devons prendre également en considération l’interaction entre ces systèmes, définir des priorités, des niveaux d’approbation et surtout pouvoir assurer une intégration de l’existant. En somme, prendre le temps de bien réfléchir sur le modèle qui sied à nos systèmes d’informations. Ne pas partir rapidement sur l’acquisition de solutions qui pourrait devenir obsolètes avant leur déploiement.
En attendant les textes d’application devant régir la SSI, je souhaite que des spécialistes soient désignés à sa tête et des workshops soient réalisés pour cerner notre besoin et pour avoir une meilleure visibilité.
Enfin, j’aurai bien aimé que la SSI soit rattachée aux Services du Premier Ministère pour lui conférer toute la latitude dès lors que l’ensemble des pouvoirs publics est concerné.
Restons confiant.
