Malgré les tentatives de rassurer le public par le ministre des Armées, il est essentiel d'examiner de près les implications de l'utilisation de logiciels privés dans les infrastructures étatiques. La question centrale demeure : les bénéfices en termes d'efficacité justifient-ils les sacrifices en matière de souveraineté ?

La souveraineté numérique désigne la capacité d'un État à garantir son indépendance technologique et à maîtriser ses ressources numériques. Cela inclut la possibilité de produire et de gérer les biens et services essentiels, allant de la sécurité alimentaire aux infrastructures militaires, en passant par les technologies numériques. Dans un monde de plus en plus interconnecté, la souveraineté numérique est devenue une dimension essentielle qui traverse tous les secteurs d'activité.

Pour garantir cette souveraineté, plusieurs éléments sont cruciaux. D'une part, il est impératif de disposer de biens numériques sécurisés, tels que des serveurs, pare-feu et routeurs, qui constituent les fondements d'un système d'information fiable. D'autre part, les services numériques doivent permettre une gestion sécurisée des données, essentielle pour le bon fonctionnement des services publics, notamment en matière d'identité numérique et de gestion des crises.

L'utilisation de solutions développées par des entreprises privées peut sembler séduisante pour les États, car elle permet d'accélérer la mise en œuvre de technologies déjà éprouvées. Cela permet à l'administration de se concentrer sur son cœur de métier tout en bénéficiant d'une logique d'économie d'échelle. Des logiciels de bureautique, de gestion des ressources humaines ou de communication, utilisés par des millions d'organisations, offrent une efficacité immédiate et sont souvent moins coûteux que le développement de solutions internes.

De plus, l'acquisition de matériel via des prestataires privés permet de répondre à des besoins spécifiques sans nécessiter d'investissements lourds, ce qui est particulièrement pertinent pour des équipements standards comme des ordinateurs ou des serveurs. Cette approche garantit également une expertise technique et un savoir-faire qui peuvent faire défaut dans une administration souvent limitée en ressources humaines.

Les solutions open source, quant à elles, apportent une flexibilité et une capacité d'innovation indéniables. Elles permettent une intégration rapide d'outils variés à moindre coût, tout en favorisant la transparence vis-à-vis des citoyens et en attirant des talents intéressés par les projets communautaires.

Cependant, cette dépendance à des solutions commerciales comporte des risques non négligeables. Bien que ces logiciels soient conformes à la réglementation européenne, ils peuvent également être soumis à des lois étrangères qui compromettent la protection des données. Par exemple, le Patriot Act américain permet aux autorités d'accéder à des données stockées par des entreprises américaines, même si celles-ci sont hébergées en Europe. De telles situations soulèvent des inquiétudes quant à la sécurité des informations sensibles gérées par l'État.

D'autre part, les vulnérabilités inhérentes à ces solutions peuvent ne pas être corrigées rapidement en raison de contraintes budgétaires ou d'un manque de ressources. Ces retards peuvent créer des failles de sécurité dont l'État pourrait ne pas être conscient, exposant ainsi des données critiques à des cyberattaques. L'incident lié au logiciel MOVEit, qui a gravement affecté le programme Medicaid du Colorado, illustre bien ce risque.

La dépendance accrue à des technologies privées peut également conférer un pouvoir considérable aux entreprises sur les opérations étatiques. Un changement soudain de politique tarifaire, comme cela a été observé avec VMware, peut avoir des répercussions significatives sur les budgets publics et la fourniture de services essentiels.

Enfin, l'intégration de solutions non-étatiques dans les systèmes d'information de l'État nécessite une gestion rigoureuse des interfaces entre différents composants. Les protocoles d'interopérabilité doivent être définis avec précision pour éviter toute vulnérabilité exploitable. Par exemple, l'utilisation d'API RESTful pour les communications interservices doit être soigneusement sécurisée pour prévenir les attaques potentielles.

Pour naviguer dans ce paysage complexe, il est crucial de trouver un équilibre entre souveraineté numérique et efficacité opérationnelle. Voici quelques recommandations pour y parvenir :

 

1. Définir clairement les services à externaliser : Il est essentiel d'identifier quels services peuvent être confiés à des prestataires externes et lesquels doivent rester sous le contrôle direct de l'État. Cela concerne notamment les applications critiques, telles que celles utilisées pour le calcul des impôts ou la sécurité intérieure.
2.  
3. Évaluer les risques liés à l'externalisation : Chaque service externalisé doit faire l'objet d'une analyse approfondie des risques. Des mesures de mitigation doivent être mises en place pour garantir que l'État conserve un contrôle adéquat sur les services essentiels.
4.  
5. Surveiller les mises à jour et la maintenance : Il est impératif que les solutions, qu'elles soient internes ou externes, soient régulièrement mises à jour pour corriger les failles de sécurité. Un processus de maintenance continue (MCO/MCS) doit être instauré pour garantir la sécurité des systèmes en temps réel.
6.  
7. Adopter une approche DevSecOps : Intégrer la sécurité dès les premières phases de développement logiciel est essentiel. En utilisant des tests de sécurité automatisés dans les pipelines de développement, les vulnérabilités peuvent être identifiées et corrigées avant la mise en production.
8.  
9. Former les acteurs concernés : Sensibiliser les agents de l'État aux enjeux de la sécurité numérique est primordial. Chaque membre de l'organisation doit être conscient des risques et des meilleures pratiques pour protéger les systèmes d'information.
10.  
11. Mettre en place des systèmes de surveillance : Les solutions de gestion des informations et des événements de sécurité (SIEM) doivent être intégrées pour analyser en temps réel les logs et détecter des comportements anormaux, permettant ainsi une réaction rapide face à des menaces potentielles.

Au Maroc, la question de la souveraineté numérique prend également une ampleur significative. Le pays a entrepris des efforts considérables pour développer son infrastructure numérique et réduire sa dépendance vis-à-vis des technologies étrangères. Le Plan Maroc Numérique 2020, par exemple, vise à promouvoir l'innovation et à renforcer les capacités locales en matière de technologie. Cependant, la dépendance à des solutions numériques non-étatiques demeure une préoccupation.

Le gouvernement marocain doit naviguer entre l'adoption de technologies avancées et la nécessité de protéger ses données sensibles. Des initiatives telles que la création de centres de données nationaux et le soutien à l'innovation locale sont des étapes cruciales pour garantir une souveraineté numérique. Cela implique également de sensibiliser les acteurs publics aux enjeux de sécurité et de promouvoir des partenariats avec des entreprises locales pour développer des solutions adaptées aux besoins spécifiques du pays.

 

En conclusion, la dépendance des États aux géants du numérique représente un défi majeur pour la souveraineté numérique. Une approche réfléchie et équilibrée est nécessaire pour tirer parti des avantages des solutions numériques tout en préservant la sécurité et l'indépendance des services publics. Le chemin vers une souveraineté numérique renforcée passe par une évaluation rigoureuse des risques et une intégration stratégique des technologies, garantissant ainsi que l'État reste maître de ses outils et de ses données.