Cybersécurité : Miser sur le capital humain pour renforcer la résilience numérique

Telle une piqûre de rappel, la floraison de piratages qui avait secoué en avril dernier plusieurs entités publiques comme la Caisse nationale de sécurité sociale (CNSS) et les ministères de la Justice, de l’Agriculture et de l’Emploi a mis à nu la vulnérabilité de leurs systèmes d’information.

Cette vague de cyberattaques a agi comme un électrochoc, poussant de nombreuses institutions à blinder leurs serveurs informatiques et à revoir en profondeur la protection de leurs infrastructures numériques. C’est le cas de la CNSS qui, deux mois plus tard, en juin, s’est adjoint les services de l’entreprise informatique Munisys pour la maintenance de la solution de reverse proxy et de la solution de protection des documents échangés.

Le ministère de l’Agriculture n’est pas en reste. Le département d’Ahmed El Bouari ne cesse de muscler son système d’information pour limiter les risques d’intrusion. Dernière preuve en date : le marché de 4,8 MDH récemment lancé pour l’acquisition d’une solution de sécurité destinée à son Active Directory, l’infrastructure qui gère l’ensemble des comptes, permissions et accès de ses 6.000 utilisateurs.

Quelques jours plutôt, l’institution avait choisi l’espagnol Intelcom pour déployer une solution combinée de sauvegarde sur bande et de protection anti-ransomware de son SI.

Des talents numériques pour contrer les menaces
D’autres structures, épargnées par les experts du «Black hat», sécurisent aussi leur dispositif numérique afin de se prémunir d’éventuelles attaques. Sur la liste, on retrouve le ministère de l’Intérieur qui a budgétisé, fin septembre, 33,6 MDH pour la mise en place de solutions numériques qui blinderont son QG central et ses 83 préfectures.

Avant, lui, en juillet, l’Agence nationale de la conservation foncière, du cadastre et de la cartographie (ANCFCC) avait engagé la société NearSecure pour l’audit global de la sécurité de son système d’information pour 2,51 millions de dirhams (MDH). Un marché qui est tout sauf anodin, puisqu’il intervenait quelques semaines après le piratage de la plateforme des notaires Tawtik.

Mais au-delà du renforcement des défenses numériques, il urge de former une masse critique de compétences locales pour mieux faire face aux hackers «black hat» hypersophistiqués qui excellent dans l’innovation des méthodes d’hameçonnage. Sans ce capital humain qualifié, aucune stratégie de cybersécurité ne pourra pleinement réussir.

Le dernier Conseil des ministres, qui s’est tenu le 19 octobre dernier, a confirmé la nécessité de disposer de talents avérés dans les technologies pour faire face à ces menaces en constante évolution. En atteste l’adoption d’un projet de décret qui établit un statut particulier pour les fonctionnaires de la Direction nationale de la sécurité des systèmes d’information (DGSSI), rattachée à l’Administration de la défense nationale.

Formations ciblées pour mieux outiller les collaborateurs
Objectif : doter cette institution publique d’un cadre de gestion des ressources humaines plus flexible et attractif pour recruter et retenir des profils civils qui excellent dans la cyberdéfense.

Une «indemnité globale incitative» sera instaurée pour aimanter ces «geeks» qui piloteront des missions techniques et hautement sensibles. Outre le recrutement de talents numériques, d’autres institutions investissent de plus en plus dans le renforcement des capacités de leurs collaborateurs afin de mieux les outiller dans ce domaine. L’Office national des aéroports (ONDA) est un cas d’école.

Après avoir annoncé, le 8 octobre, le recrutement de son directeur des systèmes d’information (DSI) qui pilotera la transformation digitale des aéroports, l’entité dirigée par Adel El Fakir a mandaté, le 27 octobre, l’entreprise Awarino, pour former ses équipes à travers une solution de e-learning.

Cette filiale de Dataprotect dédiée à la formation et à la sensibilisation en cybersécurité, va mettre en place une plateforme de formation en ligne qui proposera différents modules : de la gestion des mots de passe à la sécurité physique au bureau, en passant par la protection des données conformément aux lois marocaines et aux normes internationales telles que le RGPD de l’UE.

Les cabinets internationaux s’y mettent
Des compagnes de phishing simulées qui permettront de mesurer les réactions des utilisateurs et d’établir des statistiques détaillées à travers un tableau de bord automatisé, ainsi qu’un système d’évaluation des collaborateurs sont également prévus. Une initiative qui entre dans le cadre de la stratégie de modernisation du secteur aérien national.

«Le développement de formations spécialisées est devenu un axe stratégique. Il s’agit non seulement de doter les institutions publiques et privées de compétences locales capables d’assurer la résilience de leurs systèmes, mais aussi de stimuler tout un écosystème de prestataires de services et d’experts capables d’accompagner la transformation numérique du pays en toute sécurité», explique Ali El Azzouzi, PDG de Dataprotect.

Conscients de cet enjeu crucial et de la pénurie de profils qualifiés, plusieurs cabinets internationaux, ayant pignon sur rue au Maroc, lancent des centres de formation particulièrement destinés aux entreprises marocaines. Dernier en date, le britannique PwC qui a inauguré, le 14 octobre dernier, son premier Digital Resilience Center (DRC) de la région MENA.

Un centre d’expertise et d’innovation, conçu pour accompagner les entreprises marocaines et internationales dans leur résilience digitale, la gestion des risques et la sécurité numérique. Un mois plutôt, Deloitte avait mis sur pied son CyberAcademy, adossé à son Cybercenter basé dans le Royaume. L’objectif est clair : faire du Maroc un hub pour exporter leur savoir vers d’autres pays du continent.

Un centre d’innovation en cybersécurité pour anticiper les menaces numériques
Le Maroc disposera bientôt d’un centre d’innovation en cybersécurité (CIC) pour renforcer son arsenal numérique. La décision officialisant la création de cette infrastructure, qui doit être constituée sous forme de groupement d’intérêt public (GIE), a été publiée au Bulletin Officiel du 6 mai 2025.

Le projet est porté par l’Administration de la défense nationale, le ministère délégué, chargé du Budget , le ministère de la Transition numérique et de la réforme de l’administration, et l’Université Mohammed V de Rabat.

Établi pour une durée de 40 ans renouvelable, le CIC sera basé à l’École nationale supérieure d’informatique et d’analyse des systèmes (Ensias) et exercera plusieurs activités au profit de ses membres, à savoir la formation supérieure aux métiers de la cybersécurité, la recherche fondamentale et appliquée sur les menaces émergentes, le développement technologique et l’innovation, et la gestion partagée des équipements spécialisés.

Des activités qui seront menées dans le cadre de partenariats étroits avec les acteurs académiques et professionnels, du secteur public comme du secteur privé.

Le centre offrira également, aux start-up spécialisées en cybersécurité, un environnement propice à l’expérimentation, à l’incubation et à la valorisation des innovations.