Intervention de Françoise Bilancini

Dès les premiers recrutements, entre la fin de l'année 2017 et le début de l'année 2018. Je n'ai bien évidemment pas pu organiser des enquêtes sur l'ensemble des personnels déjà en place. Mais dès mon arrivée, au mois d'avril 2017, nous avons procédé à des entretiens.

Ce dispositif entraînait un durcissement du secret-défense qui, outre les habilitations, englobe également les différents process de travail au sein du service et d'importantes règles de comportement. Comme je l'ai déjà dit à différentes inspections, lorsque j'ai instauré ce dispositif, un tract syndical a immédiatement été publié : cela n'a pas traîné et cela signifiait que le changement de culture était perceptible.

Dès avant l'affaire Harpon, nous avions engagé une revue des cadres, dont les quatre retraits ou refus d'habilitation évoqués précédemment sont issus. Nous avions un doute concernant ces personnels et nous avons approfondi notre enquête ; l'un des cas est un refus d'habilitation d'une personne qui venait de rejoindre nos services. La revue des cadres se poursuit, en particulier concernant les professions et les missions les plus sensibles.

Les procédures de recrutement ont également fait l'objet d'une préconisation de l'ISR. Dès mon arrivée a été instaurée une procédure consolidée s'appuyant sur un jury constitué de différents cadres de la direction. Tous les candidats sont reçus et interrogés sur les métiers de la DRPP et la perception qu'ils en ont. Chacun des responsables de service présent pose des questions en rapport avec la mission qui leur sera éventuellement proposée. À leurs côtés, des membres du service des ressources humaines disposent du dossier individuel de chaque candidat. Autant que faire se peut, nous sélectionnons des dossiers exempts de sanctions ; le cas échéant, nous examinons la nature de la sanction et les faits auxquels elle se rapporte. Enfin, j'ai recruté un psychologue contractuel qui est très au fait de ce que représente le fait de travailler sous le secret. En effet, lorsqu'on leur explique qu'ils vont faire l'objet d'une enquête assez intrusive afin d'obtenir l'habilitation, certains renoncent. D'autres estiment qu'ils ne pourront pas vivre avec le secret, sans pouvoir partager des éléments de leur travail avec leurs proches. Le psychologue nous aide à détecter ce type de vulnérabilité ; d'autres sont directement liées à la mission qui sera confiée au candidat. Le psychologue détermine alors avec précision l'emploi qui conviendra le mieux au candidat, notamment en fonction de sa résistance au stress.

L'ISR préconise de poursuivre ces pratiques, ce que nous faisons, et de créer un service de contrôle interne. Celui-ci s'exerce de différentes façons : d'une part, le contrôle interne passif qui porte sur les accès, les réseaux et l'informatique, et qui est en cours d'élaboration. D'autre part, le contrôle interne physique. Actuellement, je suis en mesure de diligenter une nouvelle enquête d'habilitation immédiatement, puisque le service est dans mon périmètre. À l'avenir, je devrai en faire la demande à la DGSI sur la base d'un dossier. Le service de contrôle interne, composé de fonctionnaires de la DRPP, observera le comportement et l'attitude des agents – par exemple s'ils laissent traîner des documents sur leur bureau. Les membres de ce service procèderont aussi à des revues de détails, pointant par exemple l'absence de signalement d'un changement de situation individuelle, qui constitue une alerte quant à la loyauté et la sincérité de la personne concernée. Ainsi, ce service vérifiera auprès des ressources humaines que les agents ont bien signalé qui son mariage, qui son PACS. C'est très important, parce que cela peut amener à enquêter sur le compagnon. Le service de contrôle interne sera amené à élaborer un certain nombre de pratiques et de règles, à la fois pour nous aider et pour orienter la DGSI dans les reprises d'enquêtes dont nous aurions besoin. Tout cela demande du temps, notamment pour mener à bien le recrutement de ces personnels, qui est en cours. La création de ce service permettra de rassembler l'ensemble des éléments qui devront être versés à un dossier. À terme, cela pourrait aboutir à un signalement pour radicalisation ou au réexamen d'une habilitation.

Dans le cadre du projet stratégique de la préfecture de police, l'ISR préconise également le renforcement de la sécurité des systèmes d'information, qui figurait dans ma lettre de mission en 2017. Ce renforcement est en cours ; un ingénieur de sécurité des systèmes d'information (SSI) a été recruté et encadre deux assistants locaux de sécurité des systèmes d'information (ALSSI). Nous avons durci les règles de comportement relatives à l'accès aux réseaux actuel et futur. Cela concerne notamment l'utilisation de clés USB, l'attribution des droits d'administrateur, etc.

Avec le précédent responsable de la SSI, nous avons lancé la diffusion d'une lettre mensuelle de sensibilisation aux enjeux et aux règles de la SSI. Nous effectuons également des rappels des bonnes pratiques et nous procédons à des tests : des pièges sont tendus, afin d'observer la réaction des fonctionnaires, par exemple lorsqu'ils reçoivent un e-mail piégé. Le cas échéant, nous envoyons des lettres de rappel et d'admonestation. Il s'agit d'une action au long cours, qui était déjà menée avant l'affaire Harpon ; nous sommes et serons très vigilants à ce sujet. Le nouveau système d'information nous permettra d'automatiser et de renforcer le contrôle des accès et des pouvoirs des administrateurs, le cloisonnement entre les différents services, etc.

La sensibilisation et la formation à la radicalisation ont également été renforcées, afin que les personnels sachent bien ce qu'ils doivent faire. En effet, pour faire remonter des informations utiles, il est nécessaire de connaître le sujet.