Intervention de David Ofer

Toutes les collectivités territoriales que je rencontre sont sensibilisées au risque cyber.

Il faut se poser la question de ce qu'est le risque cyber. Est-ce uniquement la paralysie par une attaque ou est-ce également la possibilité d'avoir accès à nos données ? Là se pose une question de politique : est-on prêt à laisser l'accès à nos données à tout le monde ? Ou veut-on avoir une politique souveraine sur la protection de nos données ?

Les collectivités territoriales sont parfaitement conscientes des enjeux de cybersécurité. Les directeurs des systèmes d'information (DSI) et les responsables de la sécurité informatique que je rencontre sont les premiers à essayer d'acheter des outils de cybersécurité. Ils font appel à l'ANSSI qui joue un rôle très important. Ils essayent de sensibiliser leurs utilisateurs, mais aujourd'hui, les collectivités territoriales n'ont pas toujours des moyens financiers et humains suffisants. Aujourd'hui, nous souffrons d'une pénurie forte d'ingénieurs : il manque trois à quatre millions d'ingénieurs en cybersécurité. On ne pourra pas former en France plusieurs centaines de milliers d'ingénieurs en deux ans. Il faut cinq, six, sept ans.

Cette problématique des moyens est un véritable sujet. Pour cette raison, la Fédération française de la Cybersécurité a prévu le nouveau métier d'assistant cyber, qui sera le relais entre la dimension technique de la cybersécurité et l'utilisateur, notamment dans les collectivités territoriales.

Je vais prendre un exemple simple. La plupart des agents dans les mairies ne savent pas changer leur mot de passe. Il faut un accompagnement pour ces personnels pour garantir la cybersécurité.

Oui, il y a une prise de conscience réelle dans les collectivités territoriales. Cela dit, les élus ne prennent pas toujours des décisions adéquates parce qu'ils manquent de connaissance en matière de cybersécurité. Ils ne voient que le risque de paralysie, et pas la problématique de l'exfiltration de données. La stratégie des smart cities peut être mise en péril à partir du moment où vous donnez un accès non autorisé à vos données à un tiers.