Cyberattaque à la DGFiP : l’urgence n’est plus de constater, mais d’investir
La cyberattaque, dont la DGFiP a été victime au cours de cet été, a conduit au vol de données fiscales de nombreux contribuables. Alors que le Ministre de l'Action et des Comptes publics annonce un audit externe destiné à tirer toutes les conséquences de cet événement, il reconnait également l’existence de « dettes techniques » accumulées au fil des années et la nécessité d’accélérer la modernisation de la cybersécurité.
Pour la CFDT Finances publiques, cette attaque ne doit pas être analysée comme un incident isolé. Elle confirme des alertes que nous avions formulées depuis plusieurs années sur le niveau d’investissement consacré à la sécurisation des systèmes d’information alors que la menace cyber se renforce et que les données détenues par la DGFiP figurent parmi les plus sensibles de l’État.
Des moyens de sécurité qui n’ont pas suivi l’évolution des risques
Il aura fallu cette attaque d'ampleur pour que nos dirigeants reconnaissent publiquement l’existence d'une dette technologique et annonce une accélération des investissements de cybersécurité. La CFDT n'avait pas attendu pour alerter sur le report de projets de sécurisation et sur des arbitrages ayant retardé certains chantiers pourtant considérés comme prioritaires (lire aussi : Investir enfin dans la sécurité informatique à la DGFiP : une urgence, pas une variable d’ajustement | CFDT). Pour autant, ces alertes n’ont pas été prises au sérieux.
La CFDT demande que la cybersécurité ne soit plus considérée comme une variable d’ajustement budgétaire. La transformation numérique de la DGFiP ne peut être crédible que si les investissements de sécurité progressent au même rythme que les nouveaux usages et les nouvelles applications. Il en est de même pour le partage de données avec d’autres administrations, angle mort de la sécurité.
La CFDT demande que la cybersécurité ne soit plus considérée comme une variable d’ajustement budgétaire. La transformation numérique de la DGFiP ne peut être crédible que si les investissements de sécurité progressent au même rythme que les nouveaux usages et les nouvelles applications. Il en est de même pour le partage de données avec d’autres administrations, angle mort de la sécurité.
C'est pourquoi la CFDT revendique la sanctuarisation des moyens humains, budgétaires et techniques dédiées à la cybersécurité, indépendamment des arbitrages portant sur d'autres projets informatiques.
Mieux détecter les attaques et limiter les fuites de données
La DGFIP fait face à plusieurs milliers de tentatives d’attaque chaque année. Alors que les contrôles internes redoublent pour sanctionner les consultations non professionnelles que pourraient faire des agents, elle n'a toujours pas généralisé des systèmes d’alerte précoces pour détecter les intrusions externes et les fuites de données. Et pour cause, les outils de surveillances internes sont principalement développés pour du contrôle interne et non pour empêcher une fuite massive de données. Or la menace externe est bien réelle comme le rappelle cette cyberattaque.
Pour la CFDT, l’enjeu n’est pas d’opposer contrôle interne et sécurité externe. Une administration qui gère des données aussi sensibles doit être capable à la fois de contrôler les accès légitimes et d’identifier rapidement les comportements anormaux, les extractions massives de données ou les consultations inhabituelles.
La CFDT revendique le déploiement généralisé de dispositifs d’alertes automatiques. La DGFIP doit investir dans le développement d’outils de détection précoce de consultations abusives et d’extraction de données en s’appuyant sur une intelligence artificielle développée en interne. La sécurisation doit être mise en œuvre à tous les niveaux du système d'information, en protégeant à la fois les accès au réseau, les postes de travail et chaque application.
Sécuriser les accès et le télétravail
Il aura fallu attendre cette intrusion d'ampleur pour que le ministre annonce l’accélération de la généralisation de la double authentification pour l’ensemble des agents de la DGFIP pour tous les postes de travail, qu’ils soient nomades ou fixes. Pour la CFDT, l’authentification renforcée annoncée et reportée depuis de nombreuses années constitue aujourd’hui un standard minimal de sécurité. Il conviendra pour cela de dépasser d'autres contraintes. En effet, tous les agents de la DGFIP ne sont pas équipés d'un téléphone portable professionnel. La CFDT propose aussi une authentification forte : clé USB à insérer dans le PC avec un code pin pour ouvrir la session. Ce dispositif de sécurité présente certes un coût qui reste cependant largement inférieur à celui engendré par méfiance croissante des contribuables envers notre administration, notamment les détenteurs de cryptoactifs ou les contribuables exerçant des professions exposées.
Remarque : la double authentification par mail est très peu sécurisée et ne peut pas être recommandée.
La théorie de la normalisation de la déviance
La cyberattaque dont a été victime la DGFiP rappelle un phénomène bien connu en matière de gestion des risques : la normalisation de la déviance. À force de repousser certains investissements, de différer la mise en œuvre de protections essentielles ou de considérer la cybersécurité comme une variable d'ajustement, des situations anormales finissent par être perçues comme acceptables. Tant qu'aucun incident majeur ne survient, les alertes sont relativisées et les vulnérabilités restent invisibles. La cyberattaque montre au contraire que les risques signalés par la CFDT doivent conduire à rompre avec cette logique du risque et à prioriser durablement la cybersécurité.
