Dawizz et la cybersécurité - entretien avec Anne Le Hénanff version longue

Qu'est-ce que la cybersécurité ? La cybersécurité ça reprend l'ensemble des technologies, des processus mais également les bonnes pratiques que l'on met en place au sein des entreprises ou des collectivités pour protéger ses réseaux, ses serveurs, ses ordinateurs mais également et principalement ses données. Mais pourquoi les protéger ?

A quoi ça sert ? On les protège pour contrer des altérations qui pourraient être faites de manière inopinée, des dommages éventuels mais également des actes plutôt malveillants, des attaques ou des vols de données. Nous allons voir ensemble lors de cet échange avec Anne Le Hénanf quels sont les intérêts, les enjeux liés à la protection des données pour les collectivités et pour les entreprises.

Telle valeur, moi je dis aujourd'hui c'est l'or en barre, on a moins de finances dans les collectivités mais ce qui a pris le plus de valeur c'est la donnée qu'on collecte, j'en suis vraiment convaincue. Et donc le prochain enjeu sera de protéger ces données. Il faut qu'on soit partie prenante dans le cycle de vie de la donnée, de sa collecte jusqu'à sa suppression en passant par sa requalification en usage smart ou en open data ou en services que nous on a envie de proposer à nos citoyens.

Il faut remettre les collectivités au cœur de la donnée. Et ça c'est pour moi, comment dire, déjà un premier pas vers la souveraineté. C'est-à-dire que si nous pouvoir public, nous élus locaux, on sait où sont stockées les données, comment elles sont sauvegardées, qu'on connaît bien nos prestataires, qu'on a été exigeants sur leur niveau de protection, leur niveau de conformité au RGPD, leur philosophie, leur éthique vis-à-vis de la donnée, il faut qu'on collabore avec eux en fait.

C'est-à-dire que c'est du partenariat pour éviter finalement qu'on ne devienne nous les collectivités, ce qui est le cas sur plein de sujets depuis des décennies de simples clients. Mais la donnée, moi je trouve que c'est un sujet fantastique. Il y a des risques, mais moi je vois plutôt les opportunités qui vont derrière.

Les collectivités ont toujours collecté des données, mais en fait la plupart du temps avec des dossiers papiers, je dirais que ces dix dernières années, la dématérialisation et la numérisation des collectivités, comme n'importe quelle organisation, fait qu'on collecte peut-être autant de données qu'avant, toute proportion gardée par rapport aux compétences. Mais comme il y a d'autres compétences qui arrivent, d'autres services qui se développent, la collecte de données dématérialisées et parfois en même temps toujours en version papier, c'est explosé. Jusqu'à il y a peu, les communes n'imaginaient pas être par exemple la cible d'attaques cyber.

On a vu depuis deux, trois ans, qu'au même titre qu'une PME, une TPE ou une administration publique d'État, on est aussi convoité et on peut être la cible d'une attaque cyber ou d'une altération des données ou de rentrer sur nos systèmes d'information. On est fragile à ce niveau-là. Donc le RGPD, on peut dire, a été une étape dans notre vie de collectivité locale, a été une étape majeure.

On était soumis à la loi informatique et liberté de en 1978. La plupart du temps, on n'était même pas au niveau de cette loi informatique et liberté, on ne va pas s'en cacher, et la CNIL le sait très bien. Mais c'est vrai que le RGPD a changé la donne, a vraiment changé la donne puisqu'elle contribue à l'acculturation d'une responsabilité qu'on avait déjà, celle de protéger les données de nos citoyens, mais aussi du coup de dire que si on ne le fait pas, on risque gros.

Ils sont multiples envers les risques, ce n'est pas un type de risque. Donc ça peut être un acte malveillant comme on en voit partout. Et là, ça concerne aussi bien les collectivités que les PME, les entreprises.

Ça peut aller de là jusqu'à des actes, des cyberattaquants qui rentrent sur le système d'information et qui font soit de la propagande, soit volent de données avec demande de rançon. Quoi qu'il en soit, il ne faut pas vivre avec la peur de ça. Il faut essayer d'anticiper les risques et de mettre différentes mesures, différentes protections en fonction des données ou qu'on produit ou qu'on collecte.

Du coup, on parle d'une protection différente, différenciée, mais comment connaître ces différentes données ? Parce que c'est souvent aussi un point qui… Écoutez, je pense que le RGPD nous a un peu donné le ton. C'est que pour pouvoir protéger de manière différenciée les données selon leur importance, leur valeur, leur enjeu, pour moi, il est indispensable de faire une cartographie des données qu'on collecte.

L'impulsion, la décision de se pencher sur la cartographie des données, c'est une décision politique et elle est prise par le maire. Je fais partie des élus qui pensent que de même qu'on nous a imposé une protection des données en caractère personnel, nous allons avoir des réglementations sur l'open data. Ce n'est pas obligatoire, mais on nous y pousse fortement.

Et pour l'instant, ce sont les métropoles qui travaillent beaucoup là-dessus. Ça va nous tomber dessus aussi, nous, les communes. Donc, il faut qu'on s'y prépare.

C'est-à-dire qu'on faut aussi toujours, comme pour la protection des données, qu'on est toujours à temps d'avance. Et là, je pense que ça va réglementairement nous tomber dessus parce que c'est une condition de modernisation de notre pays, tout simplement. Donc, c'est souvent les communes qu'on incite et qui sont sollicitées.

Et je pense même qu'on va avoir des réglementations assez rapidement sur la Smart City, la ville intelligente. Donc, on ne peut pas, je dirais, nous lancer sur ces grands chantiers de modernisation de notre pays si on n'a pas au préalable, quelle que soit la taille de la commune, cartographier les données. Mais c'est quelque chose quand même qui est encore pas du tout évident pour les petites communes.

Il faut être assez lucide. Beaucoup de maires, s'ils entendent parler de la Smart City, ils ne savent pas du tout de quelle manière ça se concrétisera dans leur commune. Au quotidien ?

Au quotidien, ils ne voient pas. Et le citoyen, dans tout ça ? Alors, le citoyen, je pense que lui, il faut vraiment qu'il soit partie prenante dans ces sujets-là.

Le RGPD l'a remis au cœur de la donnée. La donnée à caractère personnel d'un citoyen, lui, appartient. Nous, on en est juste, je dirais, dépositaires et responsables.

Parler de la souveraineté des données, en lien aussi avec le cycle de vie de cette donnée, est-ce que vous pouvez nous en dire un peu plus ? Alors, avec l'open data et la Smart City, il y a un lien direct. Mais moi, je pense qu'il y a eu la cybersécurité.

Ça fait vraiment deux ans qu'on travaille là-dessus. Les mentalités ont changé. Les mentalités ont changé.

Le RGPD est arrivé. Il y a des organisations qui se sont impliquées sur ce sujet-là, la cybersécurité dans les collectivités. Le CREC, le Centre de Recherche de Saint-Circ-Oéquidant.

Le CREOGEN, celui de la Gendarmerie Nationale. Il y a beaucoup de ministères qui ont travaillé là-dessus aussi. C'est indispensable.

Sécuriser ces données, s'intéresser à la sécurité de ces systèmes d'information, les bonnes pratiques de ces collaborateurs, l'acculturation à la dématérialisation, aux usages, aux enjeux aussi du coût et aux risques. C'est pour moi un postulat de base. Donc, nous, je le dis d'autant plus à l'aise.

C'est vrai que nous, on a investi depuis deux ans à 20 sur ce sujet-là. Ce qui fait qu'on a pris du retard, je ne vous cache pas, sur l'open data, la smart city, parce qu'on a tout bloqué pour assurer un niveau de sécurité informatique. Mais on ne le regrette pas.

Une sérénité. C'est-à-dire qu'aujourd'hui, moi, je suis une élue détendue. Une élue détendue, ça ne veut pas dire que la sécurité et la protection des données, c'est acquis.

Il faut toujours travailler au quotidien. Mais au moment où on a la base, après, c'est beaucoup plus facile. Et donc, du coup, ça me donne envie maintenant.

Et c'est ce qu'on va faire. C'est ce qu'on a lancé en 2019. Maintenant, on va s'occuper de la donnée, justement, puisqu'on l'a, puisqu'on a protégé ces données ou produites ou collectées.

On peut y aller maintenant. Bon, alors, on n'a pas les moyens des métropoles. Donc, pour l'instant, on regarde beaucoup ce qui se passe dans les métropoles.

Mais comme je vous dis, je pense que l'État, assez rapidement, va nous engager, va nous engager, pour ne pas dire inciter sur des voies où il faudra répondre présent. Pas question que Vanne soit larguée parce qu'elle n'a pas fait ce qu'il faut au moment où il faut. OK.

Voilà. Merci beaucoup, en tout cas, pour toutes ces réponses. C'était très intéressant.

C'est toujours passionnant de parler de ces sujets-là. Amen. Merci.

Merci.