Il paraît que nous entrons dans une nouvelle ère, merveilleusement moderne, entièrement numérique, parfaitement dématérialisée, où l’administration connaît tout de nous, où nos entreprises transmettent leurs informations en temps réel et où l’État pourra, grâce à la magie de l’intelligence artificielle et des plateformes agréées, savoir presque instantanément qui facture quoi (et combien) à qui.

Merveilleux, à un détail près : avant de nous demander toujours davantage de données, il faudrait que l’Etat soit en mesure de protéger celles qu’il possède déjà.

À lire aussi : "Nous avons commencé le réarmement mais le monde se durcit plus vite" : la France entend réagir après le piratage du fisc

Or, cet été, la Direction générale des finances publiques — la DGFiP, pour les intimes — vient de nous offrir une démonstration spectaculaire de la difficulté de l’exercice. D’abord, un cyberpirate () qui a extrait les données de 678 000 particuliers et professionnels. Quelques jours plus tard, c’est le tour du serveur des données cadastrales avec le piratage de 1,8 million de données. Et enfin les hackers ont fini le travail avec le piratage du portail des successions vacantes.

Des intrusions datant de juin et juillet, révélées seulement mi-août par un communiqué lunaire de l’administration : « Un acteur malveillant a revendiqué des accès illégitimes au système d’information de la DGFIP. » Notons au passage qu’il s’est écoulé plus d’un mois et demi entre la première cyberattaque et la révélation par l’Administration aux contribuables accompagnées des excuses embarrassées de David Amiel, notre ministre des Comptes publics.

Le pire n’est pas là. Une cyberattaque n’est malheureusement plus un événement exceptionnel. Les États sont attaqués. Les entreprises, les collectivités, les hôpitaux sont attaqués, Il serait donc absurde de reprocher à la DGFiP d’avoir été attaquée.

« On se demande combien de temps aurait encore duré l’histoire si les pirates n’avaient pas eux-mêmes revendiqué leur intrusion »

Ce qui est beaucoup plus gênant, en revanche, c’est ce qui s’est passé après l’intrusion. Car nous parlons ici de données dont la sensibilité ne devrait échapper à personne : un revenu fiscal de référence, une situation familiale, une adresse, des informations relatives au patrimoine immobilier, une entreprise, son identité, son numéro SIREN, ses liens économiques.

À lire aussi : L’administration fançaise plonge dans le grand bain de l’IA souveraine

Ce sont des informations permettant de dresser des profils extrêmement précis de particuliers et d’entreprises. Et l’on découvre que des pirates ont pu accéder à ces systèmes et en extraire des données. La DGFiP a notamment expliqué que les contrôles d’accès avaient permis de désactiver les comptes compromis, mais que les mécanismes en place n’avaient pas permis de détecter que les accès avaient conduit à des extractions de données. Voilà qui mérite tout de même quelques explications.

Car il y a une différence assez fondamentale entre « nous avons détecté qu’une porte était ouverte » et « nous avons détecté que quelqu’un était entré et était en train de vider la maison ». La première situation est déjà désagréable. La seconde l’est nettement plus, et l’on se demande combien de temps aurait encore duré l’histoire si les pirates n’avaient pas eux-mêmes revendiqué leur intrusion.

NIS2 : beaucoup de règles, beaucoup de conformité…

C’est précisément à ce moment-là qu’un autre sujet mérite d’être posé : celui de la Directive européenne « NIS2 », qui a précisément pour........

© Marianne