La Tribune Afrique - CiberObs et le cabinet CEIS viennent de sceller fin septembre un partenariat stratégique. Qu'est-ce qui a motivé ce partenariat « Nord-Sud » et quels avantages devraient en tirer les acteurs de la cybersécurité du continent africain ?
Franck Kié : Ce partenariat a tout d'abord été motivé par l'objectif commun de nos deux événements, à savoir la sensibilisation des acteurs ainsi que des décideurs publics et privés sur les questions de cybersécurité et de protection de données. Ensuite, il y a effectivement la volonté de créer une relation privilégiée entre les acteurs de nos deux continents. Elle permettra de renforcer les liens entre les écosystèmes de cybersécurité ainsi que le développement de partenariats économiques, commerciaux ou technologiques entre acteurs européens et africains ou encore l'accélération des projets structurants de coopération entre l'Europe et l'Afrique en matière de cybersécurité et de lutte contre la cybercriminalité. Un de nos objectifs majeurs est que les acteurs africains de la cybersécurité puissent arriver sur le marché européen et y présenter leurs solutions, bénéficier de l'expertise de leurs pairs et nouer des alliances qui leur permettront de développer des solutions de classe mondiale afin d'être à la hauteur des enjeux qui nous attendent sur un continent rentré pleinement dans la révolution numérique.
Clément Rossi : En effet, ce partenariat est animé par nos volontés communes de créer un pont entre nos différents marchés africains et européens afin d'accroître les coopérations. Ces dernières sont à la fois économiques, technologiques, institutionnelles et étatiques. Comme chacun le sait, le monde numérique n'a pas de frontières.
Il y a donc un réel besoin de collaboration entre les agences et les États, dans le but d'assurer la cybersécurité de tous. Il y'a du partage de connaissance à faire, du développement croisé de compétences (capacity building) carde part et d'autre, nous constatons un problème de ressources, notamment humaines. Comme en Europe, en Afrique, la main-d'œuvre qualifiée se fait rare. Il faut que le continent soit en mesure de former ses propres talents. Cette gestion des compétences est primordiale, car sans compétences, pas de maîtrise de l'espace cyber, donc pas de souveraineté numérique. Là-dessus, l'Europe et l'Afrique sont à armes égales pour coexister entre les géants américain et chinois. À ce titre, notons qu'énormément de projets de l'Union européenne sont actuellement menés en partenariats avec des États d'Afrique de l'Ouest, dans le domaine de la sécurité. Mais si ces coopérations semblent bien fonctionner du côté du secteur public, elles sont encore trop faibles en ce qui concerne le secteur privé. Avec ce partenariat, nous espérons bâtir une plateforme permettant d'accélérer le déploiement des synergies entre nos différents (cyber)-espaces.
A combien est estimé le marché de la cybersécurité aujourd'hui en Afrique ?
Franck Kié : En 2020, le marché de la cybersécurité est estimé à 2,5 milliards de dollars américains. C'est un montant important bien que dérisoire comparé au marché mondial, évalué à 152 milliards. Nous pensons toutefois qu'il y a un réel potentiel sur ce marché et sur le continent. Raison pour laquelle nous mettons tout en œuvre afin de favoriser l'essor du secteur à travers nos initiatives conjointes. L'Afrique n'est pas en marge des processus de digitalisation globaux. Par conséquent, les acteurs publics et privés doivent prendre la pleine mesure des risques liés à la cybercriminalité. Il existe une forte marge de progression sur ce marché et notre objectif est de contribuer à débloquer ce potentiel et favoriser l'émergence et la croissance des acteurs africains dans ce domaine avec l'aide de notre partenaire, le CEIS, qui a déjà une expérience démontrée sur ces problématiques.
Clément Rossi : Je pense qu'il y'aurait un parallèle à étudier entre le marché de la cybersécurité et le coût de la cybercriminalité en termes de points de PIB pour les pays qui en sont victimes. Par exemple, selon une étude de l'organisme Scidev, la cybercriminalité coûte à l'économie nigériane, la première économie du continent, la somme de 500 millions de dollars américains chaque année. L'Afrique n'a pas attendu l'Europe pour entamer sa propre transformation numérique - peut-être à marche forcée, avec une économie tertiaire qui se développe très vite par rapport à l'économie secondaire notamment. Aujourd'hui, les banques sont très en avances par rapport à l'Europe, dans les domaines du paiement mobile, de l'e-banking, etc. Un dynamisme qui crée de nouveaux risques auxquels il est important de répondre de manière rigoureuse.
Comment la menace cybersécuritaire a-t-elle évolué depuis le début de la pandémie en Afrique ? Existerait-il des disparités entre les sous-régions du continent ?
Franck Kié : La menace cybersécuritaire a effectivement évolué depuis le début de la pandémie en Afrique. Les cybercriminels étant de grands adeptes des pratiques dites de phishing (hameçonnage), ils se sont rapidement adaptés au nouveau contexte sanitaire mondial avec de nouvelles tentatives d'escroqueries en lien avec la Covid-19. De nombreux cybercriminels se sont fait passer pour l'OMS ou d'autres organisations non gouvernementales ces derniers mois afin d'abuser les particuliers. Le but est de jouer sur la peur et l'inquiétude du grand public née des incertitudes autour du virus. J'en prends pour preuve le démantèlement récent par la Division spéciale de Cybercriminalité du Sénégal d'un groupe de cybercriminels libano-sénégalais qui vendaient drogues et faux médicaments qu'ils faisaient passer pour des remèdes contre la Covid-19. De plus, la menace cybersécuritaire devient de plus en plus sophistiquée en Afrique où on voit apparaitre de plus en plus d'attaques de types ransomwares (rançonlogiciels) touchant des opérateurs d'importance vitale (OIV). Il existe toutefois des disparités entre les sous-régions du continent. Les attaques de types phishing restent prioritaires en Afrique subsaharienne francophone, tandis que l'Afrique francophone fait montre de dispositifs moins élaborés sur le plan technique. Un hôpital de la ville de Johannesburg a été la cible d'une cyberattaque de type ransomwareen juin dernier, au plus fort de la crise. Ce type d'attaques n'a pas encore été constaté, à ma connaissance, dans les pays francophones.
Clément Rossi : De manière caricaturale, les cybercriminels avaient pour habitude devenir d'Afrique et de cibler des citoyens et organismes européens. Souvenons des brouteurs ivoiriens qui ont beaucoup fait parler d'eux dans les années 2000. Désormais, les économies africaines sont les premières victimes de cette cybercriminalité qui est de mieux en mieux organisée. On voit des mafias qui ont transformé leur business model, passant des arnaques traditionnelles à des schémas d'escroquerie très complexes, reposant complètement sur la sphère numérique.
En ce qui concerne les disparités, nous pouvons noter une fragmentation culturelle et linguistique avec, d'un côté, la cybercriminalité d'Afrique anglophone qui se montre plus dynamique et mature dans ses opérations, grâce à un accès à une documentation abondante et aux réseaux criminels anglo-saxons. De l'autre côté, en Afrique francophone, les réseaux criminels ont accès à moins de ressources et sont donc moins structurés, moins agiles dans leur déploiement.
Cependant, d'un côté comme de l'autre, la difficulté principale réside dans le manque d'outils de détection et de réaction. On se rend compte très tard des attaques. Prenons l'exemple de l'Union africaine, fréquemment mobilisée dans le débat public, les données ont pu être filtrées pendant près de deux ans sans que personne ne s'en aperçoive ! D'où le besoin de développer les outils et compétences locales. Aujourd'hui, en France par exemple, les OIV ont l'obligation de notifier l'ANSSI (Agence nationale de la sécurité des systèmes d'information) après une cyberattaque. En Afrique, peu de mécanismes de ce type existent pour le moment et les données quantifiables et factuelles se font malheureusement rares.
Dans quelle mesure le contexte actuel (pandémie) peut-il jouer le rôle d'accélérateur de développement de solutions liées à la cybersécurité ? Les Etats, les dirigeants institutionnels et les entrepreneurs sont-ils conscients aujourd'hui de cette opportunité ?
Franck Kié : Le contexte actuel joue un rôle d'accélérateur majeur dans le développement de solutions liées à la cybersécurité dans la mesure où la pandémie a obligé la plupart des acteurs à privilégier le télétravail. Ce qui a impliqué la mise en place de solutions pour sécuriser le travail à distance, car la surface d'attaque des entreprises s'est considérablement élargie avec l'adoption forcée de cette pratique. Au plus fort de la crise, courant avril-mai, les États et dirigeants africains,au pied du mur semblaient conscients de cette opportunité, forcés de mettre en place les moyens nécessaires pour éviter une fuite de données massive. Avec la pérennisation de la Covid-19 dans notre quotidien, l'enjeu semble ne plus faire partie des tops priorités. Il nous revient donc, à travers nos différentes initiatives, de continuer le travail de sensibilisation et de maintenir la pression pour que les différents acteurs de l'écosystème prennent conscience de cette opportunité.
Clément Rossi : Effectivement, de manière assez ironique, la pandémie de la Covid-19 et les cybercriminels qui ont sévi pendant cette période de vulnérabilité accrue ont plus contribué au renforcement de la cybersécurité sur le continent que n'ont pu le faire ses institutions ces dernières années.
Les entreprises ont dû accélérer la numérisation de leurs processus de travail sur un laps de temps très court afin de limiter leurs coûts en termes de pertes d'activité. Cette numérisation est faite de manière complexe, parfois laborieuse et chaotique, révélant au grand jour la vulnérabilité des systèmes d'informations. Il est arrivé, par exemple, que certaines organisations ne disposent pas de VPN (Virtual Private Network), outil pourtant indispensable dans la sécurisation des données. Pour protéger leurs acquis économiques, les entreprises ont dû pallier ces carences et renforcer leurs dispositifs de sécurité. Cela passait également par la sensibilisation et la protection des salariés, lesquels ont été et sont en première ligne. Une chaîne étant aussi solide que son maillon le plus faible, il y'a une vraie nécessité de faire du salarié un chaînon fort, avec un partage de bonnes pratiques, la participation à des événements favorisant la réflexion et l'amélioration des capacités, etc.
Certains Etats africains seraient aujourd'hui moins outillés que d'autres en termes de sécurisation des infrastructures critiques. Quelles seraient les conséquences de telles failles pour les Etats ?
Franck Kié : Les conséquences de telles failles pour les Etats seraient désastreuses. Si les mesures adéquates ne sont pas mises en place, et que des cyber terroristes ou criminels décident de s'attaquer à des opérateurs d'importance vitale (électricité, eau, énergie, etc.), une ville, une région ou un pays entier pourraient se retrouver à l'arrêt. Il est sans dire que l'impact que ces cyberattaques auraient sur le fonctionnement et l'économie de ce pays serait catastrophique. La criminalité, le terrorisme et les guerres de demain ont basculé sur un nouveau terrain d'affrontement : le cyberespace. Il faut donc que les États africains prennent la pleine mesure de cette menace pour ne pas se retrouver démunis en cas d'attaques. Ces menaces sont encore en phase de développement, ce qui signifie que nous avons l'opportunité, pour une fois, d'anticiper et de prendre les mesures nécessaires pour se prémunir de ces risques, plutôt que d'être dans la réaction et le constat des dégâts causés, comme c'est malheureusement souvent le cas sur notre continent.
Clément Rossi : Rappelons que c'est également vrai en Europe. Dans le milieu hospitalier par exemple, nous voyons bien que le cyber a une importance critique. La pandémie a d'ailleurs désorganisé le travail de certains hôpitaux avec, en Allemagne, le premier décès lié à une cyberattaque (un ransomware) en septembre dernier. De même en ce qui concerne les infrastructures énergétiques, où une attaque peut avoir des conséquences terribles. En France et en Europe, nous pouvons sans doute constater une maturité supérieure avec la mise en place d'outils normatifs forts tels que la Loi de programmation militaire (LPM) de 2013 qui oblige les OIV à reporter les cyberattaques dont ils font l'objet, comme indiqué précédemment. Cette dernière a été déclinée au niveau supranational, avec la Directive européenne NIS (Network and Information Security) qui consacre la notion d'OSE (opérateurs de services essentiels). Il est nécessaire que ce genre d'initiative puisse être réitéré au niveau des États africains, aux échelons nationaux et régionaux. Les organisations telles que la CÉDÉAO ont un rôle important à jouer pour contraindre leurs Etats-membres à améliorer leur cybersécurité. Il faut une réelle volonté politique des leaders.
Dans certaines situations, nous voyons d'ailleurs que cette dernière est bien présente. Le premier SOC (Security Operations Center) opérationnel en Afrique a vu le jour au Sénégal, lorsque l'administration des douanes à numériser l'ensemble de ces processus et démarches. Les recettes douanières représentant 50% du budget de l'État, il apparaissait donc normal pour ce dernier de les protéger. On voit bien que lorsque les États sont concernés financièrement, ils sont capables de déployer des solutions efficientes et robustes. Il faut donc que cette démarche se propage et accompagne la transformation numérique.
Dans quelle mesure l'effectivité (janvier 2021) de la Zlecaf, la Zone de libre-échange continentale, devrait-elle accélérer la digitalisation et le développement du marché de la cybersécurité sur le continent africain ?
Franck Kié : Compte tenu de la situation actuelle, l'Union africaine parie beaucoup sur le numérique pour accélérer la mise en œuvre du processus. Les réserves de certains États,quant à la digitalisation du processus, a donc poussé l'Union africaine à développer des projets en ce sens avec une plateforme garantissant la sécurité des discussions en cours d'élaboration, une initiative visant à améliorer la cybersécurité dans les affaires multilatérales du continent, la conception et le déploiement d'un cadre technologique pour l'alignement des plateformes de commerce électronique et la mise en place d'une plateforme technologique panafricaine permettant aux citoyens du continent de voyager à travers les frontières. Tous ces projets d'intégration portés par l'effectivité de la Zlecaf devraient donc permettre l'essor et le développement du marché de la cybersécurité africaine.
Clément Rossi : Néanmoins, rappelons que nous sommes sur des processus longs. En France, cela fait seulement 10 ans que le sujet a réellement été investi dans le débat et l'action publique, avec la création de l'ANSSI en 2009 puis, à partir de 2013, l'adoption de la Loi de programmation militaire. En Europe, le marché est encore morcelé et fragmenté, malgré un processus d'intégration communautaire très avancé.Tout l'objet d'un événement comme le FIC (Forum International de la Cybersécurité) vise d'ailleurs à faciliter les synergies entre les différents acteurs européens afin d'accélérer le développement d'une industrie de la cybersécurité proprement européenne.
Il en va de même en Afrique où la Zlecaf, bien que nécessaire, n'est pas suffisante. La zone de libre-échange pose un cadre global censé favoriser le développement d'un marché numérique de taille majeure. Mais il s'agit d'un seul outil dans un processus plus large. Un gros travail reste à mener en matière de certifications, de reconnaissance mutuelle de ces certifications et, enfin, de valorisation du secteur et des parcours - pour laquelle l'organisation d'événements est également un outil majeur. En effet, la cybersécurité relève de l'imperceptible, de l'immatériel. La seule incarnation concrète de ces marchés demeure les événements, à l'image du CAF (Cyber Africa Forum) ou du FIC, qui permettent aux acteurs de se fédérer, de mettre en avant leurs perspectives et d'aborder de réels enjeux économiques.
Le marché de la cybersécurité croît à un rythme situé entre 10% et 15% par an. Il existe peu de secteurs aussi dynamiques. L'enjeu de la Zlecaf sera donc de faciliter la diffusion du marché et de faire en sorte qu'il contribue à la croissance économique et à la création d'emplois.
Propos recueillis par Mounir El Figuigui
Il n'y a actuellement aucun commentaire concernant cet article.
Soyez le premier à donner votre avis !