Collectivités: comment aborder la dématérialisation en toute sécurité?

Publié par Sonia Puiatti le 27 juin 2017 - mis à jour à 08:39

Saisine par voie électronique, marchés publics, archivage électronique... La dématérialisation bouscule les process des administrations. Comment l'aborder en toute sécurité? Les conseils de Christophe Painset, délégué général de 4CN, à l'occasion du salon Préventica.

Je m'abonne

Imprimer

Chaque année, selon un rapport de la Cour des comptes, 1 milliard de feuilles papier sont consommées dans les administrations territoriales françaises. Objectif: passer à l'utilisation des données au format numérique. Depuis l'année dernière, les collectivités territoriales doivent dématérialiser leurs flux en direction de l'administration et des administrés. Et n'importe quel citoyen est censé pouvoir saisir une collectivité par voie électronique. Par ailleurs, et afin de répondre au contexte législatif, l'État régalien impose la dématérialisation avec la mise aux normes des systèmes comptables. Résultat, toutes les administrations vont se retrouver exposées au risque cyber, alors que beaucoup pensent qu'elles sont trop petites pour intéresser les hackers. Pour Christophe Painset, délégué général de 4CN, pôle d'excellence international cybersécurité, cybercriminalité, cyber-confiance pour le numérique, c'est tout le contraire qui risque d'arriver. Plus les données sont faciles à prendre, plus elles intéressent de monde sur la planète. "C'est un patrimoine informationnel qui a de la valeur à la revente, ce qui est difficile à conceptualiser pour une grande partie des élus territoriaux" explique-t-il.

Dans les collectivités de grande taille, la sensibilisation est plus facile car les services informatiques sont davantage structurés. Mais 80% des collectivités sont petites et moyennes et n'ont pas de DSI mutualisée, ni de contrat d'infogérance. Par ailleurs, le RGPD qui entrera en application en mai 2018 interdit pour les collectivités la délégation de responsabilité auprès d'un infogérant ou d'un DSI et prévoit la responsabilité de l'élu en cas de manquements portant atteinte à la cybersécurité.

Accompagner la transformation

Quelques initiatives sont à noter en France. Des groupements essayent de travailler sur différents axes : la relation avec le citoyen, avoir un site sécurisé, la gestion électronique de documents, la signature électronique, l'archivage des documents... Mais pour Christophe Painset, ces démarches requièrent un accompagnement à la transformation numérique avec des outils et des formations. Des référentiels sont édités par les ministères, mais dans la majeure partie des cas ils préconisent un empilement de différentes briques sans processus architectural complet, alors qu'il faudrait une plateforme de dématérialisation modulaire et interopérable, un système intégré et unique pour sécuriser l'ensemble de la chaîne. Comme par exemple, une solution de traitement des données qui arrivent en front office et en back office afin de les intégrer dans la chaîne. "Il faut travailler avec les agents des collectivités, pour que le traitement soit acheminé vers la bonne personne au sein de la collectivité. C'est encore plus urgent lorsqu'on sait que le silence de la part de l'administration vaut désormais acceptation, par exemple pour une inscription en crèche" rappelle Christophe Painset.

Lire la suite en page 2: Sensibiliser les agents et revoir les appels d'offres

Sensibiliser les agents

La sécurité doit se penser dès l'origine. Les collectivités doivent être capables de détecter les flux anormaux, par exemple vers des pays étrangers. De plus, toutes les données ne doivent pas être mises à disposition des citoyens. Et comme une donnée ne doit pas voyager pas dans la nature, il faut mettre en place des systèmes de messagerie inter-sécurisée. Les collectivités doivent aussi réfléchir à la mise en place de plateformes de formation pour tous les agents (référentiels MOOC). "Par exemple, un certificat RGS confié dans une clé USB à d'autres agents de la collectivité peut avoir une incidence sur la responsabilité pénale du propriétaire en cas de manquements, prévient Christophe Painset. La donnée est quelque chose de très matériel et elle va intéresser beaucoup de monde, c'est ce que les collectivités doivent comprendre".

Revoir les process d'appels d'offres

De nombreuses solutions sont à portée des collectivités. Pour les plus petites d'entre elles, les usines à sites (plusieurs sites sur un même serveur et avec le même CMS) en sont une. Mais la solution globale n'existe pas. Par contre, toutes doivent, au moment de lancer des appels d'offres, faire état du parc matériel, logiciel et data. Ceci permettra de l'orienter correctement, car les prestataires ont besoin de connaître la volumétrie des données à restaurer. Les collectivités doivent aussi prévoir les investissements à faire dans les années futures et anticiper les budgets à disposition des SI.

Et pour plus de sécurité?

une authentification forte pour les agents, certificat RGC et signature électronique
une gestion des organigrammes et des droits d'accès accordés à chaque agent
une messagerie collaborative sécurisée par appli en SaaS
un système de télétransmission vers les préfectures, DGFIP, État civil... avec un parapheur électronique et un document qui répond à standardisation
la gestion des RH avec des formations, des spécialistes de l'accompagnement au changement
l'utilisation de France Connect par les agents : ce portail qui authentifie les internautes et facilite leurs démarches avec l'administration pourrait faire remonter les informations essentielles aux élus, comme le nombre de demandes, celles qui ont été traitées... On peut imaginer un système d'information automatique de l'avancement de leur dossier, via un SMS par exemple, ou la création d'un coffre-fort électronique sécurisé pour que le citoyen y dépose ou récupère des documents.

"La "e-mairie" n'est pas très électoraliste, le citoyen ne voit pas les efforts fournis, mais elle peut devenir un véritable outil de communication et permettra d'être en conformité avec l'ensemble de la règlementation nationale et européenne" conclut Christophe Painset.