La sécurité informatique des collectivités locales s'améliore enfin

Le Clusif livre les conclusions de son enquête nationale sur les pratiques de sécurité

L'enquête biennale du Clusif, réalisée sur 205 collectivités locales, révèle une baisse de la sinistralité en termes de sécurité informatique. C'est un bon point. Même si plus de la moitié ne gère pas la continuité d'activité ni ne fait d'audit. Parmi les institutions sondées, 27 % ont reconnu avoir subi des pertes de services essentiels, contre 44 % en 2008. Ces statistiques sont le reflet des efforts opérés par ces organismes pour sécuriser leur système d'information.

Sous l'influence des réglementations

L'enquête révèle que les facteurs déclencheurs de projets de sécurité sont, en premier lieu, la réglementation, suivis par les incidents. L'application du référentiel RGS (Référentiel général de sécurité), obligatoire à partir de mai 2013, ainsi que la protection des données personnelles liée au respect des exigences de la Cnil et des programmes de contrôle associés, ont amené les collectivités à maintenir voire à augmenter les ressources engagées. Elles sont ainsi 39 % à disposer d'un correspondant informatique et libertés. De même, le poste budgétaire consacré aux actions de sensibilisation et de formations est en hausse de 11 % pour les institutions sondées ; celui dédié à la mise en place de solutions, lui, augmente de 37 %. La dématérialisation des procédures ? marchés publics, programme Actes (Aide au contrôle de légalité dématérialisé), progiciel de comptabilité Helios ? aurait eu, selon l'étude, un impact dans l'utilisation de systèmes de contrôle d'accès. L'authentification par certificats logiciels est désormais utilisée (de manière généralisée ou partielle) par 63 % des collectivités interrogées, contre 52 % en 2008. L'étude distingue enfin les conseils généraux et régionaux, qui font preuve d'une plus grande mise en œuvre des pratiques de sécurité. Il en est de même des grandes métropoles. Ces pratiques sont corrélées avec la présence plus fréquente d'un RSSI (responsable de la sécurité des systèmes d'information).

Des budgets sous contrainte

Toutefois, ces organismes, dans leur ensemble, ne sont pas exempts de reproches. Outre le manque d'audit, l'utilisation de tableaux de bord a stagné depuis la dernière enquête : seule une collectivité sur dix déclare avoir mis en place des outils de ce type. Le manque de personnel qualifié et de connaissances en ce domaine sont cités comme autant de freins à la conduite des missions de sécurité. La contrainte budgétaire est aussi mentionnée : un quart des RSSI interrogés estimant qu'ils n'ont pas les moyens financiers suffisants pour mener à bien ses missions.