N° 6644 – 14 joumada I 1439 (1er-2-2018) BULLETIN OFFICIEL 373
traitement sont désormais des infrastructures sensibles à protéger. La cybercriminalité, le cyberespionnage, ainsi que les actes malveillants de hackers de toutes natures, peuvent désormais déstabiliser lourdement une entreprise ou même un pays. Ceux qui détiennent le savoir pour face à ces risques et qui ont la capacité de maintenir leur avance en la matière, ont un avantage concurrentiel majeur, qu'il s'agisse d'entreprise ou de pays. De ces enjeux se dégagent deux problèmes fondamentaux :
•Quelle stratégie adopter pour protéger les données, les sites de leur stockage, de leur traitement et de leur échange ou transfert (y compris via les systèmes de messageries), et avec quels acteurs la mettre en œuvre?
•Quel rôle pour les autorités publiques pour veiller non seulement à l'existence de cette protection, mais également pour assurer le contrôle des moyens qui la permettent et leur conformité aux normes et orientations de ladite stratégie (cryptage, sécurisation des mails et des échanges, intégrité des données, duplication, localisation des sites etc.)?
Ce sont là des éléments fondamentaux pour la construction d'une politique de Souveraineté Numérique. Il n'est pas normal qu'encore aujourd'hui, des administrations ou des entreprises nationales, publiques ou privées, continuent de négliger la sécurité du stockage et des canaux à travers lesquels transitent les données ou encore, d'échanger des données officielles ou confidentielles en utilisant des plateformes de messagerie grand public, sans protection aucune. Cela revient à rendre ces informations, parfois stratégiques, à la portée de parties malveillantes. De plus, les techniques de Cloud Computing permettent maintenant de stocker et de traiter les données à des coûts assez bas, et les grands acteurs mondiaux de l'Informatique en font désormais une source majeure de leurs revenus. La tentation pour beaucoup d'administrations ou d'entreprises est d'aller vers ce type d'offre sans trop se préoccuper de la localisation de leurs données et de l'usage qui peut en être fait. Non seulement notre pays se doit de disposer des moyens de se protéger numériquement contre les risques, mais il se doit aussi de maîtriser par ses propres moyens, et en impliquant ses entreprises nationales, les technologies et les infrastructures nécessaires à la construction de sa Souveraineté Numérique, intégrant l'existence et de la promotion de Clouds nationaux.
Avec la Directive Nationale sur la Sécurité des Systèmes d'Information (DNSSI), le Maroc s'est doté d'une base de travail pour soutenir le sujet de la Souveraineté Numérique, en particulier en introduisant la notion d'infrastructure d'importance vitale. Les problèmes de l'organisation de la sécurité des systèmes et des infrastructures informatiques et de télécommunications, de la qualité des ressources humaines, des contrôles d'accès, de la gestion des incidents et de plan de continuité des activités sont couverts par cette directive. La Directive impose également que les données sensibles soient exclusivement stockées sur le territoire national.
La mise en place des orientations de la directive se fera progressivement, mais il faudra veiller à ce que la gestion du facteur temps, qui est primordiale pour cette problématique, soit maîtrisée et que les objectifs soient planifiés et atteints dans les délais les plus courts. Il faut noter par ailleurs que l'accès et la maîtrise nationale de certaines technologies liées au cryptage ou de façon générale à la sécurisation des échanges et de la conservation de données ne sont pas abordés. La souveraineté numérique passe également par le développement de compétences, d'expertises et de sociétés nationales à même de développer ces technologies et d'assurer les prestations qui y sont associées (cryptage, blockchain, etc.).
Encadré 8 : Cas de l'Inde pour l'identification des populations
Priorisation du déploiement du projet de l'identifiant unique (UID) biométrique pour une gestion plus transparente des subventions sociales
Ce pays d'une population de 1,25 milliards de personnes dont un peu plus de 800 millions vivent sous le seuil de pauvreté (moins de $ 2 dollars de revenu par jour) repartis sur près de 860 000 villages. Pour venir en aide aux plus démunies, le gouvernement indien dépense quelques $ 40 milliards sous forme de diverses aides. Les études réalisées durant les années 2 000 avaient montré que la part la plus importante de ces aides était détournée et ne parvenait jamais aux populations cibles, ce qui constituait une perte substantielle pour l'Etat due à la corruption et à la fraude aux prestations sociales. Conscient de cette situation, le gouvernement indien a lancé une initiative inédite pour l'identification numérique de tous les résidents sur son territoire. Les premiers essais ont été lancés vers l'année 2006. L'objectif était de doter la totalité de la population, y compris les étrangers résidents, d'une identité numérique sans carte s'appuyant sur trois caractéristiques pour chaque individu : Un numéro d'identification, les empreintes digitales des doigts des deux mains et l'empreinte de l'iris des deux yeux. Cette identité numérique est destinée uniquement à l'identification des personnes. L'accès à l'identité numérique se faisant en ligne par simple comparaison entre les caractéristiques biométriques numériques et celles de la personne se présentant auprès des services en charge de la délivrance du service et/ou de la prestation. Ainsi, chaque administration déploie son propre système d'éligibilité en se basant sur l'identité numérique unique. Pour réussir la mise en place de ce projet hors du commun, le gouvernement indien s'est appuyé sur la démarche suivante :
• Création d'une autorité investie des prérogatives juridiques et légales nécessaires, des moyens humains et financiers lui permettant de mener à bien le projet ;
• Réalisation de la plateforme technique et son déploiement pilote sur une population de 10 millions pour éprouver le concept et maîtriser les processus d'enrôlement ;
• Implication des entreprises du secteur privé pour la généralisation des procédures d'enrôlement de toute la population.
Cette approche structurée a permis, durant la phase pilote, l'enrôlement de près de 10 millions de personnes en 270 jours en 2010. La maîtrise du processus et l'implication du secteur privé ont permis de passer à un rythme d'enrôlement de