Nos pouvoirs publics s’inquiètent-ils de la sécurité de leurs données?

Le secteur bancaire belge a compris le message. Fin 2015, la Banque Nationale de Belgique (BNB) a envoyé une circulaire à toutes les institutions financières belges. Cette circulaire contenait des directives quant à la continuité de leurs activités opérationnelles et à la sécurité de leurs données. Qui ne souhaite pas aujourd’hui que ses euros durement gagnés soient en lieu sûr?

Les banques ont un rôle critique à jouer dans le système financier, et une grande importance sociale. Il est donc évident qu’elles prennent des mesures préventives contre les dommages opérationnels, les pannes du réseau électrique ou le vol. La circulaire stipule qu’une institution financière doit toujours disposer de deux centres de données, Tier III au minimum, ne se trouvant pas dans la même agglomération urbaine et éloignés d’au moins 15 km l’un de l’autre.

Une distance inférieure est possible, mais moyennant la présentation à la BNB d’une analyse des risques suffisamment étayée. Des mesures préventives complémentaires et/ou des solutions alternatives et de restauration sont prévues sur une distance d’au moins 100 km. Une distance inférieure est aussi autorisée, mais ici encore moyennant une analyse des risques suffisamment étayée.

Et qu’en est-il des données des pouvoirs publics? Le gouvernement fédéral utilise communément 4 centres de données situés au coeur de Bruxelles près du ring intérieur, plus un autre à Anderlecht. La distance séparant ces bâtiments oscille entre 2 et 5 à 6 kilomètres, ce qui est nettement moins que les normes de la Banque Nationale.

Un attentat à la bombe au centre de Bruxelles anéantirait non seulement toutes les instances publiques importantes, mais aussi leurs données sensibles. La plupart des services publics se trouvent au coeur même de notre capitale, avec leurs salles de serveurs et leurs centres de données externes. La foudre ou une panne de longue durée du réseau électrique serait déjà suffisante pour paralyser une institution publique, et du coup toutes ses données cruciales. Conclusion: les centres de données et les ‘back-up datacenters’ de nos pouvoirs publics ne sont pas à même de faire face à une panne sur le même réseau électrique urbain. Ils seraient donc tous touchés par une panne de courant à l’échelle de la ville. Bruxelles est en outre une zone à haut risque. Cela signifie que le risque d’une catastrophe naturelle ou d’une attaque terroriste y est nettement plus grand qu’à Namur ou Anvers par exemple.

Nos pouvoirs publics peuvent-ils se permettre ce genre de risques? Ils possèdent des données sensibles sur vous et moi, des déclarations fiscales, notre sécurité sociale, des données sur la santé financière de notre pays, des informations relatives à des entretiens entre partis politiques, nations. Bref: des renseignements qui doivent être toujours consultables. Ces données ne doivent-elles pas être mieux sécurisées? Par un dédoublement dans un centre de données de sauvegardes (backups) en dehors de la capitale par exemple?

La BNB donne le bon exemple

Comment se fait-il que nos pouvoirs publics ne s’inquiètent apparemment pas des risques de sécurité tant internes qu’externes? Ne pensez-vous pas comme moi que les directives/règles en vigueur dans les institutions bancaires, chez les assureurs et les fournisseurs de crédits devraient aussi s’appliquer aux pouvoirs publics? Une tendance règne au sein du gouvernement, selon laquelle ce dernier doit lui-même gérer les centres de donnée. Ne serait-ce pas plus efficient de confier cela à des acteurs externes sur base de bons SLA?