Face à la multiplication des cyberattaques ciblant le secteur public, la vulnérabilité des collectivités locales est devenue un sujet brûlant de gouvernance. Lors d’un webinaire co-organisé par Archimag et Code Confiance, Sandra Aubert, élue à la cybersécurité à Thorigny-sur-Marne et spécialiste de la gestion de crise, livre un diagnostic sans langue de bois sur le niveau de préparation des communes et détaille la méthode pour bâtir une réelle résilience locale.
Aujourd’hui en France, les collectivités territoriales figurent, aux côtés des hôpitaux, parmi les institutions les plus visées par les cyberattaquants. Lorsqu’un système d’information municipal s’effondre, c’est l’ensemble des données administratives, d’état civil, de finances et de ressources humaines qui se retrouve paralysé, menaçant directement la continuité du service public. Les piratages s’expliquent par trois richesses stratégiques hébergées par les communes :
- la masse de données personnelles récoltées,
- la multiplicité des accès interconnectés avec des prestataires tiers,
- la contrainte absolue de poursuivre le service rendu aux habitants.
Tout cela constitue un levier de pression idéal pour les cyberattaquants. Comme le rappelle Sandra Aubert : « Une donnée volée n’est pas une donnée morte, elle prépare l’attaque d’après ».
Pourtant, le niveau de maturité et d’hygiène numérique au sein des 36 000 communes françaises demeure extrêmement faible. À ce jour, moins d’une dizaine de villes disposent d’une délégation spécifiquement dédiée à la cybersécurité. Sandra Aubert souligne également l’impact du manque de ressources financières accordées par l’État : « Nous n’avons pas d’argent. Partant de ce principe-là, maturité égale moyens. Si l’État nous donnait davantage de ressources financières, nous serions certainement aussi plus forts ».
Identifier le vital, imposer une discipline et anticiper le mode dégradé
Pour sortir de cette vulnérabilité, la démarche commence par l’identification stricte des actifs vitaux de la commune : les données indispensables, les applications critiques, la gestion rigoureuse des prestataires et les interdépendances du système. La cybersécurité du quotidien repose sur une discipline constante (mise en place de l’authentification multifacteur, gestion stricte des habilitations et tests réguliers de restauration des sauvegardes). Les attaquants ciblant en priorité le facteur humain par l’ingénierie sociale ou le hameçonnage ciblé, la sensibilisation des agents municipaux doit dépasser les rappels ponctuels pour se transformer en un entraînement régulier à la détection des pièges.
En cas de crise majeure, la réaction doit être anticipée bien avant la paralysie des réseaux. Il est crucial d’avoir formalisé une chaîne de décision claire impliquant la direction générale, le délégué à la protection des données (DPO), la communication, les directions métiers et les élus. Si la messagerie s’éteint et que le plan de crise informatique devient inaccessible, la mairie doit pouvoir basculer immédiatement en mode dégradé grâce à des procédures physiques réunies dans un coffre-fort hors ligne. Pour valider ces dispositifs, la réalisation de simulations réalistes s’impose. Sandra Aubert insiste sur cet aspect : « On ne s’entraîne pas pour réussir l’exercice, on s’entraîne pour découvrir ce qui va fonctionner pendant la vraie crise ou ce qui va dysfonctionner ».
De Thorigny-sur-Marne aux « Cybernights » : démocratiser la sécurité sans jargon
À Thorigny-sur-Marne, cette vision se traduit par une feuille de route articulée autour de six engagements : cartographier, protéger, préparer, entraîner, acculturer et étendre la protection. La commune déploie des projets novateurs, comme la création d’une cellule locale de vigilance anti-arnaque dotée d’une permanence et d’un numéro dédié pour rassurer et guider les citoyens. L’ensemble des indicateurs de progression de cette démarche sera partagé en open source avec les autres collectivités à travers un baromètre de vigilance.
Enfin, la démarche vise à casser les codes traditionnels de la cybersécurité en proposant des événements grand public interactifs comme les « Cybernights », qui réunissent experts, comédiens et citoyens autour d’études de cas concrètes et de fictions pédagogiques. L’objectif est d’abandonner le vocabulaire hermétique pour replacer l’humain au cœur de la protection. Sandra Aubert résume cet engagement : « Il faut qu’on arrête cet entre-soi de la cyber : pas de jargon, pas de blabla. On quitte les serveurs et on se met à hauteur d’hommes et de femmes ».
Entre contraintes budgétaires et urgence opérationnelle, la transformation vers une vraie cyber-résilience municipale exige de la méthodologie, de la discipline et un fort portage politique. Pour découvrir l’intégralité des retours d’expérience, les anecdotes de terrain et l’ensemble des conseils méthodologiques partagés lors de cet échange, visionnez la vidéo complète du webinaire.
