Situé à l’entrée du Congrès des maires et des présidents d’intercommunalité de France, qui se déroulait en concomitance avec le Salon des maires et des collectivités locales, le corner réservé à la gendarmerie nationale connaît une affluence constante. En ce mois de novembre 2023, les élus de métropole et d’outre-mer se succèdent notamment au pupitre des gendarmes cyber pour échanger avec eux, leur faire part de leurs inquiétudes et de leurs doutes. « C’est essentiel pour la gendarmerie de pouvoir rencontrer directement ces élus de collectivités de toute taille, pour les sensibiliser aux risques d’attaque cyber, note l’adjudant Frédéric, du Bureau prévention protection de l’Unité nationale cyber (UNCyber) de la gendarmerie nationale*. Nous devons leur expliquer par quoi ils sont visés, quels sont les enjeux pour leur collectivité, et ce qu’ils peuvent faire pour se préparer à ces attaques. »

Car la question n’est plus de savoir s’ils seront attaqués, mais quand… « Toutes les collectivités sont concernées, confirme l’adjudant. Ce n’est pas parce qu’on est maire d’une commune de 500 habitants qu’on peut espérer passer au travers. Car chaque commune traite de la donnée, que cette donnée a de la valeur et qu’elle peut donc être attaquée. »

Un casse-tête pour les élus

Mais les élus qui défilent n’hésitent pas à le dire : ces questions cyber sont pour eux un casse-tête. Les gendarmes entendent souvent les mêmes remarques : « je n’y comprends rien, ce n’est pas mon métier » ; « je n’ai pas le temps de m’en occuper » ; « j’ai d’autres priorités, le toit de l’école à changer, une route à rénover, et c’est pour ça que j’ai été élu » ; « je n’ai ni les moyens humains ni les moyens financiers ».

Pour accompagner ces élus souvent démunis, surtout dans les petites communes en zone rurale, la gendarmerie répond présent. D’abord en leur proposant gratuitement un diagnostic, baptisé Di@gonal, qui permet d’évaluer la maturité cyber, ensuite en les conseillant et en les orientant sur les manières d’opérer. « Le but est évidemment de réduire le nombre d’attaques, c’est une priorité pour la gendarmerie, indique Frédéric. L’autre objectif est d’encourager les collectivités à anticiper les conséquences d’une attaque, à se poser la question suivante : quelle serait ma vie sans cyber ? Ai-je un répertoire papier, une sauvegarde de mes données… ? C’est ce qu’on appelle, dans le monde de l’entreprise, un plan de continuité, qui doit être pensé en amont de la crise. Le rôle de la gendarmerie est de faire prendre conscience aux élus de cette nécessité. Enfin, nous pouvons les orienter vers des collectivités ayant choisi de mutualiser la création d’un poste de DSI avec d’autres communes voisines. Cela peut permettre de réduire les coûts et d’élever rapidement et significativement le niveau de maturité cyber. »

Protéger l’organisme

Autre point sur lequel les gendarmes chargés de la prévention cyber insistent auprès des élus : la nécessité de porter plainte, non seulement pour être reconnu comme victime et faire valoir ses droits, mais aussi pour se prémunir d’une usurpation d’identité, être accompagné lors d’une éventuelle négociation en cas de rançongiciel et, surtout, permettre à la gendarmerie d’avoir connaissance des faits, et ainsi participer à la lutte contre la cybercriminalité. « Certains élus hésitent parce qu’ils ne sont pas forcément dans les clous vis-à-vis du Règlement général sur la protection des données (RGPD), et ils ont peur que cela se retourne contre eux, regrette l’adjudant. On leur explique que ce ne sera pas le cas. »

Afin de sensibiliser les élus à ces enjeux, les gendarmes cyber ont mis au point un sous-main plastifié, pratique et astucieux, dressant un parallèle avec les mesures anti-COVID (hygiène, aération, gestes barrières, distanciation sociale, vaccination…), les symptômes en fonction du type d’attaque (hameçonnage, usurpation d’identité, rançongiciel, défiguration de site…), ainsi que les gestes de premiers secours. « C’est une demande des élus d’avoir un outil pratique, sous la main, comme un pense-bête, présentant l’essentiel des conseils. Les mesures sanitaires anti-COVID sont bien assimilées par la population, et notamment par les élus, qui étaient en première ligne lors de la crise. Or, un ordinateur ou un système informatique, c’est un peu comme un organisme humain, il faut en prendre soin, le protéger des virus. » Par les temps froids, pluvieux et contagieux qui courent, l’analogie parlera à beaucoup !