UEMOA/Cybersécurité : « Si nous ne coopérons pas, une petite attaque dans un pays peut devenir un incident majeur pour toute la sous-région », Alassane Kafando

« Gouvernance, confiance numérique et souveraineté financière » ; c’est le thème qui a fait l’objet de ce grand panel. Pour animer cette communication modérée par la présidente de la Commission de l’informatique et des libertés (CIL), Dr Halguièta Nassa, les experts Adolphe Kaboré, ingénieur en télécommunications et réseaux, directeur de l’économie numérique par intérim à la commission de l’UEMOA ; Charles Millogo, ingénieur en télécommunications, haut cadre du numérique panafricain avec des expériences à travers une vingtaine de pays d’Afrique de l’Ouest et du Centre, actuel responsable du financement de l’économie numérique dans l’espace UEMOA à la BOAD ; Hervé Moundouho Cissp (Côte d’Ivoire), expert en cybersécurité, Account Manager chez Kaspersky ; Alassane Kafando, ingénieur en cybersécurité, en télécommunications et souveraineté numérique chez Telecel Faso, et Bernard Abaloutou Bialabna (Togo), expert en protection de données à caractère personnel, chef de service sécurité de l’instance en charge de la protection des données à caractère personnel du Togo.

Avec ces personnes-ressources, il a été donc question d’analyser les enjeux de gouvernance, de cybersécurité, de souveraineté financière du numérique et ce, dans une dynamique d’explorer les mécanismes à même de renforcer la convergence dans l’écosystème financier numérique, tout en accompagnant l’innovation.

Selon les panélistes, dans un contexte d’accélération de la transformation numérique qui implique une complexification des enjeux liés à la gouvernance, à la sécurité et à la criminalité des systèmes financiers, et où les risques liés à la cybersécurité, à la protection des données personnelles et surtout à l’indépendance technologique deviennent des enjeux stratégiques majeurs pour les États et les structures financières, la construction d’un cadre de gouvernance régionale harmonisée de protection des données à caractère personnel capable de garantir la stabilité financière, tout en favorisant l’innovation, devient une priorité.

Des interventions, on retient que les défis en matière de gouvernance et de régulation sont majeurs, en ce sens que l’activité ici repose sur la technologie.

Le premier défi est, selon Adolphe Kaboré, relatif à l’harmonisation et surtout à l’adaptation du cadre réglementaire à l’élan d’innovation. « Il faudra que ce soit un cadre réglementaire qui ne freine pas l’innovation, mais qui permet à la fois d’encadrer et d’innover pour aller de l’avant », explique-t-il. Un autre défi concerne, à son avis, tout ce qui est lié à la protection des données à caractère personnel, à la cybersécurité puis à la lutte contre le blanchiment de capitaux. Il a relevé également l’interopérabilité comme un défi, en expliquant la nécessité de faire en sorte que tous les acteurs puissent se greffer à ce qui est déjà en place. Un autre défi important qu’il a identifié porte sur la manière de réguler, à l’échelle de la région, les grandes firmes numériques qu’on appelle les GAFA, afin qu’elles ne concurrencent pas de façon déloyale les acteurs sur le marché.

Le communicant Adolphe Kaboré préconise donc un cadre réglementaire régional unique, des normes standards sur les technologies qui vont encadrer la finance numérique et le renforcement des capacités des régulateurs (économiques, techniques et juridiques).

Pour ce qui est des crypto-actifs, M. Kaboré relève qu’ils sont de plus en plus utilisés et que, de ce fait, ils méritent d’être encadrés. Il souhaite également que la BCEAO poursuive la réflexion sur la possibilité d’une monnaie électronique de la banque centrale.

« Un cadre réglementaire harmonisé, qui ne freine pas l’innovation »

Dans un souci de pouvoir à la fois promouvoir l’innovation et véritablement encadrer pour assurer une certaine sécurité des populations, des intervenants ont proposé une « approche prudentielle », beaucoup axée sur les risques. « Tout ce qui amplifie l’usage à risque modéré doit être encouragé. Par contre, tout ce qui comporte des risques d’un certain niveau doit avoir plus de regard », estime Charles Millogo, pour qui des dispositifs doivent être mis en place pour réguler et veiller à la sécurité.

Pour cela, il recommande la mise en place de cadres basés sur l’analyse des risques, le renforcement du pouvoir des régulateurs pour qu’ils puissent œuvrer à donner la confiance aux populations dans l’utilisation des outils. Il exhorte par ailleurs à une accentuation de la sensibilisation des populations pour leur permettre d’appréhender les enjeux qui se cachent derrière ces facilités.

Sur l’aspect lié à la cybersécurité et aux risques numériques, Hervé Moundouho Cissp s’est attardé sur les risques majeurs pour les infrastructures financières avant de faire focus sur le renforcement de la résilience des systèmes financiers face aux cyberattaques. « Dans un premier temps, toutes les cyberattaques utilisent des failles qui sont dans les systèmes », renseigne Hervé Moundouho Cissp.

De son avis, il faut savoir faire une cartographie des risques, pour savoir à quoi l’on est exposé. Ensuite, comprendre les fraudes en interne et travailler à minimiser leur impact. « En termes de solutions de mitigation, l’humain est la première ligne de défense ; quelle que soit la stratégie en place, si l’humain n’est pas sensibilisé, éduqué, ça va être difficile. En ce qui concerne les outils technologiques eux-mêmes, souvent, on essaie d’aller sur certains modèles, mais on n’arrive pas à mettre en place les outils et infrastructures technologiques véritables en pensant à la sécurité dès la construction des systèmes. Donc, l’idée, c’est de penser à faire des infrastructures en pensant à la sécurité dès la conception », expose l’expert en cybersécurité chez Kaspersky.

L’expert Alassane Kafando a, lui, misé sur le rôle de la coopération régionale en matière de cybersécurité, en rappelant que les cybercriminels ne connaissent ni carte d’identité ni nationalité ni passeport, donc pas de limites territoriales. « Donc, au niveau de l’UEMOA, en plus de l’intégration sous-régionale, de l’intégration monétaire, il est urgent aujourd’hui de penser à une intégration sécuritaire en matière de cyberespace. Cela va protéger les pays, pris individuellement, mais également la sous-région des menaces qui planent. (…). Au niveau pays, c’est de bonne guerre que chaque pays mette en place un certain nombre de mécanismes. Mais, si nous ne coopérons pas, si nous ne dialoguons pas, si nous ne partageons pas entre pays de l’espace UEMOA, une petite attaque dans un pays peut devenir un incident majeur pour toute la sous-région. C’est la raison pour laquelle je pense qu’au niveau de cette coopération, il va falloir qu’il y ait des mécanismes de partage des indices entre les institutions critiques de l’espace UEMOA », soutient-il, précisant que les institutions de l’espace UEMOA doivent non seulement partager les alertes, mais aussi les bonnes pratiques en matière de cybersécurité. Il suggère en outre la mise en place de « security operations centers » qui permettent de suivre, d’interpeller, de sensibiliser et de traquer les cyberattaques.

« Les données sont des ressources stratégiques… »

Bernard Abaloutou Bialabna a planché sur la manière de protéger efficacement les données personnelles et financières des utilisateurs, les enjeux de souveraineté numérique dans les finances. « Protéger les données financières revient avant tout à protéger la confiance. Si les citoyens n’ont plus confiance dans la manière dont leurs données sont utilisées, ils vont finir par se désintéresser ou même refuser d’utiliser les services numériques qu’on leur propose, quels que soient leurs avantages », a-t-il présenté.

Il a ensuite insisté sur trois éléments qui sont, de son avis, essentiels pour protéger les données personnelles. D’abord, le respect du principe de nécessité. « Dans la législation nationale togolaise, nous parlons de principe de pertinence. Ailleurs on parle de principe de minimisation des données. Ce qu’on constate aujourd’hui, c’est que dans la plupart des services numériques, il y a une tendance à collecter davantage de données que nécessaire ; on collecte des informations sur l’individu, pratiquement c’est toute sa vie privée, son histoire et même parfois sa dignité qui est conservée par une structure. Et ce qu’on ne relève pas, c’est que, plus une organisation collecte des données, plus elle augmente sa surface d’exposition aux risques. C’est pour cela que je dirai qu’une bonne gouvernance des données consiste avant tout à se poser une question claire : de quelles données avons-nous réellement besoin pour fournir le service ? », a détaillé Bernard Abaloutou Bialabna.

Ensuite, le principe de « security by design ». « Avant toute conception, il faut s’assurer qu’on a pris en compte le volet protection des données. Donc, il faut privilégier la sécurité dès la phase de conception (du point de vue technique, organisationnel et juridique) pour que les données soient efficacement protégées », conseille l’expert avant de souligner que corriger une faille après un incident est plus coûteux que prévenir la faille dès le départ.

Le troisième principe, enfin, c’est de développer, estime-t-il, une culture de confiance, et cela doit reposer sur la culture de protection des données personnelles. « Ce qu’on ne remarque pas souvent, c’est que la confiance n’est pas le résultat automatique de l’innovation. Elle est plutôt la conséquence de la conformité ou, du moins, la conséquence du respect des droits des personnes ; l’humain au profit duquel on innove n’est pas clairement informé sur la manière dont ses informations sont utilisées, la durée de la conservation des données, la finalité pour laquelle on collecte ses informations… », présente Bernard Abaloutou Bialabna, ajoutant qu’il faut travailler sur la sensibilisation, la protection des données et faire de sorte à ce que les clients comprennent tous les enjeux possibles.

Sur la souveraineté numérique, le spécialiste y voit trois enjeux majeurs. Il s’agit de la maîtrise des données stratégiques. « Les données sont des ressources stratégiques, car elles permettent d’analyser les comportements économiques, de développer de nouveaux services, d’évaluer les risques et parfois d’orienter les politiques publiques. Dès lors, lorsqu’elles sont conservées hors de l’espace régional, ça pose une véritable question de gouvernance », situe-t-il.

Le deuxième enjeu est la maîtrise de la technologie, car, justifie-t-il, la souveraineté numérique ne se résume pas à la technologie, il faut, derrière, des femmes et des hommes capables de les concevoir, les sécuriser et les réguler. Investir donc dans la formation de spécialistes est un investissement pertinent et durable, juge le spécialiste Bernard Abaloutou Bialabna.

Le troisième enjeu est relatif aux compétences. « Ce que nous remarquons dans nos administrations, c’est que nous utilisons des solutions importées, des infrastructures développées à l’extérieur », note le panéliste, estimant que même si cela apporte des performances et que les États africains n’ont pas les moyens de concevoir ces outils, il sied de travailler à développer progressivement ses propres capacités afin de maîtriser les prises de décisions pour être moins dépendants de l’extérieur.

O.L.

Lefaso.net