<img src="https://docs.suite.anct.gouv.fr/media/b2d68cc3-0308-4e1e-afbc-c01b6d8935e5/attachments/71b370af-1a1f-4235-8361-d41032dfec8d.png" alt="Template - Illustrations Blog(7).png" data-name="Template - Illustrations Blog(7).png" data-url="https://docs.suite.anct.gouv.fr/media/b2d68cc3-0308-4e1e-afbc-c01b6d8935e5/attachments/71b370af-1a1f-4235-8361-d41032dfec8d.png"> En 2024, l’ANCT a sollicité Laurent Bossavit au bénéfice de La Suite territoriale, pour son expertise en matière de pilotage par l’impact de la conception et la réalisation de produits numériques. À travers cette chronique tirée des apprentissages de cet accompagnement, il partage et met en lumière les apports concrets de cette expertise. Par Laurent Bossavit, consultant accompagnateur de La Suite territoriale sur les enjeux de connexion professionnelle sécurisée<h2 data-level="2">La Suite territoriale: un double enjeu</h2>L’enjeu majeur de La Suite territoriale est l’amélioration du niveau de cybersécurité des communes de&nbsp;moins de 3500 habitants et EPCI de moins de 15 000 habitants&nbsp;de France, qui disposent de moyens limités pour lutter contre les attaques qui les ciblent. Pour cela, elle propose un socle d'outils de base : un nom de domaine institutionnel, une messagerie et des adresses mail professionnelles, un espace de stockage et de partage de fichiers, le tout appuyé sur l'identité numérique ProConnect.Dès son origine fin 2023, la Suite territoriale est conçue comme un service numérique répondant aux piliers de «&nbsp;l'approche produit » prônée par la communauté <a target="_blank" rel="noopener noreferrer nofollow" href="http://beta.gouv.fr">beta.gouv.fr</a>. Elle fait notamment sienne les objectifs que sont le pilotage par l'impact, la proximité avec les usagers et l'autonomie des équipes de réalisation.La Suite territoriale n'est donc pas qu'un outil numérique de plus qui viendrait s'ajouter à l'arsenal pléthorique que doivent maîtriser les agents publics ; elle doit relever le défi de prouver non seulement la pertinence de sa proposition en matière de cybersécurité des communes, mais son impact réel une fois déployée sur le terrain.<h2 data-level="2">Objectiver la menace sur les communes</h2>A l'automne 2025 où sont écrites ces lignes, La Suite territoriale débute ses essais et se positionne comme un choix de plus en plus crédible pour les communes, les collectivités territoriales et les structures partenaires telles que les OPSN. Mais cette adhésion est le résultat d'un travail de longue haleine.Revenons en arrière, à l'été 2024. Les travaux de conception et développement sont lancés, mais les mesures d'impact restent incertaines. En s'appuyant sur les données de la Direction de l'Information Légale et Administrative (DILA), un premier constat s'est imposé : près de la moitié des communes de France, et notamment celles de moins de 3500 habitants, utilisent pour leurs échanges avec les administrés une adresse de messagerie en « <a target="_blank" rel="noopener noreferrer nofollow" href="http://wanadoo.fr">wanadoo.fr</a> ». C'est à dire un service qui a cessé d'exister officiellement en 2006…Pour autant, cette observation pourrait relever du folklore, et au sein même de l'équipe, la question se pose: en quoi est-ce un problème ? Comment s'assurer que la Suite territoriale répondra bien à un problème concret ?<h2 data-level="2">La réalité de la menace sur les communes</h2>Les collectivités territoriales sont une <a target="_blank" rel="noopener noreferrer nofollow" href="https://www.cert.ssi.gouv.fr/uploads/CERTFR-2023-CTI-008.pdf">cible de choix</a> pour les cyberattaques, d'après l'ANSSI, qui les recense à un rythme de 18 par mois sur l'année 2024. Sur ces attaques, près d'un tiers (28%) sont liées à une «&nbsp;compromission d'un compte de messagerie ».«&nbsp;Compromission » ça veut dire en clair, qu'on s'est fait dérober son mot de passe. Dans le jargon des hackers, on dit qu'on s'est fait «&nbsp;pwned&nbsp;» (corruption du mot «&nbsp;owned&nbsp;»&nbsp;qui signifie à peu près « s'être fait blouser&nbsp;»).Comment les hackers arrivent-ils à mettre la main sur nos précieux mots de passe ? Ils n'ont parfois pas besoin de grand chose puisqu'une des (mauvaises) pratiques trop fréquemment constatées consiste à… l'écrire <a target="_blank" rel="noopener noreferrer nofollow" href="https://www.linkedin.com/posts/bossavit_merci-davoir-abonn%C3%A9-votre-h%C3%B4pital-%C3%A0-notre-activity-7184173251361710080-R79a/">sur un Post-It</a> en bas de l'écran.Cependant cette attaque opportuniste n'est pas la plus intéressante pour les hackers, du moins ceux dont l'intérêt est financier. Il est plus intéressant de cibler des services numériques mal protégés et exploiter des failles de sécurité pour faire main basse sur des dizaines ou centaines de milliers, voire des millions, de comptes utilisateurs, en une seule fois. De tels fichiers sont facilement monnayables sur le «&nbsp;Dark Web ».Cette attaque est rendue attractive par une autre mauvaise pratique très répandue : la réutilisation de mots de passe. En effet la multiplication des services en ligne vient rapidement à bout de notre capacité à mémoriser de nombreux mots de passe… On va choisir un mot de passe « standard&nbsp;» qu'on réutilise à chaque fois qu'on crée un nouveau compte en ligne, parfois en ajoutant des petites variantes.Or, si un seul des (nombreux) sites sur lesquels on a créé un compte se fait pirater sa base de mots de passe, il devient très facile de deviner les mots de passe de nos autres comptes à partir de celui qui a ainsi fuité.<blockquote>Pour augmenter substantiellement et à moindre coût son niveau de sécurité, la première recommandation de l'ANSSI est d'utiliser un gestionnaire de mots de passe. Ainsi il suffit de retenir en mémoire un seul mot de passe - le mot de passe maître - qui permet de déverrouiller les autres, qu'on n'a plus besoin de retenir de tête, uniquement au moment de s'en servir.</blockquote><h2 data-level="2">Une observation «&nbsp;au satellite » du terrain</h2>C'est pour sensibiliser aux dangers de cette pratique à haut risque que Troy Hunt, consultant en cybersécurité, a créé le site <a target="_blank" rel="noopener noreferrer nofollow" href="http://HaveIBeenPwned.com">HaveIBeenPwned.com</a> (ou HIBP pour les intimes).Lorsqu'un site est piraté, les données personnelles (courriels, identifiants, mots de passe, etc.) sont souvent mises en vente sur le Dark Web. Troy Hunt, lui, s'est donné pour mission de les récupérer pour la bonne cause : celle de permettre à tout un chacun d'évaluer son degré d'exposition à la menace cyber.Concrètement, quand vous consultez son site, vous pouvez saisir votre adresse, et après croisement avec la totalité des fuites dont il a connaissance, HIBP vous informe sur le nombre et la nature des fichiers de données piratées dans lesquels figure cette adresse.Le croisement entre les données de la DILA et celles du site HIBP présente donc un avantage majeur pour la Suite territoriale: il promet d'obtenir une première évaluation de l'exposition au risque cyber de l'ensemble des communes de France.<h2 data-level="2">Un résultat préoccupant…</h2>Les résultats de cette étude préliminaire menée en août 2024 sont préoccupants. En croisant les données, nous avons en effet constaté qu'environ 2/3 des adresses de contact des collectivités soumises à HIBP ont fait l'objet d'une ou plusieurs fuites de données. Plus grave encore, une courte majorité des communes - légèrement plus de 50% - est concernée par une fuite dans laquelle apparaissaient des mots de passe.<blockquote>Parmi les différents services numériques qu'on peut être amené à utiliser au quotidien, la messagerie revêt un statut particulier, puisque les comptes utilisateurs sont souvent liés à un compte de messagerie auquel un message sera envoyé, par exemple en cas de mot de passe oublié. C'est pourquoi de façon générale, mais tout particulièrement pour les services de messagerie, une autre recommandation cruciale est de toujours privilégier l'usage d'un «&nbsp;double facteur » d'authentification: la saisie d'un code de vérification à usage unique ou l'utilisation d'une clé physique par exemple.</blockquote><h2 data-level="2">…mais à nuancer par les limitations techniques de l'étude</h2>Le fait qu'une adresse mail apparaisse dans un fichier de données personnelles piratées ne signifie pas automatiquement le piratage du compte de la personne concernée, c'est à dire sa boite de messagerie avec tous les échanges qu'elle contient.En effet, parmi les données qui sont régulièrement piratées, les mots de passe font normalement l'objet d'une protection particulière. Ils n'apparaissent pas en clair dans les bases de données des sites qui vous invitent à créer des comptes : ils sont (normalement) stockés sous forme chiffrée.Cependant, ces précautions ne sont pas toujours prises correctement… et les fichiers mis en vente sur le Dark Web peuvent avoir de la valeur précisément parce qu'ils contiennent des mots de passe qui ont été déchiffrés.Mais il faudrait aussi tenir compte du fait qu'on nous incite à changer régulièrement nos mots de passe, ou que certains des sites victimes de piratages préviennent leurs usagers en les encourageant à les changer. Un tel piratage a donc un impact qui diminue avec le temps.Pour résumer, le fait qu'une adresse de messagerie apparaisse dans HIBP est à voir comme un symptôme : il va nous inciter à un contrôle plus complet, et peut-être à adopter un traitement préventif, sans pour autant constituer un diagnostic certain et définitif.<h2 data-level="2">La construction itérative d'un indicateur d'impact</h2>Une dernière limite à souligner, et non des moindres, c'est que l'étude réalisée en 2024 n'a concerné qu'une seule adresse pour chaque collectivité : son adresse de contact principale.C'est à dire ni les adresses des agents territoriaux, ni celle des élus… Or ceux-ci seront près d'un demi-million (maires et conseillers municipaux) concernés par les élections de 2026, venant s'ajouter à près de deux millions d'agents publics territoriaux. (Un chiffre qui souligne l'importance de la sensibilisation des collectivités, et des agents qui en dépendent, aux risques cyber, au fonctionnement des messageries, et aux bonnes pratiques face aux menaces.)La vertu de cette étude par croisement aura été d'éprouver un principe qui se déclinera par la suite à d'autres indicateurs. C'est ainsi que dès l'automne 2024, «&nbsp;l'observation satellite » de la Suite territoriale se tourne vers un certain nombre d'éléments plus fiables tels que l'utilisation d'une connexion sécurisée par SSL pour le site Web, d'un nom de domaine souverain, d'un domaine de messagerie identique à celui du site Web, etc. Ces indicateurs ont en commun de pouvoir être calculés de façon automatisée et sans ambiguïté.Ce sera le début de la construction progressive, itérative, et conformément à l'approche produit adoptée, par un véritable travail d'équipe, de ce qui s'appelle désormais <a target="_blank" rel="noopener noreferrer nofollow" href="https://suiteterritoriale.anct.gouv.fr/conformite/cartographie">l'Observatoire de la Présence Numérique des Territoires</a>.Celui-ci est véritablement un indicateur d'impact puisqu'il traduit de façon concrète le résultat des actions menées auprès des communes pour adopter des outils plus sécurisés; de façon assez inédite, il se visualise par la Cartographie de la Présence Numérique des Territoires, c'est à dire que ce résultat s'observe en voyant à quel point la carte de France et des outre-mer se « colore en vert ».À travers ce retour d'expérience, nous témoignons donc, à la veille d'une année 2026 décisive pour la Suite territoriale, de l'intérêt du pilotage par l'impact pour des services numériques toujours plus proches des usagers et des territoires.<h3 data-level="3">Vous êtes agent(e) ou élu(e) d'une collectivité et vous souhaitez tester La Suite territoriale ? </h3>👉 Contactez-nous à l'adresse <a target="_blank" rel="noopener noreferrer nofollow" href="mailto:contact@suite.anct.gouv.fr">contact@suite.anct.gouv.fr</a> pour obtenir un compte.

Dans cette chronique, retrouvez les enseignements que tire notre consultant pilotage par l'impact quant aux enjeux de cybersécurité des collectivités et au rôle de La Suite territoriale pour y répondre. 

La Suite territoriale : chronique d'un besoin de cybersécurité

Vous avez une question ? Une remarque ?