Lors d’une conférence de presse tenue au ministère de l’Économie, David Amiel, ministre de l’Action et des Comptes publics, a présenté un plan d’action destiné à renforcer la cybersécurité de la fisc suite à trois piratages, dont le dernier a été annoncé aujourd’hui. Au moins 3 millions de personnes ont été affectées par ces fuites de données successives.
Un plan d’action pour renforcer la cybersécurité fiscale
Ce plan a été élaboré à la suite de trois cyberattaques distinctes subies par le ministère de l’Économie, ce qui a incité David Amiel à proposer des mesures correctives. L’objectif principal est de renforcer durablement la cybersécurité de la Direction générale des finances publiques (DGFiP), dont les systèmes ont été sérieusement affectés par ces intrusions répétées.
Le plan d’action repose sur plusieurs mesures concrètes qui seront mises en œuvre pour les agents et les systèmes de la DGFiP :
- Généralisation de la double authentification pour tous les agents
- Intensification des campagnes de simulation de phishing pour sensibiliser le personnel
- Renforcement des formations en cybersécurité dispensées en interne
- Établissement d’un système de bug bounty récompensant le signalement de vulnérabilités
- Utilisation de l’intelligence artificielle pour simuler des attaques et identifier les vulnérabilités existantes
Ces mesures, tant techniques qu’humaines, visent à répondre à une lacune identifiée lors de la première attaque : la compromission des systèmes de la DGFiP n’a été détectée qu’un mois après les faits, un délai qui a permis à des données de circuler avant toute réaction officielle.
David Amiel a présenté ses excuses au nom du gouvernement pour cette réaction tardive, tandis que les syndicats d’agents ont indiqué à BFMTV avoir déjà tiré la sonnette d’alarme quant au manque de ressources allouées à la sécurité informatique du ministère.
Un audit de l’ANSSI attendu en septembre
Les résultats d’un audit commandé par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, sont attendus pour septembre. Cette réunion permettra d’évaluer l’efficacité des mesures annoncées et de déterminer si les moyens déployés correspondent aux critiques formulées par les syndicats concernant l’insuffisance des ressources consacrées à la cybersécurité fiscale.
