Cybersécurité au Maroc : protéger les données et renforcer la résilience de l’entreprise

Une attaque informatique peut rapidement devenir une crise d’entreprise. Lorsque les systèmes

de facturation, de production, de paiement ou de relation client deviennent indisponibles, les

conséquences dépassent largement le coût de la remise en état informatique. L’organisation

peut perdre du chiffre d’affaires, interrompre ses opérations, exposer des informations

confidentielles et détériorer durablement la confiance de ses clients, banques et partenaires.

Cette évolution modifie la responsabilité des dirigeants. Le comité de direction ne doit pas

connaître le détail de chaque technologie de sécurité, mais il doit être capable de répondre à

des questions essentielles : quelles sont les données les plus critiques ? Combien de temps

l’entreprise peut-elle fonctionner sans son système d’information ? Où sont hébergées les

informations sensibles ? Qui peut y accéder ? Et surtout, combien de temps faudrait-il pour

reprendre l’activité après une attaque majeure ?

Cartographier ce qui doit survivre

Toutes les données ne présentent pas la même valeur. Une entreprise industrielle protégera

particulièrement ses plans, paramètres de production et secrets de fabrication. Un distributeur

privilégiera ses bases clients et ses systèmes de paiement. Une société de services devra

sécuriser ses contrats et données commerciales.

La première étape consiste donc à cartographier les actifs numériques et à les classifier selon

leur criticité. Cette démarche permet ensuite d’appliquer des niveaux de protection différents et

de limiter les droits selon le principe du moindre privilège. Un collaborateur, prestataire ou

administrateur ne devrait accéder qu’aux ressources strictement nécessaires à son activité.

Traiter le facteur humain

Une architecture technique robuste peut être contournée par un simple courriel frauduleux. Le

phishing, le vol d’identifiants et l’ingénierie sociale exploitent moins les faiblesses des machines

que celles des comportements.

L’authentification multifacteur, les politiques de mots de passe, la gestion rigoureuse des accès

et les mises à jour constituent donc un socle minimal. Mais la sensibilisation doit devenir

permanente. Des simulations de phishing et des formations courtes permettent de transformer

progressivement les collaborateurs en acteurs de la défense plutôt qu’en vulnérabilités

involontaires.

Surveiller aussi les fournisseurs

La transformation digitale élargit également le périmètre de risque aux prestataires. Hébergeurs,

intégrateurs, cabinets comptables, fournisseurs SaaS ou sociétés de maintenance peuvent

disposer d’accès directs ou indirects au système d’information.

La cybersécurité doit donc entrer dans les critères de sélection et de contractualisation des

partenaires. L’entreprise peut vérifier leurs pratiques de sécurité, limiter leurs habilitations,

imposer une authentification renforcée et prévoir contractuellement les obligations de

notification en cas d’incident. La solidité numérique d’une organisation dépend désormais en

partie de celle de son écosystème.

Préparer l’entreprise à l’arrêt

La prévention absolue n’existe pas. Une stratégie crédible doit partir de l’hypothèse qu’un

incident finira par franchir les défenses. La question devient alors : l’entreprise peut-elle

continuer à fonctionner ?

Un Plan de Continuité d’Activité et un Plan de Reprise d’Activité doivent définir les systèmes

prioritaires, les procédures alternatives et l’ordre de restauration. Les sauvegardes critiques

doivent être protégées contre leur suppression ou leur chiffrement par un attaquant. Surtout,

leur restauration doit être réellement testée. Une sauvegarde jamais restaurée reste une

promesse, pas une garantie.

Maîtriser la localisation des données

La migration vers le Cloud ajoute une dimension de souveraineté. Avant de choisir un

hébergeur, l’entreprise doit connaître la localisation des données, les conditions de transfert, les

mécanismes de chiffrement, les sous-traitants mobilisés et les juridictions susceptibles de

s’appliquer.

Pour les informations les plus sensibles, le recours à des infrastructures locales ou à des

architectures hybrides peut répondre à certaines exigences de maîtrise. La localisation

géographique ne suffit cependant pas : gouvernance des accès, chiffrement, gestion des clés et

capacité de récupération restent déterminants.

Faire de la cyber un risque dirigeant

La conformité aux exigences de la CNDP, de la loi 09-08 et, pour les organisations concernées,

au cadre national de cybersécurité doit s’inscrire dans cette gouvernance globale. Le juridique,

la conformité, les métiers, la DSI et la direction générale doivent partager une lecture commune

des risques.

La cybersécurité devient ainsi comparable au risque financier, industriel ou juridique : elle doit

être évaluée, financée, testée et présentée aux instances de gouvernance. Pour une entreprise

marocaine engagée dans sa transformation numérique, l’objectif n’est plus de rendre toute

attaque impossible. Il est de réduire la probabilité d’un incident majeur, d’en limiter l’impact et de

garantir que l’organisation puisse continuer à fonctionner lorsqu’une partie de son

environnement numérique est compromise.