Réagissant au piratage spectaculaire du site des impôts, le gouvernement a présenté lundi 7 septembre son dispositif REACTIV. Piloté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ce groupe de travail vise à améliorer la protection des données des citoyens dans les administrations.
Un dispositif aux pouvoirs étendus
REACTIV, acronyme de « REponse & ACTion Interministérielle face aux Violations de données », a été commandé par le Premier ministre Sébastien Lecornu après l’attaque de Bercy. L’ANSSI pourra désormais forcer les ministères à appliquer, dans des délais contraints, les mesures nécessaires pour protéger les données. Elle centralisera également la communication technique en cas de crise. Concrètement, le dispositif doit permettre de mobiliser immédiatement les compétences et les moyens de l’agence auprès des ministères concernés, avec un basculement des efforts opérationnels sur l’appui au traitement des compromissions de comptes et l’analyse des violations.
Contexte et enjeux pour l’État
L’initiative répond aux critiques après l’incident de l’été. L’ANSSI, déjà chargée de la protection interministérielle de la Nation face aux cyberattaques, voit son rôle renforcé par ce pouvoir de coercition. Cependant, le communiqué ne précise pas si des moyens supplémentaires seront alloués à l’agence ou aux ministères pour accompagner cette nouvelle organisation. Cette absence pose la question de la capacité effective à mettre en œuvre les mesures exigées.
Conséquences pour les administrés
Pour les citoyens, ce dispositif pourrait se traduire par une réaction plus rapide des administrations en cas de fuite de données, avec une communication de crise centralisée. L’obligation faite aux ministères de sécuriser leurs parcs informatiques vise à prévenir de nouvelles exfiltrations. À terme, les usagers devraient observer moins de perturbations dans les services en ligne de l’État, même si les modalités concrètes restent à définir.
En l’état, REACTIV représente une évolution notable dans l’approche de la cybersécurité publique, mais les zones d’ombre persistent. On ignore encore comment les ministères appliqueront ces directives et si l’ANSSI disposera des ressources humaines et financières nécessaires pour assumer cette mission élargie.