3 questions à … Didier Lage – Commandant Divisionnaire Honoraire, coordinateur Régional Sud-Est – Réseau Cybermenaces (RECym de la Région Auvergne-Rhône-Alpes)

Selon le rapport annuel de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), «la menace cyber s’est maintenue à un niveau élevé en 2022 ». Dans ce contexte, comment réagir face aux cyber-attaques ? De quelle manière les pouvoirs publics peuvent-ils accompagner les entreprises cyber-attaquées ?

Trois questions à Didier Lage, Commandant Divisionnaire Honoraire, coordinateur Régional Sud-Est – Réseau Cybermenaces

En cas de cyber-attaques et de ransomwares, les entreprises et organisations doivent-elles porter plainte ? Auprès de qui ?

Le dépôt de plainte est une obligation (voir l’article 5 de la loi du 24 janvier 2023 sur legifrance). En effet, le dépôt de plainte est désormais une condition indispensable pour la mise en œuvre des procédures d’indemnisation (à condition que le contrat d’assurance couvre les risques cyber). Cette disposition renforce de fait le rôle de l’investigation judiciaire.

Quels sont les dispositifs mis en place par les pouvoirs publics pour accompagner les organisations en matière de cyber-sécurité ?

La question est très large, puisqu’en ce domaine il convient de distinguer différentes « phases » : les actions de prévention, les interventions de conseil, les opérations de remédiation et, bien sûr, le dépôt de plainte et la procédure judiciaire qui s’ensuit. Ainsi, on trouvera différents acteurs susceptibles d’intervenir dans les trois premiers cas, selon la nature, la dimension et le type d’entreprise concernée, parmi lesquels les RECyM (Réseau Cyber Menace de Direction Centrale de la Police Judiciaire, répartis sur l’ensemble du territoire national), l’ANSSI, la DGSI et la Gendarmerie Nationale, sans oublier la CNIL. En revanche, pour ce qui est du domaine judiciaire, seuls les services de police et de gendarmerie sont en mesure de traiter les affaires.

Quelles réglementations françaises et européennes les organisations doivent-elles désormais prendre en compte ?

Il s’agit de l’ensemble de la réglementation existante, depuis la loi de 1978 sur la protection des données, jusqu’à la loi de programmation et d’orientation du ministère de l’Intérieur (LOPMI) du 24 janvier 2023 : loi du 6 janvier 1978, loi Godfrain du 5 février 1988 relative à la fraude informatique, loi sur la sécurité intérieure  (18 mars 2003),Convention de Budapest , RGPD, Loi du 24 janvier 2023 (lopmi). Bien sûr, il faut y ajouter les dispositions du Code et de procédure pénale, et les Systèmes déclaratifs des incidents numérique.

La réglementation européenne s’appuie quant à elle sur la convention de Budapest précitée, la loi sur la cybersécurité de l’UE(cybersecurity act), le RGPD entré en vigueur en 2018. A noter également l’importance de la coopération internationale, à travers les organisations que sont Europol et Interpol.

Biographie -Didier Lage :

Didier LAGE est Commandant Divisionnaire Honoraire de police, coordonnateur du Réseau des experts cybermenaces (RECym) pour la région Auvergne-Rhône-Alpes. Il a très longtemps exercé, dans le cadre d’Interpol, sur les problématiques d’enquêtes cyber. Devenu RSSI de cette organisation internationale, il fut un des concepteurs du réseau informatique mondial sécurisé d’Interpol (I-24/7), avant de prendre la charge du Service Central de l’Informatique et des Traces Technologiques de la Police Scientifique, dont le siège est basé à Ecully. Il est aujourd’hui chargé de la coordination du Réseau des Experts Cybermenaces (RECym), organisation dédiée à la prévention, créée par la Direction Centrale de la Police Judiciaire.