La Caisse nationale de sécurité sociale (CNSS) s'apprête à ouvrir, le 22 avril, les plis de deux appels d'offres d'envergure, portant sur la transformation numérique et la protection des données. Mais alors que l'institution se remet à peine d'un piratage retentissant, ces projets suscitent autant d'espoir que de scepticisme. Le premier appel d'offres concerne l'acquisition d'une solution de prévention des fuites de données, une « Data Leakage Protection Solution », pour un montant estimé à 2,6 millions de dirhams, auquel s'ajoute un coût annuel de maintenance avoisinant les 2 millions, apprend-on du PV de la Commission technique, dont les travaux ont été clôturés en décembre dernier.
Le second, lancé le même jour, porte sur la refonte du site web interne de la CNSS, distinct du portail public, pour un budget de 600 000 dirhams, accompagné d'une maintenance annuelle estimée à 264 000 dirhams. Ces investissements pourraient sembler opportuns, voire urgents, compte tenu du contexte, marqué par le récent piratage du site de la CNSS. Une attaque qui remet en question la fiabilité des prestataires actuels, mais aussi les critères de sélection dans les marchés publics.
Mi-décembre, c'est l'entreprise marocaine Logigroup, fondée en 2012 à Casablanca par deux ingénieurs, qui a remporté le marché de refonte du site public de la CNSS. Montant du contrat : 1,367 million de dirhams, assorti d'une maintenance annuelle de 325 000 dirhams. Si la société se positionne comme experte en cybersécurité, les failles récemment exposées jettent un sérieux doute sur l'efficacité de ses solutions. En 2021 déjà, une autre entreprise avait été mandatée pour sécuriser les bases de données via IBM Security Guardium, pour un montant de 285 000 dirhams. Sur les réseaux sociaux, de nombreux internautes s'interrogent si la responsabilité de la cybersécurité ne peut être entièrement attribuée aux prestataires, ni même uniquement à l'institution, alors à qui revient-elle réellement ? Pour les citoyens, le temps des discours est révolu. Ce qu'ils réclament aujourd'hui, ce ne sont pas de simples menaces judiciaires à l'encontre des diffuseurs de données, mais une enquête sérieuse, suivie de sanctions claires, publiques et dissuasives. Il convient de rappeler que la CNSS, en tant que responsable du traitement des données personnelles qui lui sont confiées, est tenue par la loi 09-08 de respecter des obligations strictes en matière de confidentialité, de sécurité des traitements et de secret professionnel. Conformément à l'article 23 de cette loi, l'organisme est tenu de prendre toutes les mesures nécessaires pour garantir la protection des données et empêcher tout accès ou utilisation par des tiers non autorisés. Dès lors, toute fuite de données personnelles constitue un incident de sécurité grave, ouvrant droit à réparation pour toute personne ayant subi un préjudice, qu'il soit matériel ou moral.
