Plateforme de signalement Acyma : le premier pas vers un CERT grand public

Après le dispositif visant à renforcer la sécurité des grandes entreprises (au travers de la Loi de programmation militaire), place à l'accompagnement des individus et des PME victimes de cyberattaques. « L'objectif d'Acyma est de s'outiller pour accompagner les individus qui n'ont pas forcément intégré la dimension cybersécurité au quotidien », explique Axelle Lemaire, le secrétaire d'Etat à l'Innovation et au Numérique qui a dévoilé la naissance d'Acyma (Actions contre la cybermalveillance) hier, dans le cadre du Forum international de la cybersécurité (FIC, qui se tenait les 24 et 25 janvier à Lille).

« J'ai la prétention de dire que nous sommes bien couverts pour répondre aux grandes attaques ciblant nos organisations vitales, mais les problématiques des PME et des citoyens ne sont pas traitées par l'Anssi. Et un tel grand écart ne me paraît d'ailleurs pas souhaitable », dit Guillaume Poupard, le directeur général de l'Agence nationale de la sécurité des systèmes d'information. D'où la naissance d'Acyma visant à apporter, selon lui, une « solution pragmatique à un coût acceptable ».

Des prestataires de proximité recommandés

Concrètement, la plate-forme en ligne doit être lancée dans deux mois, et testée lors d'une phase pilote réalisée dans les Hauts de France. Acyma comprendra une aide en ligne permettant aux victimes de comprendre un peu mieux la menace à laquelle ils font face, une liste de prestataires de proximité capables de les accompagner dans la restauration de leurs environnements compromis et diffusera des contenus de sensibilisation. Bref, Acyma ressemble à un embryon de CERT grand public. Rappelons que ces centres visent à alerter et à réagir aux cyberattaques ; la France en compte une vingtaine, tous dédiés avant tout aux grandes entreprises.

Selon le ministère de l'Intérieur, Acyma devrait aussi proposer des liens vers le dépôt de plainte. Lors de son discours au FIC, le ministre de l'Intérieur, Bruno Le Roux, a expliqué que deux autres plates-formes en ligne étaient en cours de développement, la première (Perceval) dédiée au signalement des usages frauduleux de cartes bancaires, la seconde (Thésée) vouée au dépôt de plaintes relatives aux escroqueries sur Internet. A terme, les trois initiatives devraient donc logiquement être reliées.

Nourrir l'assurance

La plate-forme Acyma servira aussi de base pour la production d'un observatoire de la cybercriminalité. Guillaume Poupard espère que cet observatoire viendra combler une lacune actuelle - le domaine croulant sous les chiffres produits par les fournisseurs, mais sans réellement aucune étude de référence - et pourra nourrir l'assurance. « Sans éléments quantitatifs, les assureurs ont du mal à proposer des offres viables », note le directeur général de l'Anssi.

Actuellement incubé au sein de l'Agence (pour un budget d'un million d'euros amené par l'Anssi), Acyma prendra à terme la forme d'un GIP (Groupement d'intérêt public), associant acteurs publics et privés. Cette structure en cours de création devrait donc, d'ici environ un an, comprendre une liste d'acteurs privés, mais aussi des associations de consommateurs. A ce stade, les noms des entreprises associées au projet n'ont pas été dévoilés. Mais Microsoft frappe clairement à la porte, Bernard Ourghanlian, le directeur technique et sécurité de la filiale française, expliquant avoir milité pour une initiative de ce genre depuis longtemps déjà.

Pour être recommandés par Acyma, les prestataires de proximité - on compterait 50 000 professionnels de l'IT dans des PME et TPE sur tout le territoire, selon le Cinnov-IT - devront signer une charte. « Mais pas question d'aller vers une certification, dit Guillaume Poupard. Nous allons travailler avec la répression des fraudes pour installer une forme d'auto-régulation sur la plate-forme ». Afin d'éviter que des victimes d'escrocs en ligne ne tombent entre les mains de prestataires incompétents ou indélicats.

A lire aussi :

Chiffrement : pour l'Anssi, la tentation des backdoors a disparu

?FIC 2017 : les démocraties face à leurs fragilités numériques

Hacking des élections : les partis politiques français sont-ils prêts ?