Un matin à Libreville, un service numérique ne répond plus dans une administration. Quelques heures plus tard, les équipes techniques découvrent qu’il ne s’agit pas d’une simple panne, mais d’une attaque informatique. Pour l’utilisateur, le problème est technique. Pour l’entreprise, il devient financier. Et lorsque plusieurs acteurs dépendent des mêmes infrastructures ou services numériques, le problème peut devenir économique.

C’est probablement ainsi qu’il faut désormais regarder la cybersécurité au Gabon, non plus seulement comme une affaire d’informaticiens, de mots de passe et d’antivirus, mais comme une question de continuité de l’économie numérique.

Car plus le Gabon se digitalise, plus une partie de son activité économique dépend d’infrastructures qui doivent rester disponibles, fiables et sécurisées. À mesure que cette économie se digitalise, une nouvelle question apparaît. Que se passe-t-il lorsqu’un de ces systèmes devient indisponible ?

Imaginons pendant une journée l’impossibilité d’effectuer certains paiements dans des supermarchés, stations-service, pharmacies ou commerces de Libreville. L’argent n’a pas disparu. Les clients sont toujours là. Les commerçants également. Mais la transaction ne peut plus circuler.

Une cyberattaque possède alors quelque chose que l’on associe rarement à l’informatique, un compte de résultat. Une attaque peut coûter sans voler un seul franc. Lorsqu’on parle de cybercriminalité, l’attention se concentre généralement sur l’argent volé. C’est logique. À l’échelle africaine, les opérations coordonnées par INTERPOL montrent l’importance croissante des fraudes numériques, attaques informatiques et réseaux cybercriminels. Les analyses récentes évoquent désormais plusieurs centaines de millions de dollars de pertes liées à ces activités sur le continent.

Mais le coût d’une cyberattaque ne se limite pas au montant dérobé. Une entreprise peut perdre de l’argent simplement parce qu’elle ne peut plus travailler. Une banque peut devoir interrompre certains services. Une administration peut ne plus délivrer un service. Un opérateur peut mobiliser pendant plusieurs jours des équipes techniques pour reconstruire un système compromis.

Et il existe un risque plus discret encore. Un système informatique peut continuer à fonctionner alors qu’un attaquant modifie silencieusement une information, détourne une transaction ou copie des données sensibles. La cybersécurité doit donc protéger trois choses très concrètes, la disponibilité des services, l’intégrité des informations et leur confidentialité.

Au Gabon, le risque n'est déjà plus théorique

Ces derniers mois, plusieurs utilisateurs gabonais ont signalé des compromissions de comptes WhatsApp, y compris de comptes WhatsApp Business utilisés par des entrepreneurs et des commerçants pour échanger avec leurs clients.

Derrière ce qui peut sembler être un simple piratage de messagerie apparaît déjà une conséquence économique, lorsqu'un entrepreneur perd l'accès à son compte professionnel, il peut aussi perdre temporairement l'accès à ses clients, à ses commandes et à l'un de ses principaux outils de travail. Les contacts du compte compromis peuvent également recevoir des demandes frauduleuses envoyées au nom de la victime.

Cet exemple rappelle une caractéristique fondamentale du risque cyber, l'attaquant ne cherche pas toujours à attaquer l'infrastructure la plus sophistiquée. Il cherche souvent le maillon le plus accessible.

Ce maillon peut être un serveur ou une application. Mais il peut aussi être un téléphone, un compte professionnel, un collaborateur, un fournisseur ou simplement une personne trompée par un message. Et lorsque ces outils numériques deviennent indispensables à l'activité quotidienne, leur compromission n'est plus seulement un problème informatique.

L’intelligence artificielle change aussi l’échelle du risque cyber. Elle permet désormais aux fraudeurs de produire rapidement des messages de phishing très crédibles, de cloner une voix ou une image, de créer des deepfakes et d’automatiser certaines étapes d’une attaque. Elle rend ainsi l’ingénierie sociale plus difficile à détecter : un faux message du directeur, d’un collègue ou d’un proche peut devenir beaucoup plus convaincant.

L’interconnexion crée de la valeur… et de nouvelles dépendances

Le développement de l’interopérabilité des paiements dans la CEMAC constitue une avancée majeure. Des infrastructures comme GIMACPAY permettent progressivement de connecter banques, établissements financiers, opérateurs de mobile money et différents services de paiement. Pour le citoyen et l’entreprise, l’objectif est évident, pouvoir effectuer plus facilement des transactions entre des acteurs auparavant séparés.

Mais techniquement, cette interconnexion produit une conséquence importante.

Nos systèmes deviennent dépendants les uns des autres.

Une banque peut être parfaitement protégée tout en utilisant une infrastructure externe.

Une fintech peut sécuriser son application mais dépendre d’une banque, d’un opérateur télécom, d’un hébergeur ou d’une API. Un commerçant peut disposer d'un terminal parfaitement fonctionnel mais être incapable d'encaisser si l'un des services situés plus loin dans la chaîne devient indisponible. Le cyber-risque ne doit donc plus être analysé uniquement entreprise par entreprise.

Il faut également regarder la chaîne complète. C’est là que le risque informatique peut devenir systémique.

Le Gabon ne part pas de zéro

Le pays dispose déjà de plusieurs briques importantes.

La loi n°027/2023 constitue un cadre juridique. L’ANINF occupe une position institutionnelle centrale dans les questions numériques et de sécurité des systèmes d’information. L’ARCEP intervient dans l’écosystème des communications électroniques. Des actions de sensibilisation et de développement des capacités cyber existent également.

L’enjeu n’est donc pas nécessairement de créer une nouvelle institution. Il pourrait être de faire travailler davantage ensemble celles qui existent déjà, avec les opérateurs économiques et les professionnels de la cybersécurité.

C’est dans cette logique que je propose un Bouclier Cyber Gabon.

Un « Bouclier Cyber Gabon » pour fédérer les capacités

Le principe serait simple, lorsqu’une menace importante touche un acteur essentiel, les autres acteurs susceptibles d’être concernés doivent pouvoir être alertés rapidement.

Pas plusieurs jours plus tard. Pas lorsque l’incident devient public. Mais suffisamment tôt pour pouvoir se protéger.

Ce dispositif pourrait fonctionner autour de cinq capacités :

Cartographier et protéger. Identifier les services numériques essentiels du pays et comprendre leurs dépendances, énergie, télécommunications, banques, paiements, administrations, hébergement ou services numériques critiques.

Détecter et alerter. Il faut régulièrement tester ce qui se passe si un acteur essentiel devient indisponible pendant quelques heures. Permettre aux acteurs concernés de détecter rapidement une anomalie et d’alerter les organisations susceptibles d’être touchées par la même menace.

Partager et contenir. Une banque découvrant une nouvelle méthode d’attaque, par exemple, devrait pouvoir transmettre une information exploitable aux autres acteurs concernés sans nécessairement exposer publiquement les détails de son incident.

Continuer et rétablir. Chaque acteur critique devrait disposer de procédures lui permettant de maintenir ses fonctions essentielles, même en mode dégradé, puis de restaurer ses systèmes.

Apprendre. Chaque incident important devrait permettre d’améliorer collectivement les dispositifs de défense. Il ne s’agirait pas de faire remonter toutes les données informatiques des entreprises vers un gigantesque centre national.

Le modèle pourrait être fédéré, chaque banque, opérateur télécom, administration ou infrastructure critique conserve ses propres moyens de surveillance, tandis qu’une capacité nationale organise l’échange d’alertes et la coordination lorsqu’une menace dépasse une seule organisation. Cette approche correspond d’ailleurs davantage aux enseignements tirés de dispositifs africains de coopération cyber étudiés dans les analyses comparatives.

Recenser aussi les forces cyber du secteur privé gabonais

Mais un tel dispositif aurait une faiblesse s’il ne réunissait que les grandes institutions.

Le Gabon possède également des entreprises spécialisées en sécurité informatique, des intégrateurs, des cabinets de conseil, des experts en audit, des professionnels de la supervision, de la protection des infrastructures, de la gestion des incidents ou encore de la continuité informatique. Ces compétences constituent elles aussi une capacité nationale.

L’État gagnerait donc à recenser l’écosystème gabonais de la cybersécurité, quelles entreprises existent ? Quelles sont leurs spécialités ? Quelles compétences possèdent-elles ? Sur quels types d’incidents peuvent-elles intervenir ? Quelles capacités techniques peuvent-elles mobiliser rapidement ?

L’objectif ne serait pas simplement de constituer un annuaire.

Il serait de savoir sur quelles forces le pays peut réellement compter lorsqu’une crise survient.

Une entreprise spécialisée pourrait par exemple apporter une capacité d’analyse technique. Une autre pourrait intervenir sur la réponse à incident. Une autre encore sur la sécurisation des réseaux, les audits, les tests d’intrusion, la sauvegarde ou la continuité d’activité.

Ces acteurs privés pourraient participer aux exercices nationaux, aux groupes de travail sectoriels et, selon des règles précises de confidentialité et de qualification, à certaines cellules de réponse lorsqu’une crise importante l’exige.

Cette coopération aurait également un autre intérêt, faire grandir une industrie gabonaise de la cybersécurité.

Car la souveraineté numérique ne consiste pas seulement à posséder des infrastructures. Elle consiste aussi à posséder les compétences permettant de les défendre.

La cybersécurité devient une politique économique

Pendant longtemps, la cybersécurité pouvait être considérée comme une dépense informatique. Cette vision devient progressivement obsolète.

Lorsque plusieurs milliers de milliards de FCFA transitent chaque année par des systèmes numériques, lorsque les banques, télécoms, fintechs, administrations et entreprises deviennent interconnectés, protéger ces systèmes revient aussi à protéger l’activité économique qu’ils permettent. Le prochain niveau de maturité du Gabon ne sera donc peut-être pas seulement d’adopter davantage de technologies.

Il sera de savoir comment continuer à fonctionner lorsque certaines de ces technologies sont attaquées.

Cela suppose des infrastructures résilientes, des institutions capables de coopérer, des entreprises préparées, des professionnels locaux de la cybersécurité identifiés et mobilisables, et surtout une capacité collective à partager rapidement l’information lorsqu’une menace apparaît. Car dans une économie de plus en plus numérique, la véritable mesure de la cybersécurité n’est plus seulement notre capacité à empêcher une attaque.

C’est notre capacité à continuer à fonctionner lorsqu’elle survient.

Auteur 

Aimé NGUEMA TCHANG, Expert Fintech

Auteur

Aimé NGUEMA TCHANG

Parlons de Vous