00:00Une nouvelle unité cyber a constitué en urgence, ça c'est ce qu'a demandé hier Sébastien Lecornu,
00:05une unité capable d'intervenir en première ligne face aux hackers.
00:10Le Premier ministre reconnaît lui-même que peu de ministères sont au niveau requis et jugent la situation pas acceptable.
00:16Bonjour Philippe Latombe.
00:17Bonjour.
00:18Alors vous avez deux casquettes ce matin avec nous, merci de nous répondre.
00:21Vous êtes député Modem de Vendée et membre de la CNIL, la Commission Nationale Informatique et Liberté.
00:25On va reparler de cette unité cyber dans un instant, mais d'abord, c'est votre parti pris ce matin,
00:30vous dites que l'État est 100% responsable et qu'il doit être sanctionné.
00:34Des têtes doivent tomber, Philippe Latombe ?
00:37Oui, je pense qu'il doit y avoir une responsabilité qui n'est pas simplement que politique, mais aussi administrative.
00:41Et donc il doit y avoir, comme on le ferait pour une entreprise privée, comme ça se passe dans le
00:45secteur privé,
00:46qu'il y ait des responsabilités qui soient trouvées au sein de l'administration,
00:49pour ne pas avoir écouté depuis des années l'ensemble des personnes qui leur dit,
00:55chaque fois qu'il y a des tests d'intrusion, qu'il y a des failles et qu'ils ne
00:58les ont pas corrigées
00:59et que ces failles ont été utilisées par des attaques qui sont des attaques, je le dis, des attaques de
01:04faible ampleur.
01:05On n'a pas en face de nous des attaques hyper sophistiquées qu'on pourrait attribuer aux russes.
01:09Mais ça, pardonnez-moi, je dis Platon, parce que moi je ne suis pas hacker, je ne suis pas informaticien,
01:12mais j'ai entendu du gouvernement que c'était des attaques sophistiquées et ça fait deux fois en deux jours
01:18qu'on me dit que non.
01:19C'est un mensonge en fait quand on dit que c'était des attaques sophistiquées.
01:22Ce ne sont pas des attaques sophistiquées, ce sont des attaques qui profitent de faiblesses,
01:27qui sont des faiblesses structurelles, qui sont que par exemple nous n'avons pas d'authentification double facteur ou multifacteur,
01:33ce que vous avez en tant que particulier quand vous vous connectez à votre rapide bancaire.
01:37C'est fou que l'administration fiscale n'est pas ce truc basique qu'on a pour n'importe quelle
01:40boîte mail aujourd'hui.
01:42Exactement, c'est pour ça qu'il y a des responsabilités et quand je suis moi à l'ACNIL dans
01:46des délibérations du collège de l'ACNIL,
01:48je demande à ce que systématiquement ce soit indiqué dans les délibérations de l'ACNIL, vous pouvez les reprendre, c
01:53'est marqué,
01:54en demandant qu'il y ait les mesures minimales, qu'il soit l'authentification multifacteur,
01:58qu'il soit le fait que des fonctionnaires n'aient pas accès à l'intégralité des informations dans une base
02:03de données ou dans un système d'informations
02:04parce qu'ils n'ont pas forcément besoin de toutes ces informations et donc on doit cloisonner.
02:08Et puis il y a un truc qui est affolant, ce qui s'est passé avec DGFIP ou à l
02:12'éducation nationale,
02:13c'est que personne ne mesure le volume de données sorties.
02:17Comme on a une fuite d'eau chez soi, on a un compteur et on regarde si le compteur, il
02:21y a beaucoup d'eau qui sort ou pas.
02:22Et bien sur les systèmes d'information de l'État, il n'y a pas ça et pourtant c'est
02:25le minimum.
02:26Donc il y a des responsabilités.
02:26En fait, on s'est fait cambrioler, mais on ne sait pas ce qu'on s'est fait voler.
02:30C'est exactement ça. On s'est fait cambrioler, puis ensuite on a refermé la porte en disant
02:33on s'est fait cambrioler, on ne sait pas ce qui est parti. Ce n'est pas normal.
02:36Dans ces cas-là, on fait un état de l'éducation.
02:36Vous avez évoqué, est-ce que des têtes doivent tomber ?
02:39Vous avez parlé de sanctions administratives éventuellement.
02:41Du côté de la CNIL, c'est votre autre casquette, est-ce que la CNIL peut, doit sanctionner l'État
02:45?
02:47Alors le problème de la CNIL, c'est qu'elle n'a pas le droit de sanctionner l'État en
02:49tant que tel.
02:50Elle peut aller, j'allais dire, les mettre au banc en prenant une sanction, j'allais dire, de notoriété,
02:58en disant que ce n'est pas bien, mais elle n'a pas le droit de sanctionner financièrement l'État.
03:01Puis ça ne servirait pas à grand-chose, parce que l'État se paierait à lui-même une amende,
03:03donc ça ne sert pas à grand-chose.
03:05C'est pour ça que je dis qu'il faut des sanctions administratives.
03:07Et d'ailleurs, c'est prévu dans un texte de transposition européen
03:11qui n'a pas été présenté au Parlement depuis plus de deux ans.
03:14Nous sommes en retard sur cette transposition.
03:16C'est le texte Résilience, dont je suis président de la commission spéciale.
03:19Et ça fait deux ans qu'on demande à ce que ce texte soit présenté en hémicycle.
03:23Il a été passé en commission, il a été voté au Sénat.
03:25Et c'est ça qui nous met en colère avec les sénateurs.
03:27Et là, c'est totalement transpartisan.
03:29Oui, et d'ailleurs, effectivement, c'est transpartisan.
03:31Et ce sont les deux chambres, l'Assemblée et le Sénat,
03:34qui expriment leur colère ces dernières heures.
03:36Alors il y a une nouvelle unité cyber à l'ANSI,
03:39l'autorité nationale de cybersécurité et de cyberdéfense en France,
03:43qui va être créée.
03:44C'est le vœu du Premier ministre.
03:46C'est vraiment la réponse au problème ?
03:48Non, parce qu'elle existe déjà.
03:50Elle est censée déjà exister.
03:52Ça montre bien aujourd'hui que nous avons un problème d'identification
03:54aujourd'hui de qui fait quoi en matière cyber au sein de l'État
03:57et de comment les ministères doivent fonctionner.
04:00On nous dit que chaque ministère est responsable de son système d'information.
04:02C'est pas normal qu'il n'y ait pas une coordination interministérielle sur ce sujet-là.
04:07Et normalement, une coordination interministérielle sur ce sujet-là,
04:10c'est l'ANSI et c'est sous la responsabilité du Premier ministre.
04:12Donc on voit bien aujourd'hui qu'il faut absolument clarifier les choses,
04:16qu'il faut aller chercher où sont les responsabilités.
04:18C'est pour ça que nous demandons et que nous allons déposer au Sénat,
04:21je crois que c'est Patrick Caner qui va le faire,
04:23et moi je le ferai à l'Assemblée nationale,
04:24une demande de commission d'enquête pour savoir exactement ce qui s'est passé,
04:27au-delà de l'affaire de la DGFIP,
04:29de savoir ce qui s'est passé,
04:30comment structurellement on a pu passer à côté de tout ça,
04:33et de remettre tout ça à niveau.
04:34Mais le remettre à niveau de façon urgente.
04:36Et c'est pas forcément très coûteux.
04:38C'est aussi de changer les pratiques des ministères,
04:41c'est aussi de changer...
04:41Philippe, attends, je suis désolé de vous poser la question en ces termes,
04:43mais pour le dire clairement,
04:45ils sont moques ou ils sont mauvais ?
04:48Les deux, mon capitaine.
04:50Quand on voit que le responsable...
04:51C'est affligeant, franchement,
04:52ce qu'on entend depuis 3-4 jours sur la sécurisation,
04:54enfin franchement, quand on voit comment nous,
04:56on fait gaffe à la maison, à nos comptes mail,
04:58à nos comptes, je sais pas, sur les sites marchands en ligne,
05:03et de se dire qu'on en est à ce niveau-là,
05:05sur Bercy, l'éducation nationale, etc.,
05:07c'est affligeant.
05:08On voit bien que c'est structurel,
05:09ce sont tous les ministères.
05:11Et le fait de se faire pirater sur des données aussi simples que celles-là,
05:14fait qu'on passe à côté d'attaces qui sont beaucoup plus importantes.
05:17Vous parliez de foot tout à l'heure,
05:19je sais, et j'ai des preuves aujourd'hui,
05:21de fuite de données concernant les données de santé
05:23de joueurs de foot de premier rang,
05:25voire de l'équipe de France.
05:26Tout ça, ça passe au deuxième rang,
05:28on s'en fiche un peu,
05:29alors que ça a des impacts très importants.
05:31C'est valable pour l'éducation nationale.
05:33Qu'est-ce qu'on a besoin d'avoir encore à l'éducation nationale,
05:35en accès libre pour n'importe quel fonctionnaire,
05:37des données sur des élèves d'il y a 20 ans ?
05:40Merci beaucoup, Philippe Latombe.
05:40Normalement, ça part en archive.
05:42Merci mille fois d'avoir pris quelques minutes ce matin.
05:44On n'est pas tous experts non plus en cyber,
05:47et je pense que ces derniers jours,
05:48les Français font un bon qualitatif
05:50dans la compréhension de ces sujets-là.
05:51Aussi grâce à ce genre de prise de position,
05:53Philippe Latombe, député Modem de Vendée
05:55et membre de la CNIL,
05:56la Commission nationale informatique et liberté.
05:58Toujours beaucoup de réactions ce matin.
05:59Et une question de Mika,
06:01elle est où la ministre chargée du numérique
06:03et de l'intelligence artificielle ?
06:04Ce n'est pas une question de personne,
06:05mais quand on crée un ministère chargé du numérique,
06:08on s'attend à les voir en première ligne.
06:09Et là, en effet, on n'a pas beaucoup de nouvelles.
06:11On n'a pas beaucoup de nouvelles.
06:12Peut-être qu'on va attendre la fin des vacances.
06:15Je ne sais pas, on verra.
06:15C'est top.
Commentaires