Principales menaces de cybersécurité pour les organismes publics en 2025

L’adoption d’environnements cloud hybrides parallèlement aux infrastructures existantes pose des défis complexes en matière de sécurité aux organismes publics. De nombreuses organisations du secteur public exploitent des systèmes vieux de plusieurs décennies qui n’ont jamais été conçus dans une optique de cybersécurité moderne, mais qui doivent désormais s’intégrer à des services cloud et à des applications mobiles.

Des cadres législatifs tels que la loi fédérale sur la modernisation de la sécurité de l’information (FISMA), la norme CMMC et les réglementations au niveau des États imposent des exigences strictes en matière de normes de sécurité informatique aux administrations publiques. La mise en œuvre de ces obligations nécessite souvent des ressources considérables, alors que les administrations sont confrontées à des contraintes budgétaires et à une pénurie de talents.

Ce tableau résume les principales exigences législatives et les défis de conformité qui en découlent pour les organismes publics :

L’impact des failles de sécurité dans le secteur public va bien au-delà des coûts financiers. Les interruptions de service peuvent affecter les infrastructures critiques, compromettre la sécurité publique et éroder la confiance des citoyens dans les institutions gouvernementales. L’atteinte à la réputation causée par une violation majeure peut persister pendant des années et saper la confiance du public.

Les stratégies adaptatives d’atténuation des risques doivent tenir compte de l’évolution du paysage des menaces et des exigences opérationnelles propres aux agences gouvernementales. Cela implique notamment de développer des systèmes résilients capables de maintenir leurs fonctions essentielles même en cas d’attaques en cours.

Vous trouverez ci-dessous les principales mesures d’atténuation des risques spécialement adaptées aux organismes publics :

• Élaborer des plans complets de réponse aux incidents, avec des rôles et des responsabilités clairement définis.
• Mettre en œuvre des solutions robustes de Backup and Recovery avec un stockage «air-gapped» pour les données critiques.
• Mettre en place un partage d’informations entre les agences afin d’améliorer le renseignement collectif sur les menaces.
• Organiser régulièrement des exercices sur table afin de tester les capacités de réaction dans des scénarios réalistes.
• Adopter un suivi automatisé de la conformité pour faciliter le respect des réglementations.
• Déployer une protection avancée des terminaux dotée de capacités d’analyse comportementale.

• Menace n° 1 : les attaques basées sur l’IA : l’IA permet désormais aux acteurs malveillants de créer des campagnes de hameçonnage très convaincantes, adaptées aux fonctionnaires. Ces attaques exploitent l’apprentissage automatique pour analyser le style d’écriture et les relations professionnelles des cibles, créant ainsi des messages adaptés au contexte qui contournent les filtres de sécurité traditionnels.

Parmi les exemples concrets, on peut citer le clonage vocal généré par l’IA, utilisé pour usurper l’identité de dirigeants d’agences dans le cadre d’attaques d’ingénierie sociale, ainsi que l’analyse automatisée des vulnérabilités, qui identifie les failles des systèmes gouvernementaux avant même qu’elles ne puissent être corrigées.

• Menace n° 2 : les ransomwares : les agences gouvernementales constituent des cibles de grande valeur pour les opérateurs de ransomwares en raison de leurs services essentiels et de leur capacité limitée à tolérer des temps d’arrêt. Les collectivités locales peuvent être particulièrement vulnérables, car elles ne disposent souvent pas des ressources de sécurité dont bénéficient les agences fédérales.

Les coûts vont au-delà du paiement des rançons et incluent la remise en service des systèmes, les enquêtes judiciaires et les mesures correctives. Selon une enquête menée par Sophos en 2024, 98 % des attaques par rançongiciel visant des organismes publics régionaux et locaux ont entraîné le chiffrement des données.

• Menace n° 3 : menaces internes : le risque posé par les employés, les sous-traitants et les partenaires disposant d’un accès légitime aux systèmes gouvernementaux reste l’un des problèmes de sécurité les plus complexes. Les acteurs internes peuvent agir de manière malveillante ou exposer par inadvertance des informations sensibles par négligence.

Une détection efficace nécessite une analyse comportementale permettant d’identifier les schémas d’accès inhabituels et les mouvements de données. Les stratégies de prévention comprennent des contrôles d’accès stricts, des réévaluations régulières des habilitations de sécurité et la segmentation des réseaux sensibles afin de limiter l’ampleur des dommages pouvant être causés par un seul acteur interne.

• Menace n° 4 : les vulnérabilités de la chaîne d’approvisionnement : les fournisseurs tiers font souvent peser des risques importants sur la sécurité des administrations. Les dépendances logicielles, les composants matériels et les prestataires de services constituent tous des vecteurs d’attaque potentiels.

Parmi les incidents récents, on peut citer des mises à jour logicielles compromises utilisées pour diffuser des logiciels malveillants dans les systèmes gouvernementaux, ainsi que du matériel comportant des portes dérobées préinstallées. L’attaque SolarWinds a démontré comment des acteurs sophistiqués peuvent exploiter des relations de confiance au sein de la chaîne d’approvisionnement pour pénétrer des réseaux par ailleurs bien défendus.

• Menace n° 5 : Fuites de données et manquements à la conformité : L’impact financier et sur la réputation des fuites de données gouvernementales peut être grave. Au-delà des coûts immédiats liés aux mesures correctives, les agences s’exposent à d’éventuelles sanctions réglementaires, à des poursuites judiciaires et à une érosion à long terme de la confiance du public.

Des fuites majeures concernant les dossiers du personnel et les informations relatives aux habilitations de sécurité ont exposé des millions de fonctionnaires et de prestataires à des risques potentiels d’usurpation d’identité et d’espionnage. Ces incidents sapent la confiance du public dans la capacité du gouvernement à protéger les informations sensibles.

Ce tableau classe chaque vecteur de menace majeur en fonction des types d’attaques correspondants, des ressources ciblées et des contre-mesures recommandées :

Une approche unifiée de la sécurité offre plusieurs avantages essentiels aux administrations publiques :

• Visibilité complète : assure une surveillance cohérente des ressources sur site et en multicloud, afin d’éliminer les angles morts susceptibles de dissimuler des menaces.
• Continuité opérationnelle : réduit au minimum les temps d’arrêt causés par des attaques perturbatrices grâce à des capacités intégrées de détection et de réponse.
• Conformité réglementaire : facilite le respect des obligations en matière de protection des données grâce à une gestion centralisée des politiques et à des rapports.
• Récupération rapide : améliore la rapidité d’intervention grâce à des systèmes intégrés de Backup and Recovery qui préservent l’intégrité des données.
• Efficacité des ressources : centralise les outils et les opérations de sécurité, réduisant ainsi les frais de personnel et les besoins en formation.

Les référentiels de sécurité reconnus constituent le fondement des stratégies de sécurité unifiées. Le référentiel de cybersécurité du NIST propose une approche complète articulée autour de cinq fonctions essentielles : identifier, protéger, détecter, réagir et restaurer. La norme ISO 27001 définit des exigences relatives aux systèmes de gestion de la sécurité de l’information pouvant être adaptées aux besoins des administrations publiques.

Cette comparaison met en évidence les avantages des cadres de sécurité unifiés par rapport aux approches traditionnelles :

Une importante agence gouvernementale fédérale était confrontée à de multiples défis qui mettaient à rude épreuve sa petite équipe informatique. L’agence devait se préparer à une migration vers le cloud sur Amazon Web Services (AWS) tout en gérant simultanément d’énormes volumes de données sensibles et en répondant aux demandes formulées au titre de la loi sur la liberté d’information (FOIA). Sa solution de sauvegarde existante ne faisait qu’ajouter à la complexité en raison d’un support technique insuffisant, de coûts élevés et d’un manque d’efficacité opérationnelle.

L’agence avait besoin d’une solution capable de répondre à plusieurs besoins essentiels :

• Classifier et protéger correctement les données gouvernementales.
• Réduire son empreinte cloud pour maîtriser les coûts AWS.
• Simplifier le traitement des demandes FOIA sans surcharger le personnel informatique.
• S’intégrer à son infrastructure de stockage NetApp existante.

Sur recommandation de son fournisseur de stockage, l’agence a mis en œuvre Commvault Cloud Autonomous Recovery et Commvault Compliance. Lors des tests, la solution a démontré sa capacité à s’intégrer pleinement aux systèmes NetApp et a offert une expérience utilisateur simplifiée par rapport aux alternatives.

Les résultats ont transformé ses opérations à plusieurs niveaux :

• Réduction des coûts liés au cloud : l’agence a réduit son empreinte cloud de plusieurs centaines de téraoctets, ce qui a permis de diminuer considérablement ses dépenses AWS.
• Amélioration de l’efficacité du personnel : en confiant le traitement des demandes FOIA à des professionnels de la sécurité plutôt qu’au personnel informatique, l’agence a libéré environ 25 % du temps de l’équipe informatique pour d’autres tâches essentielles.
• Amélioration de la classification des données : les informations sensibles ont été correctement classifiées avant la migration, ce qui a permis de réduire les risques liés à la cybersécurité.
• Rationalisation des opérations : les processus automatisés de Backup and Recovery ont réduit la complexité et les coûts.

L’agence utilise désormais une interface unique pour gérer l’ensemble de son infrastructure, qu’il s’agisse de systèmes classifiés ou non. Cette solution permet aux professionnels de la sécurité de rechercher, d’examiner et d’exporter efficacement les documents pertinents, ce qui accélère les délais de réponse aux demandes FOIA tout en maintenant des contrôles de sécurité stricts.

Ce cas illustre comment une approche globale de la gestion des données aide les agences gouvernementales à concilier les exigences de sécurité et l’efficacité opérationnelle. En mettant en œuvre les outils adaptés, l’agence a créé un système durable et évolutif pour protéger et gérer les données tout en respectant ses obligations réglementaires.

Commvault propose des solutions complètes de protection des données spécialement conçues pour les environnements gouvernementaux hybrides et multicloud. Notre plateforme intègre des fonctionnalités de détection automatisée des ransomwares, capables d’identifier les activités suspectes et d’alerter les équipes de sécurité.

Les capacités de reprise rapide de Commvault permettent aux administrations de rétablir rapidement leurs opérations à la suite d’un incident de sécurité, grâce à un chiffrement avancé prenant en charge les architectures « zero-trust ». Cette approche globale s’aligne sur les cadres réglementaires spécifiques au secteur public, et les solutions Commvault® Cloud for Government, fournies en mode SaaS, constituent une offre de protection des données certifiée FedRAMP Classe D (Haut niveau). Cette certification permet aux agences fédérales de tirer parti de notre protection des données dans le cloud en ayant l’assurance que leurs informations sensibles restent sécurisées.

Les agences gouvernementales ont besoin de stratégies de protection des données robustes pour se défendre contre des cybermenaces de plus en plus sophistiquées. Un cadre de sécurité adapté, associé à des solutions modernes de protection des données, constitue une base solide pour la cyber-résilience. Les organisations du secteur public qui accordent la priorité à une protection complète des données et à des capacités de Recovery rapide se donnent les moyens de maintenir la continuité opérationnelle et métier, ainsi que la confiance du public.

Prêt à renforcer les cyberdéfenses de votre organisme ? Demandez une démonstration pour découvrir comment nous pouvons vous aider à protéger vos données et votre infrastructure critiques.