Tout le monde qui s’intéresse à la Cybersécurité en Algérie est normalement au courant de la récente publication d’un nouveau Décret présidentiel relatif à la Sécurité des Systèmes d’Information en Algérie. Nous avons communiqué rapidement sur cette publication il y a déjà quelques jours sur notre page LinkedIn.
Je présenterais ici, en termes simples, une synthèse du contenu de ce nouveau Décret.
Tout ce qui suit sont mon interprétation et mon avis personnels.
De quoi s’agit-il ?
C’est un Décret présidentiel (et non une Loi !) datant du 20 janvier 2020, qui a pour objet la « mise en place d’un dispositif national de la sécurité des systèmes d’information », en Algérie bien sûr.
Qu’est-il entendu par « dispositif national » ?
L’article 2 répond à cette question. C’est le « cadre organisationnel » niveau État. La suite du Décret précise et décrit les entités composant ce cadre organisationnel.
Pourquoi faire ?
C’est toujours l’article 2 qui nous dit que ce qui est visé est :
- « l’élaboration de la stratégie nationale de la sécurité des systèmes d’information »
- « la coordination de sa mise en œuvre »
Comprendre par ça que le chantier principal des nouvelles entités créées sera justement l’élaboration de cette stratégie et sa mise en œuvre, ce qui est confirmé dans les missions assignées à ces entités dans la suite du Décret.
Quelles entités et sous quelle autorité ?
Le cadre organisationnel est constitué principalement des nouvelles entités suivantes :
- Un « conseil national de la sécurité des systèmes d’information » (CNSSI sur le schéma). Nous pouvons le voir comme assurant un rôle de niveau stratégique (décision et orientation) tel que le montre le chapitre 2 qui lui est consacré.
- Une « agence de la sécurité des systèmes d’information » (ASSI sur le schéma). Nous pouvons la voir comme assurant un rôle globalement de niveau tactique (pilotage et coordination) mais aussi de niveau opérationnel à certains égards, tel que le montre le chapitre 3 qui lui est consacré.
- Fait notable, cette agence dispose d’un « centre national opérationnel de sécurité des systèmes d’information » (CNOSSI sur le schéma). Il me semble que ce centre va jouer un rôle proche de celui d’un CERT national.
- Autre fait notable, c’est l’exigence pour toutes les entités publiques mais aussi privées « de désigner leur responsable en charge de la sécurité des systèmes d’information dans un délai, maximum, d’une (1) année ». (RSSI sur le schéma). Il faut remarquer qu’il est fait mention de « responsable » et non nécessairement de structure ou entité.
Ces responsables devront logiquement constituer le niveau opérationnel en appliquant à leurs niveaux la future stratégie nationale de SSI.
Je retiens aussi un élément intéressant, à savoir qu’il y aura instauration de « modalités d’accréditation des prestataires de service d’audit en matière de sécurité des systèmes d’information »
En termes d’autorité de tutelle, tout le dispositif est sous la tutelle du Ministère de la Défense Nationale. La lecture qu’on peut avoir ici est que la sécurité des systèmes d’information est considérée comme un sujet de Sécurité Nationale.
Quand ce dispositif sera mis en place ?
En prenant en considération les expériences passées (Certification électronique, e-commerce, protection des données à caractère personnel, …), il parait fort probable que si la mise en place du CNSSI et de l’agence pourraient se faire dans quelques semaines ou mois, l’élaboration de la stratégie nationale et de l’ensemble des textes d’applications prendront beaucoup plus de temps.
Espérant que les personnes qui seront choisies pour mettre en œuvre tout ceci aient réellement de solides expertise et expérience en la matière, autrement dit, des hommes et des femmes de terrain. Nous n’avons pas besoin de théoriciens qui ne maîtrisent que les mots !!
Merci beaucoup Si Rabah pour ces détails. Effectivement, la création d’une SSI n’est pas une fin en soi, elle ne vaut que par les résultats auxquels aboutira une traduction réelle des besoins de nos systèmes d’informations. Toutefois, et c’est mon avis personnel, il y a beaucoup d’organes chez nous qui traitent de la sécurité, chiffrement, cyberdéfense, cybersécurité,….
Il serait peut-être utile de concevoir cet aspect de sécurité des systèmes d’informations comme un tout et pas un comme on avait l’habitude de le faire, chacun confiné dans son coin et fait ce qu’il lui plait. Nous devons prendre également en considération l’interaction entre ces systèmes, définir des priorités, des niveaux d’approbation et surtout pouvoir assurer une intégration de l’existant. En somme, prendre le temps de bien réfléchir sur le modèle qui sied à nos systèmes d’informations. Ne pas partir rapidement sur l’acquisition de solutions qui pourrait devenir obsolètes avant leur déploiement.
En attendant les textes d’application devant régir la SSI, je souhaite que des spécialistes soient désignés à sa tête et des workshop soit réalisés pour cerner notre besoin et pour avoir une meilleure visibilité.
Enfin, j’aurai bien aimé que la SSI soit rattachée aux Services du Premier Ministère pour lui conférer toute la latitude dès lors que l’ensemble des pouvoirs publics est concerné.
Restons confiant
Tu soulèves des aspects très importants qui vont conditionner le succès ou l’échec de ce nouveau cadre.
Espérons que les personnes en charge de ce chantier gigantesque, qui sont sûrement bien conscients de tout ça, réussissent à le mener jusqu’au bout.
Espérons que ça ne sera pas une autre occasion perdue qui ne servira qu’à gaspiller nos ressources et à servir les intérêts d’individus en particulier … ceux qui commencent à se bousculer je présume pour se présenter que des experts intergalactiques du domaine !!
Il y a un aspect positif que vous n’avez pas jugé important de souligner mais qui reste, bien entendu comme vous l’avez bien mis en exergue, tributaire du choix des personnes qui seront à la charge.
Il s’agit d’un passage qui à mon sens est primordial : “Des mesures de promotion, de recherche et de développement de solutions nationales en matière de sécurité des systèmes d’information”.
Nous ne pouvons parler de stratégie nationale efficace si l’on continue à être dépendant des solutions dont nous ne maitrisons ,à juste titre, qu’une partie de leur administration.
En fait, ce post est uniquement une synthèse du nouveau schémas organisationnel de la SSI.
Les entités nouvellement créées (CNSSI et ASSI) vont s’atteler à l’élaboration de la stratégie nationale en la matière, en associant éventuellement d’autres entités existantes.
Et justement, des éléments de cette stratégie se trouvent déjà dans des missions assignées à ces entités, dont le passage que vous citez à juste titre.
Je dirais même que c’est un enjeu hautement stratégique de souveraineté.
Mais ceci doit se faire de manière réfléchie et justement avec une vision stratégique étalée sur le moyen et le long terme, bien différente des projets irréalistes et des annonces mensongères.
Un autre éléments cruciale qui sera un facteur d’échec garanti, c’est ignorer les aspects économiques. par exemple :
– produire un prototype c’est relativement facile
– industrialiser la production c’est moins facile
– assurer la maintenance et le support à grande échelle est beaucoup beaucoup plus problématique
– faire vivre le produit dans le temps avec les exigences initiales est un problème d’ordre économique
Voir les expériences d’autres pays est instructif.
Qu’n est-il des systèmes d’information industriels des infrastructures critiques,comme les complexes de production petrole-gas,centrales thermiques,de transport,…. ? qui sont gérées non par des informaticiens ,ce qui est normal,mais par des Automaticiens,est qui ont des risques,objectifs ,priorités et des contraintes complement différents des systèmes d’information dits d’entreprises comme les banques.
Je crois, du moins j’espère, que ces systèmes feront l’objet d’une attention particulière.
D’ailleurs, parmi les missions de la nouvelle agence ASSI c’est justement de “recenser les systèmes d’information et de soumettre, au conseil, pour approbation, leur classification”
Et évidemment le niveau de classification va impliquer un niveau de protection à assurer.
Thank you very much
Nice topic. Thank you.
nice blog
merci pour le partage
tres bien
Merci beaucoup pour cet article très complet.
J’aimerais m’enquérir de l’évolution de la situation au 2 décembre 2020.
Un Directeur de l’Agence de sécurité des Systèmes d’information a-t-il été nommé?
Qu’en est-il de la définition de la stratégie?
Merci!
Merci pour ce post