Plus d’une collectivité locale sur deux non préparée au risque cyber

À l’occasion du 105ème Congrès des maires et présidents d’intercommunalité de France, cybermalveillance.gouv.fr publie sa deuxième étude sur la maturité des collectivités en matière de cybersécurité. 

Alors qu’elles sont régulièrement confrontées aux risques cyber et particulièrement ciblées, le dispositif national d’assistance aux victimes de cybermalveillance a mener une enquête pour mieux connaître le niveau de sensibilité des collectivités aux enjeux cyber, leur niveau d’équipement, de protection, mais aussi mieux cerner leurs moyens, leurs freins et leurs attentes en la matière afin de les aider à mieux se protéger. L’étude a été menée par OpinionWay du 1 au Septembre au 15 Octobre en ligne (CAWI) auprès d’un échantillon de 1178 élus (24%) et agents (76%) de collectivités de moins de 25 000 habitants en France et Départements et Régions d ’Outre-Mer. “Communes attaquées – République menacée est un thème plus que jamais d’actualité pour cette 105ème édition qui fait écho à une réalité que vivent toutes les collectivités qui sont la cible d’attaques, précise Jérôme Notin, directeur général de cybermalveillance.gouv.fr.  Si elles sont de plus en plus sensibilisées et conscientes des enjeux, et qu’elles savent parfois qu’elles ne sont pas prêtes à faire face à une attaque, elles sont encore trop peu nombreuses à augmenter leur budget pour se protéger. Pourtant des solutions existent : avec une sensibilisation régulière et des dispositifs de sécurisation adaptés, les collectivités peuvent affronter cet enjeu sociétal. Cybermalveillance.gouv.fr a réalisé cette étude pour mieux les connaître, cerner leurs attentes et les accompagner au quotidien pour les informer, leur permettre de se sécuriser et les assister face au risque cyber.”

Des collectivités conscientes des risques

• Près d’une collectivité sur deux (42%) s’estime exposée aux menaces, particulièrement celles de plus de 10 000 habitants. Néanmoins, 20 % des communes ne sont pas en mesure d’estimer leur exposition aux risques.
• Un constat d’autant plus inquiétant que les conséquences des attaques sont pourtant loin d’être anodines et peuvent conduire élus, agents et administrés à des conséquences lourdes. Ainsi, 40 % des collectivités victimes témoignent d’une interruption de service ou d’activité, 20 % de perte de destruction de données ou de perte financière.
• En parallèle, les collectivités semblent être plus sensibilisées à la cyber et ses enjeux. En effet si, en 2021, seul un tiers des collectivités déclarait avoir été sensibilisé au sujet cyber, 78 % indiquent l’avoir été au moins une fois au cours des douze derniers mois, et une sur 3 de façon régulière.
• A noter que 94 % indiquent être aujourd’hui équipées en moyenne de trois dispositifs de sécurité, avec un trio de tête sauvegardes- antivirus- pare-feu, des chiffres qui témoignent sans doute des effets vertueux d’une sensibilisation.
• Mais, si les collectivités déclarent être plus sensibilisées et dotées de solutions de sécurité, 18 % d’entre elles ne savent pas évaluer leur niveau de protection.

Des collectivités aux moyens limités

• Malgré ces perceptions plutôt favorables, les moyens des collectivités restent limités.
• Si 65 % des collectivités allouent moins de 5 000€ à leur budget informatique, 75 % des élus et agents indiquent dépenser moins de 2 000€ pour la cybersécurité.
• Malgré leur conscience des enjeux, seules 12 % d’entre elles prévoient une évolution des budgets cyber à la hausse. Un chiffre qui augmente notamment pour les communes ayant subi une attaque (23%).
• Ces choix budgétaires ne sont pas sans conséquence. Ils permettent d’expliquer d’autant plus facilement la façon dont les élus et les agents s’adaptent face à ces arbitrages.
  • D’une part en termes de comportement, avec une forte porosité des usages « pro-perso » : ainsi 62 % des collectivités affirment avoir recours à des équipements personnels dans un cadre strictement professionnel.
  • D’autre part en termes de perception : 53 % des communes se disent non préparées face à une attaque.

Des collectivités avec des besoins prioritaires sur les volets techniques et humains

• 92 % des collectivités en citent au moins un frein qui les empêche d’acquérir un bon niveau de sécurité

• Le manque de connaissances en cyber (45%), l’absence de ressources dédiées (38%), de temps et de budget (34%) étant les principaux freins évoqués.
• En termes d’attentes, c’est la sensibilisation qui fait consensus, tant auprès des agents que des élus à 64 %. Viennent ensuite les outils et les solutions, plébiscités à 55 %, ainsi que la demande diagnostic et de conseils à 51 %.