Un rapport d’audit du gouvernement flamand montre que les administrations communales ont encore du travail en matière de cybersécurité. Six sur dix n’ont par exemple pas de plan de continuité.
Audit Vlaanderen, l’agence d’audit du gouvernement flamand, a testé la cybersécurité d’environ septante communes flamandes entre 2023 et 2025. Durant cette période, 77 administrations locales et douze intercommunales ont fait réaliser un audit de sécurité ICT avec cofinancement. L’audit de base comprenait des tests d’intrusion internes et externes, un contrôle des mots de passe faibles et un examen du plan de continuité des activités.
Aucune commune n’obtient un rapport parfait. Lors des tests internes sur 15.725 systèmes, 1.583 vulnérabilités ont été mises au jour, dont 332 à risque élevé. Cela représente en moyenne 4,7 vulnérabilités à risque élevé par administration locale.
Vulnérabilités et mots de passe faibles
Les tests externes sur 154 systèmes accessibles via internet ont révélé 316 vulnérabilités, dont 21 à risque élevé. Parmi les douze intercommunales non plus, aucune n’est sortie indemne. Les administrations qui ont fait réaliser un nouveau test après des ajustements ont vu les vulnérabilités diminuer de manière significative.
Lors du contrôle des mots de passe faibles, aucune administration n’a de nouveau été irréprochable. En moyenne, 30 pour cent des mots de passe étaient faibles, avec un pic à 81 pour cent. Pour les comptes administrateurs, la moyenne était de dix-huit pour cent (maximum 64 pour cent), et dans 29 des 83 audits, aucun mot de passe d’administrateur faible n’a été trouvé. Le rapport cite l’authentification multifacteur, la limitation des tentatives de connexion et la surveillance des comportements de connexion suspects comme mesures qui réduisent le risque d’utilisation abusive des comptes.
Une attaque de phishing réussie comme porte d’entrée est l’un des risques décrits par le rapport. Les exemples sont très récents. En septembre, la commune de Machelen, qui n’a pas participé à l’étude, a été touchée par une cyberattaque qui serait passée par du phishing. Lors de cette attaque, des hackers se sont emparés de données personnelles.
Pas de plan de continuité
La cybersécurité commence par la prévention, mais il faut aussi un plan prêt pour le cas où les choses tournent mal. C’est également là que le bât blesse chez de nombreuses administrations locales. Dans 59 pour cent des administrations locales et 67 pour cent des intercommunales, il n’existe pas de véritable plan de continuité ICT, qui prévoit aussi le redémarrage du réseau et des applications.
Par ailleurs, des mesures de gestion utiles sont insuffisamment exploitées : la mise à jour des systèmes IT, la limitation de l’accès aux interfaces d’administration et la sécurité du réseau, par exemple via la segmentation du réseau.
Selon le rapport, sans un tel plan, une administration ne peut plus garantir la continuité après un incident et la restauration des informations n’est pas assurée. Après la cyberattaque de fin 2022, la ville d’Anvers a calculé qu’elle pouvait lui coûter jusqu’à 70 millions d’euros. Les administrations locales peuvent tirer de nombreuses leçons de cette cyberattaque, surtout sur ce qu’il ne faut pas faire.
Un progrès prudent
Même s’il reste du travail, le gouvernement flamand constate tout de même une amélioration prudente. Dans une réaction à De Tijd, la Vereniging van Vlaamse Steden en Gemeenten (VVSG) affirme que les administrations locales rattrapent leur retard. Le rapport illustre aussi que les communes qui se sont fait auditer ont généralement progressé au fil du processus.
Reste à savoir si ce rattrapage se fait au même rythme que celui auquel les attaquants continuent d’améliorer leurs méthodes. Le secteur public reste une cible prisée des cybercriminels. La législation NIS2 doit contribuer au tournant. La question de savoir si la législation a entraîné une amélioration réelle après deux ans a fait l’objet d’une discussion lors d’une récente table ronde organisée par ITdaily avec des experts du secteur belge de la sécurité.