L’état alarmant de la cybersécurité gouvernementale européenne

Lancement de SecurityBaseline.eu

Grande nouvelle pour la transparence et la sécurité numérique en Europe avec le lancement officiel du site SecurityBaseline.eu. Cette nouvelle plateforme est une émanation du projet néerlandais Basisbeveiliging, qui évalue la sécurité informatique de base depuis plus de dix ans et fait d’ailleurs partie intégrante de la politique gouvernementale aux Pays-Bas.

Il y a trois mois, les équipes de l’Internet Cleanup Foundation ont envoyé des dizaines de milliers d’e-mails aux gouvernements européens pour les prévenir de cette démarche. Ce délai leur a été accordé afin qu’ils puissent examiner leurs résultats et corriger leurs failles avant que ces données ne soient rendues publiques. Aujourd’hui, tout est en ligne et le constat est particulièrement préoccupant.

L’analyse met en évidence trois défaillances principales au sein de nos infrastructures numériques publiques. Premièrement, environ trois mille sites gouvernementaux utilisent de manière illégale des cookies de traçage. On retrouve sur ces plateformes des mouchards publicitaires appartenant principalement à YouTube, Google Ads, Facebook et TikTok.

Deuxièmement, plus d’un millier d’interfaces de gestion de bases de données, notamment des panneaux phpMyAdmin, sont laissées totalement accessibles sur internet, offrant ainsi une porte d’entrée potentielle aux cyberattaquants. Enfin, statistique la plus accablante, la confidentialité des communications. On constate que 99% des courriels gouvernementaux européens sont mal chiffrés. Si les Pays-Bas et le Danemark font figure d’exceptions avec respectivement 58% et 44% de messages sécurisés correctement, l’immense majorité des autres pays stagne à des niveaux alarmants se situant souvent entre 0 et 2%.

Afin de rendre cet énorme volume de données compréhensible par tous, SecurityBaseline.eu s’appuie sur le logiciel Web Security Map pour générer plus d’un millier de cartes mises à jour quotidiennement. Elles couvrent trente-deux pays, incluant l’Union Européenne en tant qu’entité, mais aussi la Suisse, la Norvège, l’Islande et le Liechtenstein. Le dispositif évalue près de deux cent mille domaines internet répartis sur soixante-sept mille instances gouvernementales locales.

Pour faciliter la lecture, les concepteurs ont opté pour le code couleur des feux de circulation. Le rouge signale une faille de sécurité avérée, l’orange indique un problème en attente de résolution et le vert atteste de l’absence totale de vulnérabilités. Il suffit d’une seule faille sur les vingt-et-un critères d’évaluation pour basculer dans le rouge ou l’orange, ce qui rend l’obtention de la couleur verte particulièrement difficile et exigeante.

L’observation de ces cartes révèle des disparités intéressantes et parfois trompeuses entre les différentes nations. Au Danemark, par exemple, la majorité des municipalités apparaissent en orange, ce qui traduit la mise en place active d’une politique d’amélioration. En Italie, de très nombreuses communes affichent la couleur verte, mais ce bon résultat est en réalité dû à une astuce d’architecture web. Les sites municipaux italiens utilisent souvent des sous-domaines, ce qui déplace d’un point de vue technique les responsabilités de sécurité vers des échelons supérieurs et réduit le nombre de failles mesurables à l’échelle locale.

Du côté des équipes européennes de réponse aux incidents informatiques, le constat est sévère puisque la carte est entièrement rouge. Cela s’explique par la méthode stricte de la fondation qui rattache le site principal de chaque pays à ces équipes, garantissant ainsi un pied d’égalité dans l’évaluation.

En publiant ces informations de manière transparente, l’Internet Cleanup Foundation poursuit sa mission d’assainissement du web. L’organisation, qui surveille déjà plus de quatre-vingt mille organisations et un demi-million d’adresses, invite les gouvernements à se saisir de ces données pour mieux protéger leurs citoyens. Elle rappelle enfin que la sécurité, la souveraineté, l’accessibilité et la confidentialité sont des fondations démocratiques essentielles. Chaque citoyen et chaque institution peut désormais se rendre sur SecurityBaseline.eu pour explorer ces données et exiger les standards de sécurité que nous méritons tous.