Sécurité numérique et protection de l'information

1Pourquoi le numérique est un risque de sécurité

Les organisations humanitaires détiennent des informations très sensibles : listes de bénéficiaires (parfois avec biométrie et localisation), témoignages de violations, données médicales, informations sur le personnel, analyses de sécurité, mouvements. Une fuite ou un piratage peut mettre des vies en danger, pas seulement des données.

Plusieurs cyberattaques connues ont visé des organisations humanitaires, y compris le vol de données de centaines de milliers de personnes vulnérables. Les organisations sont aussi visées par la fraude financière en ligne et par la surveillance des communications par des acteurs étatiques ou non étatiques.

Menaces principales :

• Hameçonnage (phishing) : faux courriels ou messages qui volent des identifiants ou installent des logiciels malveillants.
• Fraude au virement : faux fournisseur, faux directeur demandant un paiement urgent, changement frauduleux de coordonnées bancaires.
• Rançongiciel : chiffrement des données contre rançon.
• Vol ou saisie d'appareils (ordinateurs, téléphones) aux points de contrôle ou lors de braquages.
• Surveillance des communications et des réseaux sociaux.
• Erreurs internes : partage par erreur, fichier envoyé au mauvais destinataire, mot de passe affiché.

2Les mesures de base

Quelques mesures simples bloquent la grande majorité des attaques courantes :

• Authentification à plusieurs facteurs (MFA) sur la messagerie, le stockage en ligne, la banque et le logiciel comptable.
• Gestionnaire de mots de passe et mots de passe longs et uniques.
• Mises à jour automatiques des systèmes et des applications.
• Sauvegardes régulières, dont une copie hors ligne ou isolée, et tests de restauration (règle 3-2-1 : trois copies, deux supports différents, une copie hors site).
• Chiffrement des disques des ordinateurs portables et des téléphones.
• Gestion des accès : chacun n'accède qu'à ce dont il a besoin ; retrait des accès le jour du départ d'un employé.
• Formation régulière, avec des exercices d'hameçonnage simulés.

Exemple d'exercice. Un faux courriel d'hameçonnage est envoyé à 120 employés : 38 cliquent sur le lien (31,7 %), 14 saisissent leurs identifiants (11,7 %), 9 signalent le courriel au service informatique (7,5 %). Après une formation ciblée, un second exercice donne 12 clics (10 %), 3 saisies (2,5 %) et 41 signalements (34,2 %). La hausse des signalements est aussi importante que la baisse des clics : elle transforme le personnel en système d'alerte.

3Fraude au virement et procédures financières

La fraude au président et la fraude aux coordonnées bancaires coûtent chaque année des sommes importantes aux organisations, y compris humanitaires. Les procédures financières sont la meilleure défense :

• Toute modification de coordonnées bancaires d'un fournisseur ou d'un employé est vérifiée par un appel à un numéro déjà connu, jamais à celui indiqué dans la demande.
• Aucun paiement urgent hors procédure, même à la demande apparente d'un directeur : la double validation reste obligatoire.
• Les accès à la banque en ligne utilisent des appareils et des comptes dédiés, avec double signature électronique.
• Le personnel sait qu'il sera soutenu s'il refuse un paiement suspect, même demandé par un supérieur.

L'urgence et la confidentialité sont les deux leviers favoris des fraudeurs : « Je suis en réunion, fais ce virement tout de suite et n'en parle à personne. »

4Appareils, points de contrôle et surveillance

Sur le terrain, les risques numériques sont aussi physiques :

• Aux points de contrôle, les téléphones peuvent être fouillés. Un téléphone qui contient des photos de positions militaires, des messages critiques envers une partie ou des listes de bénéficiaires peut entraîner une détention. Règle : ne transporter que le nécessaire, supprimer les données sensibles des appareils de terrain, utiliser des appareils dédiés au travail.
• Les réseaux sociaux du personnel révèlent des informations exploitables : localisation en temps réel, opinions politiques, photos de collègues, signes de richesse. Une politique sur l'usage des réseaux sociaux, expliquée et non punitive, réduit ces risques.
• Les messageries chiffrées de bout en bout protègent le contenu, mais pas le fait que l'on communique, ni le téléphone lui-même s'il est saisi déverrouillé.
• L'usage de certains outils (satellites, VPN, drones) peut être interdit ou suspect : vérifier la législation et l'acceptation.

5Protéger les données des personnes

La protection des données des bénéficiaires et du personnel repose sur des principes reconnus (notamment le manuel du CICR et du Brussels Privacy Hub sur la protection des données dans l'action humanitaire) :

• Licéité et finalité : base légitime et finalité précise pour chaque collecte.
• Minimisation : ne collecter que ce qui est nécessaire.
• Consentement éclairé lorsque c'est la base retenue, en tenant compte des rapports de pouvoir (un ménage qui a besoin d'aide n'est pas libre de refuser).
• Sécurité : chiffrement, accès limités, journalisation.
• Conservation limitée et suppression à la fin de la finalité.
• Partage encadré par des accords de partage de données, avec une analyse des risques (y compris des demandes d'autorités ou de parties au conflit).
• Analyse d'impact avant tout nouveau système (biométrie, paiement mobile, plateforme partagée).

Exemple de minimisation. Pour une distribution de kits, il faut identifier le ménage et vérifier qu'il n'a pas déjà reçu le kit. L'appartenance ethnique ou religieuse n'est pas nécessaire et ne doit pas être collectée ; la photo et l'empreinte digitale ne le sont généralement pas non plus.

6Réagir à un incident numérique

Un incident numérique (compte piraté, ordinateur volé, rançongiciel, fichier envoyé par erreur) se traite comme un incident de sécurité :

• Contenir : changer les mots de passe, révoquer les sessions, isoler l'appareil infecté, effacer à distance un appareil volé.
• Évaluer : quelles données, quelles personnes, quel risque pour elles ?
• Informer : direction, responsable de la protection des données, personnes concernées si elles sont exposées à un risque, autorités de contrôle selon le droit applicable, bailleurs selon les contrats.
• Restaurer à partir des sauvegardes ; ne pas payer une rançon sans décision de la direction et analyse juridique.
• Apprendre : analyse, corrections, formation.

Exemple. Un ordinateur portable non chiffré contenant la liste de 3 200 ménages avec leurs numéros de téléphone et leur localisation est volé lors d'un braquage. Le risque pour les personnes dépend du contexte : si certains ménages appartiennent à un groupe ciblé, il est élevé. Actions : évaluation immédiate, information des communautés concernées par des canaux sûrs si elles sont exposées, changement des modalités de contact, chiffrement obligatoire de tous les ordinateurs portables.