CNSS Leaks : le tissu économique s’adapte à marche forcée

Après l’affaire des fuites massives de données, les lignes bougent tant du côté des insitutionnels que des opérateurs économiques. Alors que le secteur des assurances s’apprête à introduire de nouvelles couvertures contre les risques cyber, les entreprises, confrontées à l’urgence, déploient déjà de nouveaux dispositifs pour renforcer leur résilience numérique.

La cyberattaque qui a frappé la CNSS le 8 avril 2025 a mis à nu l’extrême vulnérabilité des institutions publiques. En exposant les données sensibles de millions de citoyens, l’incident a précipité une prise de conscience nationale autour des enjeux de cybersécurité et marque un point de non-retour quant à l’urgence de renforcer la cybersécurité dans les sphères publics et privés.

Face à cette brèche, la CNSS a lancé un appel d’offres pour l’acquisition d’une solution de prévention des fuites de données (Data Loss Prevention – DLP), estimé à 2,6 millions de dirhams, avec un coût annuel de maintenance avoisinant les 2 millions de dirhams.

Parallèlement, l’Office des changes a initié un concours pour le recrutement de 18 postes, incluant des cadres spécialisés en sécurité des systèmes d’information et en audit. Le ministère des Affaires étrangères, quant à lui, a attribué un marché de 4,6 millions de dirhams à la société Dataprotect pour la mise en place d’une solution antivirus, malgré les critiques concernant son rôle dans la sécurité de la CNSS.

Vers une culture de la cybersécurité
Ces initiatives témoignent d’un changement de paradigme au sein des institutions publiques marocaines, qui reconnaissent désormais l’importance cruciale de la cybersécurité. La Direction générale de la sécurité des systèmes d’information (DGSSI) a renforcé son rôle en tant qu’autorité de tutelle, supervisant les audits et les mesures correctives mises en place.

«C’est un mal pour un bien. Cela a poussé toutes les instances à réévaluer la sécurité informatique», confie Badr Bellaj, expert en blockchain.

«Il n’y a pas que l’investissement qui compte, mais plutôt la mise en place de la stratégie 2030 de cybersécurité, mise au point par la DGSSI», ajoute-t-il.

En réponse à la montée des cybermenaces, le secteur de l’assurance au Maroc amorce l’intégration d’offres spécifiques pour couvrir les risques numériques. Le 16 avril 2025, à l’occasion de la 11e édition du Rendez-vous de Casablanca de l’Assurance, la ministre de l’Économie et des Finances, Nadia Fettah, a annoncé que le Maroc travaille activement au développement d’une couverture dédiée aux cyber-risques.

Cette initiative vise à bâtir un environnement de confiance, où la donnée, désormais considérée comme un actif stratégique, ne doit plus constituer une vulnérabilité. Une orientation d’autant plus nécessaire que le contexte international se veut tendu.

En effet, les attaques par ransomware ont atteint un niveau record, avec 4.496 organisations touchées selon les données officiels publiés sur des revues spécialisées au titre de l’exercice 2023, soit une augmentation de 68% par rapport à 2022.

Une mobilisation croissante des entreprises
Si les mesures prises par les institutions publiques et l’émergence de solutions d’assurance spécialisées indiquent une volonté de transformer cette crise en opportunité pour renforcer la résilience numérique du pays, une tendance similaire est observée auprès des entreprises.

Selon l’Ausimètre 2024, 78% des entreprises marocaines consacrent jusqu’à 25% de leurs investissements technologiques à la cybersécurité, et 52% prévoient d’augmenter leur budget cyber jusqu’à 14%. Par ailleurs, 32% des entreprises ont subi des pertes financières dépassant 500.000 dirhams en raison de fuites de données, et 6% ont enregistré des pertes supérieures à 10 millions de dirhams. Une ventilation plus fine montre que les dépenses prioritaires se concentrent sur le renforcement des infrastructures, l’audit des systèmes d’information et l’acquisition de solutions de détection et de réponse aux incidents.

Dans ce climat de vigilance accrue, les entreprises du secteur privé adaptent leurs stratégies à marche forcée. Ahmed Boumbarek, Global Head of Value Advisory chez Finshape, observe une évolution profonde de la perception du risque.

«L’incident récent touchant la CNSS vient cruellement rappeler une réalité que nous, professionnels du secteur financier, connaissons bien : aucune organisation n’est à l’abri d’une faille de sécurité», souligne-t-il.

Selon lui, «l’affaire CNSS doit servir d’électrochoc pour l’ensemble de notre écosystème», appelant à élargir le périmètre de la sécurité au-delà des frontières internes pour intégrer l’ensemble des prestataires et partenaires.

Pour accompagner cette mutation, les pratiques évoluent vers des mécanismes de détection proactive, capables d’identifier des comportements suspects avant même qu’une attaque ne se matérialise. Les audits de sécurité tendent désormais à inclure l’ensemble de l’écosystème numérique, avec un recours accru aux solutions de cryptographie avancée et de tokenisation.

«Nous constatons que les attaques les plus sophistiquées exploitent l’interface entre systèmes informatiques et processus humains. Le respect des standards de sécurité applicative, comme ceux établis par l’OWASP, une organisation de référence en matière de cybersécurité, ne suffit plus. Il faut instaurer une véritable culture de la vigilance», souligne Ahmed Boumbarek, spécialiste des enjeux de cybersécurité.

Cette exigence d’anticipation s’impose également dans l’univers technologique.

Nawfal Saoud, expert en infrastructures numériques, observe un déplacement structurel des budgets : «Depuis les récentes cyberattaques sur le Royaume, plusieurs organisations nous sollicitent pour renforcer la résilience de leurs infrastructures, auditer leurs configurations et protéger les données les plus sensibles via des solutions de type vault».

Selon lui, l’essor de la digitalisation, en élargissant la surface d’attaque, impose une vigilance constante.

«Nous assistons à un changement de paradigme. La cybersécurité n’est plus un centre de coûts, mais un investissement stratégique pour assurer la pérennité des activités», ajoute-t-il.

La dynamique est d’autant plus marquée que les entreprises s’orientent vers des modèles de cyberrésilience intégrée, combinant audit régulier, services d’intervention et programmes de sensibilisation destinés aux collaborateurs.

Cette approche systémique s’impose comme un passage obligé pour réduire les risques liés aux erreurs humaines, désormais identifiées comme l’une des premières portes d’entrée des attaques. Derrière cette prise de conscience, c’est une recomposition silencieuse du tissu économique qui s’opère, où la cybersécurité s’impose comme un enjeu de compétitivité.

Ahmed Boumbarek
Global Head of Value Advisory, Strategic Alliances, Business Development French Speaking Africa chez Finshape

«L’incident de la CNSS rappelle brutalement que la menace n’épargne plus aucune organisation; elle exploite aussi bien les vulnérabilités techniques que les faiblesses organisationnelles, y compris au niveau des prestataires externes. C’est désormais toute la chaîne qu’il faut protéger.»

Nawfal Saoud
General Manager Morocco & West Africa chez Dell Technologies

«Au-delà des technologies, c’est une nouvelle approche de la cybersécurité qu’il faut ancrer dans les organisations, auditer en continu, sensibiliser les utilisateurs, prévoir des mécanismes de récupération rapide et bâtir une véritable résilience face aux attaques de demain».

Ayoub Ibnoulfassih / Les Inspirations ÉCO