Cybersecurité : on bricole faute de mieux

Une récente étude du Boston consulting group révèle que les fonctions critiques en cybersécurité sont souvent assurées par des profils généralistes, formés sur le tas ou dépendants de solutions tierces, avec les limites que cela implique en matière d’anticipation, de réponse, voire de gouvernance.

Nul ne peut nier qu’il est de plus en plus difficile de s’affranchir du risque cyber. Depuis avril, les incidents se succèdent et fragilisent un peu plus chaque semaine la confiance dans les dispositifs de sécurité publique. D’abord la CNSS, puis la plateforme notariale Tawtik, les allégations portées à l’encontre du ministère de la Justice, et tout récemment, la fuite de données liées à la Fédération royale marocaine de football, publiées sur un forum clandestin.

Dans le sillage de cette vulnérabilité croissante, une autre faille se révèle tout aussi décisive, celle du capital humain. À mesure que l’appareil d’État et les grands groupes accélèrent leur digitalisation, la pénurie de profils qualifiés devient un facteur de fragilité systémique. Moins de 11% des diplômés du supérieur au Maroc reçoivent une formation numérique en bonne et due forme.

Et sur ce segment, les modules spécialisés en cybersécurité demeurent l’exception. Les fonctions critiques sont alors souvent assurées par des profils généralistes, formés sur le tas ou dépendants de solutions tierces, avec les limites que cela implique en matière d’anticipation, de réponse, voire de gouvernance. Tels sont, en tout cas, les principaux enseignements du rapport publié par le Boston consulting group en partenariat avec le Global cybersecurity forum.

Retard structurel
Le rapport publié par BCG et le Global cybersecurity forum dresse un constat préoccupant. Sur un continent où la numérisation est galopante, moins de 300.000 professionnels sont aujourd’hui mobilisés pour sécuriser un écosystème exposé en permanence. À l’échelle locale, cette tension se traduit par une sur-sollicitation des prestataires labellisés PASSI, une rareté des compétences de niveau intermédiaire, et un turnover qui fragilise les dispositifs de sécurité les plus sensibles.

Le retard n’est pour ainsi dire pas technique, mais structurel. Les auteurs de l’étude mettent en lumière un autre paradoxe. Le Maroc affiche une ambition claire de devenir un hub numérique régional, portée par la stratégie Digital Morocco 2030 et appuyée par les pouvoirs publics. Mais cette trajectoire se heurte à un déficit structurel de compétences.

À l’échelle du continent, 68.000 postes en cybersécurité restent vacants selon le BCG. Le Royaume, malgré son avance relative, reste concerné. Les récentes intrusions rappellent que les vulnérabilités ne sont pas uniquement techniques. Elles relèvent aussi d’un manque d’organisation, de lacunes persistantes en matière de formation, et d’une culture de la sécurité encore peu ancrée dans les usages. Ce déséquilibre entre ambitions stratégiques et capacités opérationnelles laisse le champ libre à des menaces toujours plus sophistiquées.

Certes, le coût mondial des cyberattaques dépasse désormais 2.200 milliards de dollars. Mais le coût d’exécution, lui, s’effondre du fait principalement de la démocratisation de l’intelligence artificielle qui permet d’automatiser des attaques, et d’accroître les vulnérabilités à grande échelle. Cela dit, le facteur humain demeure, de loin, le point d’entrée le plus exploité — et le plus négligé. Près de 77% des brèches ne sont pas provoquées par des logiciels malveillants, mais bien par des erreurs humaines ou des failles de procédure.

Réponses dispersées
Certes, des initiatives émergent. Le programme PASSI, piloté par la DGSSI, cherche à structurer un vivier de prestataires de confiance. Des bootcamps privés se multiplient, certaines écoles d’ingénieurs intègrent des modules spécialisés dans leurs cursus. Mais ces efforts, bien que prometteurs, peinent à dépasser le stade expérimental. Aucun ne s’inscrit encore dans une stratégie nationale pleinement articulée autour du développement des talents.

En clair, l’écosystème reste morcelé, sans référentiel commun ni articulation claire entre administrations, entreprises et monde académique. Les actions de sensibilisation, quant à elles, ciblent rarement les segments les plus vulnérables. Les campagnes institutionnelles peinent à atteindre les administrations territoriales, les PME ou les établissements scolaires, pourtant en première ligne. Faute d’une approche systémique, la culture de la vigilance demeure circonscrite à quelques cercles informés, concentrés, pour l’essentiel, à Casablanca et Rabat.

Batterie de leviers
Le rapport de BCG, élaboré avec le Global cybersecurity forum, identifie cinq leviers d’action pour répondre à la pénurie. D’abord, privilégier les compétences réelles plutôt que les diplômes. Ensuite, bâtir des écosystèmes d’apprentissage continu, à même d’évoluer avec le progrès technologique. Sans oublier de favoriser l’inclusion, dans un secteur où les femmes représentent à peine 14% des effectifs en Afrique, soit le taux le plus faible au monde. Il s’y ajoute la nécessité de faire un usage responsable de l’intelligence artificielle, en automatisant les tâches à faible valeur pour mieux recentrer les experts sur les fonctions critiques.

Enfin, renforcer la coopération régionale. Le protocole de Malabo, adopté en ce sens par l’Union africaine, trace un cadre juridique commun. Encore faut-il en assurer la mise en œuvre effective. Les experts du rapport soulignent également que la cybersécurité relève désormais de la souveraineté nationale. Un pays qui ne peut garantir la protection de ses infrastructures critiques — données sociales, cadastres, services en ligne, systèmes de paiement — expose sa stabilité à des perturbations profondes.

Ce constat invite à un basculement stratégique. Car la menace s’installe désormais dans la durée et exige des réponses de fond. Face à cela, la pénurie de talents n’est pas une fatalité. Comme le rappelle le BCG, elle peut devenir un avantage compétitif si elle est traitée comme un levier prioritaire. Le Maroc dispose des fondations pour opérer ce basculement, à condition d’aligner ses ambitions numériques avec une vision assumée de sa souveraineté technologique.

Ayoub Ibnoulfassih / Les Inspirations ÉCO