A la tête du Département des infrastructures et des ressources humaines (DIRH), Nuria Gorrite dirige également le numérique et les systèmes d’information. La conseillère d’Etat vaudoise souligne la nécessité d’aider les communes après la retentissante cyberattaque contre Rolle, sans leur enlever pour autant leur autonomie. L’Etat dévoilera à la fin de l’année sa politique de la donnée.

Nuria Gorrite, avez-vous été surprise ou choquée en apprenant ce qui s’est passé à Rolle?

Surprise non, parce que l’on sait à l’Etat de Vaud que les cyberattaques augmentent. On a enregistré un doublement de cas de rançongiciels au cours de ces 10 à 15 dernières années. En revanche, c’est toujours choquant parce que les données concernent souvent des questions intimes. Ce qui frappe aussi: avant il y avait «juste» la demande de rançon. Ce qui apparaît avec le cas de Rolle, c’est qu’en plus, les données sont téléchargées sur le darkweb où elles sont vendues. Il y a un double profit.

Avec Rolle, la naïveté, c’est fini?

A l’Etat de Vaud, c’est fini depuis 2013 en tout cas. Quand je suis entrée en fonction, j’ai été frappée de voir la dépendance forte envers l’informatique. D’autre part, nous avons une exigence et une volonté de renforcer la cyberadministration. Or, de quoi s’agit-il? Cela consiste précisément à ouvrir ces systèmes à l’extérieur et, donc, nous ne pouvons pas le faire sans renforcer la cybersécurité. Parce que l’Etat détient des données précieuses et critiques du citoyen. Jusqu’à présent, les communes n’étaient pas dans la cible des risques identifiés. Elles le sont aujourd’hui.

Vous disiez en 2019: «Nous sommes forts ensemble», à propos de la cybersécurité. Faut-il convoquer des Assises de la cybersécurité après Rolle?

Des assises, c’est un grand mot. Par contre, avec ma collègue Christelle Luisier chargée des communes et moi de l’informatique, nous avons discuté. Nous allons nous adresser aux communes. Entre rien faire et tout faire, il y a un mode intermédiaire à trouver. Mais vraisemblablement, il faut inviter les communes à se saisir elles-mêmes de cette problématique. Pour toute la dimension de la prévention des cyber-risques, la formation, les choix technologiques, nous pouvons faire du conseil. Aussi dans l’intervention d’urgence, nous pouvons apporter un soutien.

Le canton pourrait-il faire davantage?

Prendre complètement la main, comme nous le demandent des députés, c’est très problématique sous l’angle de la souveraineté communale. Il faut que les communes fassent leurs réflexions sur les données que les citoyens leur confient. Je vois quatre problématiques si l’on devait prendre la main.

Le canton aurait, premièrement, accès à l’ensemble des informations. Ensuite, cela signifierait que l’Etat devrait s’occuper du personnel pour gérer ces données. Troisièmement, cela veut dire qu’il déciderait des choix technologiques. Enfin, le canton prendrait la main sur leur budget, il déciderait quelle est la part du ménage communal que l’on affecte à la sécurité informatique.

Donc impossible?

C’est non seulement impossible, mais surtout contraire à l’ordre institutionnel du partage des pouvoirs.

Un de vos collaborateurs a téléphoné à un journaliste pour avoir des informations, est-ce que cela signifie que l’Etat de Vaud est dépassé?

Non, nous ne sommes pas dépassés, nous sommes confrontés à des criminalités nouvelles. Vaud a été le premier canton de Suisse à se doter d’un SOC (centre opérationnel), nous sommes plutôt à la pointe. Notre responsabilité a aussi été de vérifier qu’au travers de l’infiltration à Rolle, il n’y avait pas la possibilité pour les hackers d’infiltrer les serveurs de l’Etat. Cela a représenté un immense travail.

Est-ce que la publicité donnée à l’activité de ces criminels vous dérange?

Cela donne corps à cette réalité. Jusqu’à maintenant, cette menace était toujours diffuse et pas incarnée. On a tendu des micros à ces criminels et le crime est incarné, il est palpable, il est réel. Cela peut créer une onde de choc et faire mieux comprendre la menace.

Est-ce que vous craignez une explosion des coûts de la sécurité numérique pour les collectivités?

Il faudra analyser le rapport coût efficacité des mesures que l’on prend. On va vers des budgets plus importants sur ces questions. La finalité, c’est la confiance numérique. Vous êtes libre d’aller sur un site d’e-commerce, vous n’êtes pas libre de confier vos données fiscales à l’Etat. L’Etat a une responsabilité particulière. Les citoyens sont captifs.

Est-ce que vous imaginez un retour en arrière, voire de limiter la transmission de certaines données?

Oui, j’ai la conviction que ce sera même nécessaire un jour. Nous avons vécu ces dernières années dans un mode tout à la technologie. Outre la question des risques, nous avons mis sur pied une stratégie numérique qui tient compte du Plan climat et des ressources naturelles limitées. Nous parlons de sobriété numérique. L’Etat de Vaud dévoilera à la fin de l’année sa politique de la donnée.

Raphaël Besson

Après la cyberattaque de Rolle, le Canton veut aider les communes

Après la cyberattaque de Rolle, le canton de Vaud réfléchit à aider les communes tout en respectant leur souveraineté.