Point séance

Séance du Grand Conseil du mardi 13 décembre 2022, point 3.18 de l'ordre du jour

Texte déposé

En 2021, différentes communes et organisations publiques ont subies des attaques informatiques qui ont fait grand bruit d'ailleurs. Les services informatiques de l'Etat de Vaud on soutenu ces différents organismes. Aujourd'hui, il semble toutefois que les Communes se trouvent démunies face à d'éventuelles mesures de protections qu'elles pourraient prendre.

Je me permets donc de poser la question orale suivante:

L'administration cantonale soutient-elle encore les communes et autres organismes dans la prévention d'éventuelles attaques informatiques? 

Transcriptions

Département de la culture, des infrastructures et des ressources humaines

Question orale Sébastien Pedroli – Piratage informatique : quel soutien pour l’administration ? (22_HQU_132)

En 2021, différentes communes et organisations publiques ont subi des attaques informatiques qui ont fait grand bruit d’ailleurs. Les services informatiques de l’Etat de Vaud ont soutenu ces différents organismes. Aujourd’hui, il semble toutefois que les communes se trouvent démunies face à d’éventuelles mesures de protection qu’elles pourraient prendre.

Je me permets donc de poser la question orale suivante :

L’administration cantonale soutient-elle encore les communes et autres organismes dans la prévention d’éventuelles attaques informatiques ?

En introduction, il est nécessaire de rappeler que la prévention des attaques informatiques repose sur deux axes complémentaires, soit les mesures techniques et les mesures organisationnelles.

La prévention technique repose sur le fait que l’informatique est correctement exploitée et maintenue à jour. Je rappelle que les communes et autres organismes paraétatiques sont souverains pour leur informatique et sont dès lors responsables de faire évoluer leur cybersécurité. L’Etat ne saurait s’y substituer, aussi les communes et autres organismes doivent assurer ce que l’on appelle leur cyberhygiène et adapter leurs systèmes d’information en continu pour faire face à l’évolution des cyberattaques.

La prévention organisationnelle s’appuie quant à elle sur la formation, la sensibilisation des personnes et l’échange d’informations de cybersécurité. Je me permets de rappeler ici que le Conseil d’Etat travaille avec les communes depuis novembre 2021 – ce qu’il a d’ailleurs communiqué publiquement – pour renforcer une coopération durable en matière de sécurité informatique. J’ai en effet, avec ma collègue Christelle Luisier, invité les associations faîtières des communes pour renforcer nos partenariats en la matière. Depuis, un groupe de travail canton-communes a été mis en place et cherche à renforcer les coopérations autour des trois axes suivants. D’une part, la cyberprévention : la sensibilisation et la formation sont primordiales pour réduire l’impact des cyberrisques et leur survenance. Il est en effet essentiel d’établir, au sein de notre canton, une base de compréhension commune des risques et de leurs enjeux. D’autre part, la cyberrésilience : c’est le socle nécessaire pour une meilleure résistance collective contre les cybermenaces. Le groupe de travail souhaite ainsi proposer une boîte à outils alimentée par les bonnes pratiques et des standards minimaux en matière de cybersécurité. Enfin la cyberréaction : se défendre contre une cyberattaque requiert, à l’image des pompiers appelés en urgence, une action préparée et régulièrement exercée. Cela nécessite d’adopter des procédures d’intervention précises permettant un retour à la normale maîtrisé, tout en préservant les traces numériques nécessaires à la justice. La cyberréaction ne s’improvise pas, elle requiert le support de spécialistes.

En outre, canton et communes examinent notamment la possibilité de créer une force d’intervention cantonale dépêchée en renfort en cas de cyberattaque pour gérer et répondre à la crise, notamment sur le plan de la communication. Je dois aussi souligner que le pôle de compétence cantonal en matière de cybersécurité du centre opérationnel de sécurité de la DGNSI (SOC) reste très actif sur cet axe de prévention en fournissant régulièrement des conseils et informations, uniques en Suisse, pour les communes et autres organismes. Le SOC publie ainsi, par exemple chaque mois, sur son site mobilewww.vd.ch/cybersecurite – avec cybersécurité en un mot et sans accent – un rapport de renseignement sur les cybermenaces. Il est en libre accès et informe aussi de l’apparition de vulnérabilités informatiques critiques en vue de faciliter leur bonne prise en charge par les communes et autres acteurs travaillant avec l’Etat.

Concernant la prévention, je tiens également à rappeler que le canton met à disposition de tous et gratuitement un e-learning complet sur la sécurité et qui sera prochainement complété avec une nouvelle formation à l’attention des collaborateurs des administrations préparée avec le Réseau National de Sécurité. De plus, plusieurs courriers de rappel des mesures principales de prévention pour mieux faire face aux cyberattaques recommandées par le Centre national pour la cybersécurité ont été envoyés par le canton aux communes, aux médecins du canton de Vaud et aux institutions et organismes partenaires de la Direction générale de la cohésion sociale (DGCS).

Comme vous le constatez, le canton continue de soutenir les communes et autres organismes et il a toujours été évident pour moi que la prévention est essentielle. Nous y travaillons ardemment avec le centre de compétence cybersécurité du SOC et je ne manquerai pas de vous tenir informés des futurs développements que nous préparons actuellement pour améliorer la cyberrésilience de notre canton et être ainsi plus forts ensemble contre les cybercriminels.

Je remercie la conseillère d’Etat pour sa réponse plus que précise ainsi que pour son engagement aux côtés des communes.