Audit DNSSI administrations
Évaluation de conformité DNSSI pour les administrations qualifiées OIV : gouvernance SI, gestion des incidents, continuité des services publics et sécurité des systèmes critiques.
En savoir plusEn bref — Les administrations publiques marocaines font face à des obligations croissantes en matière de cybersécurité : DNSSI pour les OIV publics, loi 09-08 pour les données citoyens, loi 05-20 pour la cybersécurité nationale. Elles gèrent des données parmi les plus sensibles du pays (état civil, données fiscales, santé, données judiciaires) et sont des cibles prioritaires pour les cybercriminels et les acteurs étatiques hostiles.
Secteur public : conformité DNSSI et protection des données des citoyens
Conformité DNSSI, protection des données citoyens (loi 09-08), gouvernance des SI publics et continuité des services — l'accompagnement cybersécurité adapté aux contraintes du secteur public marocain.
Pourquoi les administrations marocaines sont-elles des cibles à fort risque cyber en 2024 ?
Le secteur public cumule les caractéristiques les plus défavorables en termes de risque cyber : données de grande valeur, systèmes anciens, ressources limitées et obligation de service continu. Un incident cyber dans une administration peut avoir des conséquences bien au-delà de l'organisation elle-même.
Données citoyens massives
CritiqueÉtat civil, données sociales, fiscales, judiciaires — les administrations concentrent les données les plus sensibles des citoyens marocains. Une violation expose simultanément des millions de personnes.
Services publics à disponibilité continue
CritiqueLes services publics numériques (paiements d'impôts, e-gov, CNSS, portails administratifs) ne peuvent pas s'arrêter. Un ransomware bloquant ces services crée une crise politique et sociale.
Budget et ressources contraints
ÉlevéLes administrations disposent souvent de budgets cybersécurité limités et de profils IT insuffisants en nombre et en niveau d'expertise pour faire face à la menace cyber croissante.
Patrimoine informationnel stratégique
CritiqueCertaines administrations gèrent des informations à caractère stratégique (défense, renseignement, diplomatie, infrastructures nationales) dont la compromission affecte la sécurité nationale.
Systèmes anciens et fragmentation SI
ÉlevéLes SI publics sont souvent composés de systèmes hétérogènes vieux de 10 à 20 ans, difficiles à patcher et à sécuriser, avec peu de documentation technique disponible.
Ciblage par des acteurs étatiques
ÉlevéLes administrations et infrastructures publiques marocaines sont des cibles de choix pour les groupes APT (Advanced Persistent Threats) liés à des États étrangers à des fins d'espionnage ou de sabotage.
Quelles sont les obligations des administrations marocaines pour protéger les données des citoyens ?
La loi 09-08 s'applique intégralement aux organismes publics traitant des données personnelles. Les administrations sont souvent les plus grands traitants de données personnelles au Maroc — et parmi les moins conformes.
Déclaration
Traitements déclaratifs
Registres d'état civil, gestion des agents publics, listes électorales, dossiers administratifs courants — déclaration CNDP obligatoire.
Autorisation
Traitements sous autorisation
Données judiciaires, données de santé publique, données biométriques (CNIE), interconnexions de fichiers entre administrations — autorisation CNDP requise.
Droits des administrés
Les citoyens ont un droit d'accès, de rectification et d'opposition sur leurs données détenues par les administrations. Des procédures d'exercice de ces droits doivent être mises en place.
Sécurité
Sécurité des données publiques
Chiffrement des bases de données sensibles, contrôle des accès aux dossiers citoyens, journalisation des consultations, destruction sécurisée des supports en fin de vie.
Comment sécuriser les services d'e-gouvernement et garantir leur disponibilité aux citoyens ?
Les portails d'e-gouvernement (portails fiscaux, CNSS, état civil numérique, paiements publics) combinent contrainte de disponibilité maximale et exposition internet — la combinaison la plus risquée en cybersécurité.
01
Sécurité by design
Intégration de la sécurité dès la conception des portails e-gov : authentification forte (MFA), chiffrement TLS, protection contre les injections, gestion des sessions sécurisée.
02
Tests de sécurité réguliers
Pentest applicatif annuel des portails exposés, revue de code des nouvelles fonctionnalités, scan de vulnérabilités mensuel sur les interfaces publiques.
03
Continuité & anti-DDoS
Architecture résiliente (redondance, CDN, protection anti-DDoS), PCA pour les services publics critiques, procédures de basculement documentées et testées.
Nos services pour le secteur public
Conformité CNDP données citoyens
Audit et mise en conformité loi 09-08 pour les traitements de données des citoyens : registre des traitements, déclarations CNDP, droits des administrés et sécurité des données publiques.
En savoir plusMise en place SMSI ISO 27001
Système de Management de la Sécurité de l'Information adapté aux contraintes des administrations : marchés publics, organisation matricielle, disponibilité des services au public.
En savoir plusPlan de Continuité des Services Publics
BIA sur les services publics critiques (état civil, paiements publics, e-gov), PCA/PRA et tests de résilience adaptés aux obligations de service public continu.
En savoir plusQuel résultat un organisme public marocain peut-il attendre d'un accompagnement 3 Digits ?
Étude de cas anonymisée — confidentialité garantie.
P
Problème
Non-conformité aux exigences DNSSI identifiée lors d'un audit DGSSI. Absence de politique de sécurité SI validée.
S
Solution
Audit DNSSI complet, élaboration de la politique de sécurité et du plan de traitement des risques, accompagnement des référents sécurité internes.
R
Résultat
Conformité DNSSI atteinte sur 85 % des mesures dans le délai imparti. Plan de mise en conformité résiduelle validé par la DGSSI.
Questions fréquentes sur la cybersécurité dans les administrations marocaines
- Les administrations publiques marocaines sont soumises à plusieurs textes de cybersécurité : (1) La DNSSI (Directive Nationale de Sécurité des Systèmes d'Information) s'applique aux administrations qualifiées OIV dans des secteurs comme la défense, la santé publique, les finances et les services publics critiques ; (2) La loi 09-08 impose des obligations de déclaration CNDP et de protection des données traitées pour le compte des citoyens ; (3) La loi 05-20 sur la cybersécurité établit un cadre légal de cybersécurité applicable à l'ensemble des entités publiques ; (4) Des circulaires ministérielles et des instructions de la DGSSI précisent les exigences spécifiques selon la nature de l'administration.
- La protection des données citoyens dans le secteur public exige une approche à plusieurs niveaux : déclaration ou autorisation CNDP pour tous les traitements de données personnelles (état civil, données sociales, fiscales...), mise en place d'un registre des traitements, information des administrés sur leurs droits et les finalités des traitements, mesures de sécurité techniques (chiffrement des bases de données sensibles, contrôle des accès, journalisation), et procédures de réponse aux demandes d'exercice des droits (accès, rectification). La loi 09-08 s'applique aux personnes morales publiques exactement comme aux personnes morales privées.
- La certification ISO 27001 dans une administration publique présente des spécificités importantes : (1) Le processus de décision est plus long (validation par la tutelle, marchés publics pour les prestataires) ; (2) Le périmètre est souvent plus étendu et plus hétérogène (multiplication des systèmes et des directions) ; (3) Les contraintes de disponibilité des services publics limitent les fenêtres de maintenance ; (4) La mobilisation du personnel sur des projets transversaux est plus difficile ; (5) Les budgets sont planifiés annuellement avec peu de flexibilité. Nous adaptons notre approche à ces contraintes avec une méthodologie par phases permettant des jalons rapides et visibles pour la hiérarchie.
- L'e-gouvernement sécurisé désigne l'ensemble des services publics dématérialisés (portails administratifs, paiements d'impôts en ligne, état civil numérique, CNSS en ligne...) déployés avec un niveau de sécurité adapté à la sensibilité des données manipulées et des services rendus. Sa mise en place exige : une architecture sécurisée by design (authentification forte, chiffrement des échanges, gestion des identités numériques), un SMSI couvrant les systèmes e-gov, des tests de sécurité réguliers (pentest applicatif), et une conformité CNDP stricte sur les données collectées via les portails. La DGSSI accompagne les administrations dans leur transformation numérique sécurisée.
- Oui, les administrations publiques marocaines peuvent externaliser tout ou partie de leurs besoins cybersécurité via des marchés publics. L'externalisation peut concerner : le conseil et l'accompagnement à la conformité DNSSI/ISO 27001 (notre offre principale), les audits de sécurité techniques, la gestion externalisée du SOC (Security Operations Center), et le CISO as a Service (RSSI externalisé). L'externalisation répond au problème de pénurie de profils cybersécurité qualifiés dans le secteur public et permet d'accéder à une expertise multi-référentiels que le recrutement interne ne peut souvent pas couvrir.
- Les administrations marocaines sont exposées à des menaces variées : ransomware ciblant les systèmes administratifs (notamment les fichiers bureautiques et les bases de données métier), phishing et spear phishing visant les agents publics avec accès aux données sensibles, attaques sur les portails web (injections SQL, DDoS), espionnage étatique ciblant les administrations stratégiques (défense, diplomatie, finances), et menaces internes (agents malveillants ou négligents). Les administrations sont des cibles attractives car elles gèrent des données de grande valeur pour les attaquants et sont souvent perçues comme moins bien protégées que les grandes entreprises.
- Plusieurs leviers permettent de financer la cybersécurité dans les administrations à budget contraint : (1) Priorisation sur le périmètre le plus risqué ou le plus réglementé (DNSSI OIV en priorité) plutôt qu'une approche exhaustive immédiate ; (2) Recours aux marchés cadres et aux accord-cadres pour lisser les coûts sur plusieurs exercices budgétaires ; (3) Mise en valeur du ROI réglementaire (évitement des sanctions DGSSI et CNDP) pour obtenir l'arbitrage budgétaire ; (4) Collaboration inter-administrations sur des référentiels mutualisés (l'ANAM, la CNSS et d'autres établissements peuvent mutualiser certains coûts de conformité). Nous accompagnons les administrations dans la rédaction de leurs cahiers des charges.
- Oui. La DNSSI impose aux OIV (dont certaines administrations) des audits de sécurité périodiques réalisés par des auditeurs qualifiés. La fréquence et la nature des audits dépendent du niveau de criticité des systèmes et des instructions de la DGSSI. En pratique, un audit de conformité DNSSI tous les 2 ans et un audit de sécurité technique (tests d'intrusion) annuel sont les pratiques recommandées. Les rapports d'audit doivent être transmis à la DGSSI et donner lieu à un plan d'action documenté et suivi. 3 Digits peut réaliser ces audits et vous accompagner dans la production des rapports conformes aux attentes de la DGSSI.
Évaluez votre maturité ISO 27001 en 5 minutes
Obtenez un score personnalisé, un radar par domaine et vos axes prioritaires — gratuitement.
⏱ Réponse sous 24h · Gratuit · Sans engagement
Faire mon auto-évaluation →