Moi Président, je ferai hacker l'État
Le droit à la protection des données à caractère personnel est un droit fondamental reconnu à tous les citoyens européens par l'article huit de la Charte des droits fondamentaux de l'Union européenne.
L’État et les administrations sont déjà soumis à des obligations strictes de protection et de sécurité des données, notamment au titre du RGPD, de la loi Informatique et Libertés et du RGS.
Pourtant, les cyberattaques récentes en France contre plusieurs administrations et ministères montrent une réalité préoccupante : avoir l’obligation de protéger les données ne garantit pas que les systèmes qui les hébergent sont effectivement sécurisés.
Ma proposition est simple : faire tester en continu les systèmes publics par ceux dont le métier est précisément de trouver leurs failles : les hackers éthiques humains et désormais les agents IA, pour passer de l’obligation de sécurité à l’obligation de preuve.
Moi Président, je ferai hacker l’État.
Pas par des cybercriminels, mais par des chercheurs en sécurité et des agents d’IA, dans un cadre légal et responsable.
Concrètement je propose :
- Une gouvernance centralisée de la cybersécurité de l’État, permettant d’avoir une vision consolidée de la surface d’attaque des ministères et administrations, de mieux cartographier les actifs et les données critiques, et de coordonner les actions de sécurisation.
- Une politique de divulgation des vulnérabilités pour chaque administration, afin que chaque citoyen puisse signaler facilement et légalement les failles découvertes.
- Des programmes de bug bounty pour les systèmes publics les plus sensibles, notamment ceux qui concentrent les données personnelles des citoyens.
- Le recours au pentest agentique par l’IA pour tester à grande échelle les systèmes publics, identifier les vulnérabilités et détecter plus rapidement les nouvelles surfaces d’attaque.
- Une véritable reconnaissance des hackers éthiques comme acteurs de la sécurité nationale, en récompensant ceux qui permettent de corriger une vulnérabilité avant qu’elle ne soit exploitée.
- Des indicateurs publics de performance, permettant de mesurer les vulnérabilités détectées et surtout la capacité de l’administration à les corriger rapidement.
L’objectif n’est pas de créer une nouvelle obligation réglementaire, mais de mieux vérifier que les obligations existantes sont effectivement respectées.
Les capacitaires de test modernes ouvrent aujourd’hui la possibilité de passer d’un modèle de tests ponctuels à une surveillance offensive continue, capable de tester plus fréquemment et plus largement les systèmes publics.
Moi Président, je ferai hacker l’État 24 heures sur 24.
Parce qu’en matière de cybersécurité, la confiance ne suffit pas. Il faut la tester.