En juin 2015, Manuel Valls, alors Premier ministre, annonçait la volonté du gouvernement de mettre en place un dispositif national d'assistance aux victimes d'actes de cybermalveillance. Incubé au sein de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) depuis six mois, il devrait commencer être opérationnel dans les deux à trois prochains mois. Acyma (pour Action contre la cybermalveillance), c'est son nom, sera chargé d'une triple mission auprès des TPE-PME et du grand public : Mener des campagnes de prévention et de sensibilisation à la sécurité numérique ; Créer un observatoire du risque numérique pour l'anticiper ; mettre en relation les victimes avec des prestataires capables de les assister.

La réalisation des deux dernières actions va reposer sur le lancement d'une plate-forme web où entreprises et particuliers pourront se connecter. Ils y trouveront un questionnaire constitué de questions fermées pour déterminer s'ils ont fait l'objet ou non d'une attaque informatique. « Si une intervention technique s'impose, nous mettrons le demandeur en relation avec un prestataire en sécurité IT, en fonction de sa localisation géographique, du type d'incident et des compétences nécessaires pour résoudre son problème », explique Jérôme Notin, chef de projet sur ACYMA au sein de l'ANSSI.

Une source de clients pour les prestataires IT

Pour que le système fonctionne, il faudra donc que les prestataires répondent en nombre à l'appel d'Acyma. Les inscriptions sur la plate-forme seront ouvertes dans un à deux mois. En attendant, ceux qui veulent déjà se faire connaître peuvent prendre contact à l'adresse dispositif@ssi.gouv.fr. En se faisant référencer, ils pourront bénéficier d'une source d'affaires additionnelles qu'Acyma va générer en promouvant sa plate-forme lors des campagnes de communication qui seront menées sur le modèle de la sécurité routière.

Les critères d'inscription des professionnels de la sécurité IT demandés par Acyma ne sont pas draconiens. « Nous leur demandons simplement le respect de notre charte. Elle enjoint notamment les prestataires à avoir des pratiques commerciales saines, par exemple en fournissant des devis, de nous renseigner sur les caractéristiques techniques des attaques qu'ils ont déjouées et de conserver la preuve numérique du méfait pour que la victime puisse porter plainte », détaille Jérôme Notin. On peut regretter qu'Acyma ne prévoie pas de contrôle a priori des compétences des professionnels de l'IT référencés dans sa base. Elle mise plutôt sur les commentaires et les notes que les victimes pourront attribuer a posteriori aux prestataires.

Associer le secteur privé pour renforcer les moyens de l'Acyma

Le rôle des prestataires est d'autant plus important pour Acyma que les remontées d'informations qu'elle leur demandera d'effectuer vont être utilisées pour la création de son observatoire du risque numérique.

Outre les prestataires de services IT, Acyma compte aussi sur les acteurs de l'économie privés pour se financer. « Nous pouvons nous associer à des éditeurs spécialisés dans la sécurité, des opérateurs et tout autre acteur de l'économie. Au final, chacun y trouvera un intérêt financier. Les acteurs du e-commerce peuvent par exemple vouloir sécuriser l'économie numérique pour que davantage de personnes acceptent de payer par carte de crédit en ligne. De son côté, un assureur peut vouloir bénéficier de statistiques pour élaborer des offres », argue Jérôme Notin. Au moment de son lancement effectif, Acyma sera doté d'un budget d'1 M€. Pour permettre qu'il soit complété par des fonds non-étatiques, un groupement d'intérêt public (GIP) sera rapidement constitué.