Dès l’ouverture du panel, Ferdinand Tra, Directeur Orange Business & Broadband et Président d’Orange Cloud & Cyber Solutions, a rappelé que les cybercriminels “n’ont pas de territoire défini” et ciblent avant tout les opportunités, c’est-à-dire les failles des systèmes d’information. Avec la digitalisation accélérée des services financiers, bancaires, du cloud et des applications de paiement comme Orange Money, la surface d’attaque des entreprises ivoiriennes s’est considérablement élargie.

Les chiffres cités sont parlants : la Côte d’Ivoire est passée de 2 millions d’attaques au début des années 2020 à 27 millions aujourd’hui, ce qui la classe 51ᵉ pays le plus attaqué au monde. Rien qu’en 2024, les pertes liées aux cyberattaques sont estimées à 7 milliards de francs CFA pour les PME, au-delà du seul impact financier, c’est la confiance des clients et des investisseurs qui se trouve directement menacée.

Pour Carole Leprégnon, Directrice des audits et de la conformité à l’ANSSI Côte d’Ivoire, “le risque cyber n’est plus théorique, il est réel, quotidien, et touche toutes les catégories d’organisations”, de la TPE aux grandes entreprises, en passant par les administrations publiques. Les secteurs les plus exposés restent ceux qui manipulent des données critiques et dépendent fortement du numérique : finance, télécommunications, énergie, administration, éducation, commerce.

Elle identifie trois grandes raisons qui expliquent la vulnérabilité actuelle. D’abord, la majorité des incidents ne viennent pas d’attaques “hyper sophistiquées”, mais de failles simples comme des mots de passe faibles, des systèmes non mis à jour ou des serveurs mal configurés. Ensuite, la transformation digitale s’est faite plus vite que la sécurité : de nombreuses plateformes en ligne critiques ne disposent pas encore de protections adéquates. Enfin, la cybersécurité reste trop souvent perçue comme un sujet purement technique, alors que “les failles à fort impact sont liées à la gouvernance”.

L’un des messages les plus forts de la conférence tient dans cette formule : la cybersécurité, “c’est juste 30% de technologie et 70% de gouvernance et de politique interne”. Autrement dit, la protection des systèmes ne peut plus être laissée aux seuls informaticiens : elle implique directement les directions générales, les conseils d’administration, les comités d’audit et de gouvernance. 

Les familles d’attaques les plus fréquentes en Côte d’Ivoire : compromission de comptes, rançongiciels, fuites de données, montrent que le facteur humain et l’organisation interne jouent un rôle déterminant. Pour l’ANSSI, la vraie question pour une entreprise n’est plus de savoir si elle sera attaquée, mais si elle est prête à prévenir, détecter, réagir et reprendre ses activités après un incident.

Myriam Kadio-Morokro, Secrétaire générale d’Orange Côte d’Ivoire et avocate, a rappelé que la Côte d’Ivoire s’est dotée dès 2013 d’un arsenal législatif en matière de cybercriminalité et de protection des données à caractère personnel. Ces textes ont été complétés par une loi sur les transactions électroniques et, plus récemment, par une loi portant sur les communications électroniques, ainsi que par des référentiels émis par l’ANSSI. 

Ce cadre met clairement la responsabilité des dirigeants “en première ligne”, qu’il s’agisse de directeurs généraux, de conseils d’administration, de gérants de SARL ou de présidents d’associations, y compris dans le secteur public. La mise en place d’une gouvernance sécurisée de l’information doit donc devenir un sujet régulier de conseil d’administration, de comité d’audit, voire de comités stratégiques dédiés à la cybersécurité.

Au-delà de son rôle d’observatoire des incidents, l’ANSSI élabore les règles nationales de sécurité des systèmes d’information et veille à leur mise en conformité. Son référentiel général de sécurité des systèmes d’information (RGSSI), adopté par décret en 2021, s’impose à toutes les organisations publiques et privées opérant sur le territoire national, avec trois niveaux d’exigence adaptés aux profils d’organisation. 

Pour Carole Leprégnon, la vulnérabilité n’est donc pas liée à la taille de l’entreprise, mais à son niveau de préparation et de conformité à ce référentiel. Les organisations qui s’en sortent le mieux ne sont pas celles qui échappent aux attaques, mais celles qui se sont dotées d’une bonne connaissance de leurs actifs critiques, de sauvegardes fiables et de processus de gestion des incidents et de continuité d’activité.

Face à cette montée des risques, Orange Côte d’Ivoire a créé Orange Cloud & Cyber Solutions, une entité dédiée à l’accompagnement des entreprises dans leur résilience numérique. Pour Ferdinand Tra, cette initiative s’appuie sur trois atouts majeurs : la profondeur de l’infrastructure réseau d’Orange, un écosystème international adossé à Orange Cyberdéfense et une présence locale forte. 

“Nous ne travaillons pas seulement sur le réseau, nous sommes dans le réseau”, rappelle-t-il, soulignant la connaissance fine des infrastructures et des réalités du terrain ivoirien, notamment avec des services comme Orange Money. L’expérience accumulée en interne sur la détection et la neutralisation de nombreuses cyberattaques est désormais mise à profit pour les PME et les grandes entreprises du pays, à travers des offres de SOC, de conseil, de tests de sécurité et de préparation à la reprise d’activité.

Les retours d’expérience partagés montrent que les organisations les plus résiliantes ont en commun plusieurs bonnes pratiques. Elles connaissent clairement leurs systèmes d’information, identifient leurs actifs les plus critiques, définissent les services à rétablir en priorité et clarifient les responsabilités internes (validation des accès, communication, reporting).  Elles disposent aussi de sauvegardes de qualité, capables de faire la différence entre une reprise rapide et une paralysie prolongée, notamment en cas de rançongiciel. Surtout, elles intègrent la cybersécurité dans leur culture et leurs processus, par exemple via des modules de formation dont la réussite peut conditionner une partie des primes, comme l’a illustré Ferdinand Tra pour Orange Côte d’Ivoire. “La résilience ne se construit pas pendant la crise, mais bien avant”, insiste Carole Leprégnon.

En filigrane de cette édition d’Orange Business Live, un message s’impose : la cybersécurité forme désormais, avec la gouvernance et la responsabilité, un “triangle du risque” que les dirigeants ne peuvent plus ignorer. Entre intensification des attaques, obligations réglementaires renforcées et attentes croissantes en matière de confiance numérique, les entreprises ivoiriennes sont invitées à faire de la sécurité un enjeu stratégique. 

Pour Orange Côte d’Ivoire et l’ANSSI, cela passe par une meilleure préparation, une gouvernance structurée de la sécurité et un dialogue constant entre acteurs publics et privés. Dans un contexte où plus de 70% d’attaques par rançongiciels sont recensées en Afrique et où la Côte d’Ivoire enregistre des dizaines de millions de tentatives d’intrusion, les organisations qui s’en sortiront le mieux seront celles qui auront anticipé, testé et ancré la cybersécurité au cœur de leurs décisions.