Par Hassan GHEDIRI

Faute d’argent, l’Etat se trouve apparemment obligé de circonscrire le budget réservé à la cybersécurité et se contente des audits…

Le 8 juillet dernier, des données personnelles comprenant des photos de carte d’identité nationale, des diplômes de baccalauréat ainsi que des dizaines de milliers de fichiers stockés sur des bases de données des institutions d’enseignement supérieur avaient été dérobés par un groupe de hackers informatiques étrangers. L’attaque qui a ciblé le réseau universitaire national unifié en Tunisie a permis aux cybercriminels de prendre possession d’informations de connexions et de gigantesques quantités de données estudiantines qui ont été ensuite publiées sur un compte du réseau social Telegram sous l’identifiant Jokeir 07x. L’incident a suscité de grandes inquiétudes chez beaucoup de Tunisiens quant à la capacité des institutions publiques à protéger des informations sensibles. Et ce n’est que 48 heures après que le ministère de l’Enseignement supérieur est sorti de son silence pour confirmer par le biais du Centre de calcul El Khawarizmi ce qui a été qualifié de « tentative de piratage visant l’infrastructure technique du réseau universitaire national ». Selon le Centre El Khawarizmi, « l’attaque a été déjouée dès les premières heures », affirmant qu’il n’y avait pas eu de « fuite massive » de données d’étudiantes
Dans une correspondance datée le 10 juillet 2025, adressée au ministère de l’Enseignement supérieur et de la Recherche scientifique, la députée Héla Jaballah a posé des questions portant sur cette cyberattaque qui constitue une grave atteinte à la sécurité des données de centaines de milliers d’étudiants tunisiens et à leur vie privée. Se référant aux articles 114 de la Constitution et 129 du règlement intérieur de l’ARP relatifs au contrôle de l’activité du gouvernement par le Parlement, Jaballah a interrogé, par écrit, le ministère sur les mesures prises à la suite de cette cyberattaque de 8 juillet et garantir qu’elle ne se reproduise pas. L’intérêt de la députée a notamment porté sur l’audit des systèmes informatiques des centres de données nationaux et sectoriels des établissements et institutions de l’enseignement supérieur en Tunisie. S’agissant d’un programme qui a été lancé début 2024 auquel les financements nécessaires sont censés avoir été débloqués.
En réponse aux questions de la députée, le ministère a expliqué dans une correspondance adressée 50 jours plus tard au président de l’ARP (émise le 26 août 2025 et remise à la destinataire le 28 août 2025 par la présidence du parlement), que les attaques ayant visé au mois de juillet les portails et sites web relevant de la compétence des établissements d'enseignement supérieur et de certains établissements publics et privés, ont principalement exploité des vulnérabilités liées à ces applications et services en ligne, notamment l'absence de mécanismes d'authentification multiacteur (MFA qui est un processus nécessitant deux ou plusieurs facteurs d’indentification offrant une meilleure sécurisation d’accès aux systèmes). Et d’expliquer que beaucoup de vulnérabilités existant sur les ordinateurs des utilisateurs ont facilité l’intrusion et permis aux pirates de prendre possession des données personnelles telles que des cartes d'étudiant, des copies de cartes d'identité nationale.
C’est toutefois dans le processus de remédiation des vulnérabilités que les choses ne semblent pas aller comme prévu. Et pour cause, l’Etat est contraint de couper dans le budget alloué au programme national d’audit de la sécurité informatique au profit des structures publiques. Le ministère de l’Enseignement supérieur et de la Recherche scientifique explique dans sa réponse que seulement        «une partie» des financements programmés a été approuvée et débloquée. « Cela a permis de lancer la phase pilote du programme, axée uniquement sur l'audit de la sécurité des systèmes d'information des centres de données nationaux et sectoriels », souligne-t-on dans la réponse aux questions de la députée. Suite à un appel d'offres lancé par le ministère des Technologies de la communication, les opérations d'audit ont démarré le 20 mai 2025, dans le Centre national de l'informatique, le Centre de calcul Khawarizmi ainsi que dans les directions chargées de l'informatique et des systèmes d'information relevant des ministères de l'Éducation et de l'Agriculture.
Il faut noter que le lancement dudit programme s’inscrivait dans le cadre de la mise en application de la stratégie nationale de la cybersécurité pour la période 2020-2025. Cette stratégie a pour but de protéger et développer l’espace cybernétique national, notamment en allouant les ressources nécessaires au renforcement des compétences. Austérité oblige, la Tunisie s’est trouvée obligée de circonscrire le budget de la cybersécurité.

H.G.