admingael

Protection contre les cyberattaques au Sénégal

Protection contre les cyberattaques au Sénégal : le guide pour se défendre

L’essentiel en bref : les cyberattaques au Sénégal ne sont plus une menace abstraite. En 2025 et 2026, des institutions publiques majeures ont été touchées, un rapport d’INTERPOL classe le pays parmi les plus exposés d’Afrique, et une nouvelle loi sur les infrastructures critiques vient d’être adoptée. Aucune organisation n’est à l’abri, mais se protéger est à la portée de toutes, sans budget colossal. La clé n’est pas d’empiler des outils, mais de suivre une démarche structurée: connaître ses risques, protéger en couches (sensibilisation, postes, accès, réseau, sauvegardes), surveiller, et savoir réagir. Le maillon le plus important reste humain. Cet article présente concrètement comment protéger votre entreprise, dans le contexte réel du Sénégal. Longtemps, beaucoup d’entreprises sénégalaises ont pensé que les cyberattaques concernaient les autres: les grandes banques, les multinationales, les pays lointains. Cette illusion est aujourd’hui dépassée. Les faits récents le montrent sans ambiguïté: la menace est ici, elle est réelle, et elle frappe sans distinction. Ce guide explique où en est la menace au Sénégal, ce qu’impose le nouveau cadre légal, et surtout comment protéger concrètement votre organisation. Sans jargon inutile, avec une démarche accessible à toutes les tailles d’entreprise. La menace est réelle, et elle est locale Il ne s’agit plus de statistiques abstraites. Sur la période récente, plusieurs institutions publiques sénégalaises ont été confrontées à des incidents affectant leurs systèmes. D’après la presse spécialisée, la Direction générale des impôts et des domaines a été visée par une attaque en octobre 2025, le Trésor public a signalé un incident en mai 2026, et la Cour des comptes a fait état d’un incident en juin 2026, sur fond de soupçons de cyberattaque. Quand des institutions de cette importance sont touchées, aucune entreprise ne peut se croire hors d’atteinte. Cette réalité s’inscrit dans une tendance continentale documentée. Un rapport d’INTERPOL publié en 2026 estime à au moins 5 milliards de dollars les pertes causées par la cybercriminalité en Afrique en 2025, et classe le Sénégal au quatrième rang des pays africains les plus exposés aux vulnérabilités détectées. Les escroqueries en ligne, le vol d’identifiants et la fraude financière y dominent, souvent amplifiés par l’intelligence artificielle. Le contexte local aggrave l’exposition. La forte pénétration du mobile money en fait une cible privilégiée, et les contraintes d’infrastructure, connectivité parfois limitée, électricité instable, systèmes anciens, compliquent la mise en place de défenses modernes. À quoi s’ajoute une sensibilisation encore insuffisante, notamment au niveau des dirigeants. ➡️​ Antivirus professionnel : Bien protéger les postes de son entreprise Un nouveau cadre légal qui rebat les cartes La protection contre les cyberattaques n’est plus seulement une bonne pratique: elle devient une obligation. Le Sénégal disposait déjà de la loi n° 2016-29 sur la protection des données personnelles, sous le contrôle de la Commission de protection des données personnelles, et de la loi n° 2008-11 sur la cybercriminalité. À ce socle s’ajoute désormais la loi n° 25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique, adoptée par l’Assemblée nationale en août 2026. Ce texte impose aux exploitants d’infrastructures critiques des obligations de sécurité précises, sous la supervision d’une Autorité nationale de Cybersécurité, et consacre la souveraineté des données sensibles. Pour les entreprises concernées, banques, télécoms, énergie, santé, industrie, et leurs partenaires, se protéger devient une exigence réglementaire assortie de sanctions. Anticiper cette mise en conformité est désormais un impératif. Se protéger : une démarche, pas un empilement d’outils Voici la bonne nouvelle: se protéger efficacement ne nécessite pas un budget colossal ni une armée d’ingénieurs. Cela suppose une démarche structurée, pas un empilement désordonné de logiciels. Cette démarche se résume en trois temps: évaluer ses risques, se protéger en couches, et surveiller pour réagir. Tout commence par une évaluation. On ne protège bien que ce qu’on connaît. Un audit ou un diagnostic identifie vos actifs les plus critiques, vos vulnérabilités et vos priorités. Cette étape évite de dépenser au mauvais endroit et concentre les efforts là où le risque est le plus élevé. ➡️ Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ? La défense en profondeur : protéger en couches Le principe fondamental de la protection est la défense en profondeur: superposer plusieurs couches, de sorte que si l’une cède, les autres tiennent. Aucune mesure unique ne suffit. Voici les couches essentielles. La sensibilisation des équipes. C’est la première ligne, et la plus importante, car la majorité des attaques visent l’humain. Former les collaborateurs à reconnaître un email de phishing, à gérer leurs mots de passe et à signaler un doute transforme le maillon faible en rempart. C’est souvent l’investissement le plus rentable. La protection des postes. Un antivirus nouvelle génération, idéalement doté de capacités de détection et de réponse, protège les ordinateurs et serveurs contre les menaces modernes que l’antivirus classique ne détecte plus. La sécurisation des accès. L’authentification multifacteur est l’une des mesures les plus efficaces qui soient: même un mot de passe volé ne suffit alors plus à entrer. Une bonne gestion des identités et des droits complète ce contrôle. La protection du réseau. Un pare-feu, le filtrage et la segmentation du réseau limitent les intrusions et empêchent une attaque de se propager d’un système à l’autre. La sauvegarde et le chiffrement. Des sauvegardes régulières, chiffrées et surtout testées, sont votre filet de sécurité ultime. En cas de rançongiciel, elles font la différence entre une reprise rapide et une catastrophe. Le chiffrement protège les données même en cas de vol. La gestion des vulnérabilités. Appliquer les correctifs et corriger les failles en continu ferme les portes que les attaquants cherchent à exploiter. Ces couches se complètent. Une entreprise bien protégée n’est pas celle qui a le plus d’outils, mais celle qui a couvert chaque maillon de la chaîne. Surveiller et savoir réagir Se protéger ne s’arrête pas à la prévention. Deux capacités complètent le dispositif. La surveillance d’abord. Détecter une attaque au plus tôt limite considérablement ses dégâts. Une supervision continue, via un centre des opérations de sécurité interne ou externalisé, permet de repérer les signaux

Protection contre les cyberattaques au Sénégal : le guide pour se défendre Lire la suite »

Loi cybersécurité adoptée au Sénégal 2026

Cybersécurité : le Sénégal adopte sa loi sur les infrastructures critiques, ce qui change pour les entreprises

Le projet de loi que nous vous présentions il y a quelques jours est désormais une loi. Ce jeudi 20 août 2026, l’Assemblée nationale a adopté le texte n°25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique, à l’unanimité des votants, par 127 voix pour, sans voix contre ni abstention. Présenté par le ministre des Télécommunications et du Numérique, Samba Diouf, avec le soutien du ministre de la Communication, Bacary Sarr, le texte adapte le cadre juridique sénégalais à la multiplication et à la sophistication des cyberattaques. Voici ce que cette adoption change concrètement, et pourquoi les entreprises concernées doivent désormais passer à l’action. Une protection renforcée des infrastructures stratégiques Le cœur de la loi reste la protection des infrastructures, systèmes et plateformes jugés essentiels au fonctionnement et à la sécurité du pays. Ces infrastructures d’information critiques bénéficient d’un régime renforcé, sous la supervision de l’Autorité nationale de Cybersécurité, et certaines installations stratégiques pourront relever du secret de la défense nationale. Comme nous l’avions détaillé, leurs exploitants devront se conformer à des normes de sécurité précises, avec à la clé un régime de sanctions administratives et pénales pour en garantir le respect. Un point notable: le périmètre de la loi ne s’arrête pas aux frontières. Certains services numériques accessibles au Sénégal depuis des équipements situés à l’étranger pourront également être concernés, selon les modalités prévues par la réglementation ou les accords internationaux. Une approche par principes, pensée pour l’intelligence artificielle Le législateur a fait un choix intéressant face à l’évolution rapide des technologies. Plutôt que de viser des technologies précises, vite dépassées, le texte privilégie des principes généraux de sécurité et des normes techniques susceptibles d’évoluer. Cette approche vise à garder le cadre adaptable face aux nouvelles menaces, notamment celles liées à l’intelligence artificielle, dont le rôle croissant dans les cyberattaques est explicitement pris en compte. ➡️​ Cybercriminalité en Afrique : 5 milliards de dollars de pertes en 2025, et le Sénégal parmi les plus exposés La souveraineté des données au premier plan Autre axe majeur confirmé: la souveraineté numérique. La loi consacre le principe de conservation sur le territoire national des données considérées comme sensibles pour l’État. Les infrastructures nationales d’hébergement, notamment le data center de Sénégal Numérique, occupent une place centrale dans cette stratégie, appelées à accueillir ces données stratégiques. Un volet usagers : enfants et inclusion La loi ne se limite pas aux infrastructures étatiques. Elle intègre un volet de protection des usagers, avec un plan d’action dédié à la protection des enfants en ligne. Elle prévoit par ailleurs des garanties d’accès et d’emploi sans discrimination pour les personnes en situation de handicap dans le secteur de la cybersécurité, un signal en faveur de l’inclusion dans cette filière. Notre lecture : l’anticipation n’est plus une option Avec cette adoption, ce que nous présentions comme une perspective devient une réalité juridique. Le message pour les dirigeants change de nature: il ne s’agit plus de surveiller un projet, mais de se préparer à des obligations qui vont s’appliquer, dont les modalités précises seront fixées par décrets. Les entreprises susceptibles d’être classées comme infrastructures critiques, banques, télécoms, énergie, santé, industrie, et leurs partenaires travaillant pour l’État, sont en première ligne. Pour elles, les chantiers que nous évoquions ne relèvent plus de la bonne pratique facultative: désigner un responsable de la sécurité des systèmes d’information, formaliser des plans de continuité et de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, conserver les journaux, réaliser des audits, et disposer de sauvegardes chiffrées et testées. La question de la localisation des données, désormais adossée aux infrastructures nationales, devient également stratégique dans les choix de cloud et de sauvegarde. Un point mérite l’attention des acteurs du secteur: la loi encadre les services et produits de cybersécurité, ce qui ouvre la voie à un régime d’agrément des prestataires par l’Autorité nationale de Cybersécurité. Autrement dit, le marché sénégalais de la cybersécurité va se structurer et se professionnaliser autour de ce cadre. Notre conviction reste la même, et elle se renforce: la conformité bien menée n’est pas une contrainte, mais une mise à niveau de sécurité qui protège réellement l’entreprise. Ceux qui anticipent aujourd’hui éviteront la précipitation, les sanctions et le stress d’une mise en conformité de dernière minute. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’une supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et gouvernance de la sécurité. Si votre organisation pourrait être concernée, le moment d’agir, c’est maintenant. Votre entreprise est-elle prête pour ce nouveau cadre ? Échangeons sur votre exposition et votre feuille de route de conformité. 👉 Cybersécurité & Résilience, Gael Conseil

Cybersécurité : le Sénégal adopte sa loi sur les infrastructures critiques, ce qui change pour les entreprises Lire la suite »

Antivirus professionnel

Antivirus professionnel : Bien protéger les postes de son entreprise

L’essentiel en bref : l’antivirus professionnel de 2026 n’a plus grand-chose à voir avec le logiciel qui scannait des fichiers. L’antivirus classique, fondé sur des signatures, ne détecte que les menaces connues, et les attaques modernes le contournent sans peine. La protection des postes a donc évolué en couches: l’antivirus nouvelle génération pour prévenir, l’EDR pour détecter et répondre aux attaques qui passent, le XDR pour élargir la vision, et le MDR pour confier le tout à des experts. Le point décisif, souvent oublié: un outil sans personne pour l’exploiter ne sert à rien. Pour une entreprise sans équipe sécurité, la protection managée n’est pas un luxe mais une condition d’efficacité. Et l’antivirus reste une brique parmi d’autres. Cet article vous aide à bien protéger vos postes, dans le contexte sénégalais. Quand on parle d’antivirus professionnel, beaucoup imaginent encore le logiciel d’il y a dix ans: quelques signatures mises à jour, une analyse hebdomadaire, et l’affaire était réglée. Ce temps est révolu. Les cybermenaces d’aujourd’hui, rançongiciels, attaques sans fichier, exploitation de failles inédites, contournent allègrement l’antivirus traditionnel. Choisir une protection efficace pour ses postes suppose donc de comprendre ce qui a changé. Ce guide explique pourquoi l’antivirus classique ne suffit plus, quel vocabulaire maîtriser, comment choisir sans se faire piéger, et pourquoi la question des personnes compte autant que celle de l’outil. Le tout pensé pour un décideur, dans le contexte sénégalais. Pourquoi l’antivirus classique ne suffit plus Commençons par le constat qui change tout. L’antivirus traditionnel fonctionne par signatures: il compare chaque fichier à une base de logiciels malveillants connus, et le bloque s’il correspond. Ce modèle a un défaut structurel: il ne détecte que ce qu’il connaît déjà. Une menace inédite passe au travers. Or les attaquants exploitent précisément cette faiblesse. Les attaques sans fichier n’installent aucun logiciel détectable. Les attaquants détournent des outils légitimes déjà présents sur les systèmes, ce qu’aucune signature ne bloque, puisque ces outils sont normaux. Les rançongiciels et les failles inédites évoluent plus vite que les bases de signatures. Résultat: aujourd’hui, la plupart des attaques contre les entreprises contournent l’antivirus traditionnel, souvent moins par sophistication que par volume et par ruse. Autrement dit, se reposer sur un antivirus classique en 2026 revient à verrouiller sa porte d’entrée en laissant les fenêtres ouvertes. La protection des postes a dû évoluer. ➡️​ Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ? Le nouveau vocabulaire : EPP, EDR, XDR, MDR Le marché s’est structuré en couches successives, et quatre sigles reviennent sans cesse. Les distinguer est indispensable avant de comparer la moindre offre. L’EPP, ou antivirus nouvelle génération, est la couche de prévention. C’est l’antivirus moderne: il détecte non seulement par signatures, mais aussi par heuristique, par analyse comportementale et par intelligence artificielle, ce qui lui permet de bloquer aussi des menaces inconnues. Il inclut généralement un pare-feu, un filtre web et une protection de la messagerie. C’est le vigile à l’entrée, qui bloque le gros des menaces. L’EDR, pour détection et réponse sur les postes, va plus loin. Il surveille en continu le comportement des machines, détecte les activités suspectes et les attaques avancées qui ont franchi la prévention, et permet de réagir en isolant un poste, en bloquant des fichiers, parfois en annulant les changements causés par une attaque. C’est la caméra de surveillance qui repère l’intrus une fois entré. L’EDR est aujourd’hui considéré comme le standard minimum pour toute entreprise traitant des données sensibles. Le XDR élargit encore le champ. Il étend la détection au-delà du poste, au réseau, au cloud, à la messagerie et aux identités, et corrèle ces signaux. Au lieu de trois alertes isolées, un email de phishing, une connexion suspecte et un téléchargement inhabituel deviennent une seule alerte contextualisée. Le MDR, enfin, n’est pas un outil mais un service managé. Un prestataire, souvent doté d’un centre de surveillance, exploite l’EDR à votre place: il détecte, analyse et répond pour vous. Il répond au manque d’experts en sécurité, un sujet sensible pour qui ne dispose pas d’équipe dédiée. Ces couches ne s’opposent pas, elles se superposent. La prévention bloque le bruit, la détection comportementale attrape ce qui passe. Beaucoup de solutions modernes combinent d’ailleurs antivirus nouvelle génération et EDR sur une même plateforme. L’insight décisif : un outil sans personne ne sert à rien Voici le point que les argumentaires commerciaux minimisent, et qui est pourtant le plus important. Acheter un EDR puissant ne protège pas si personne ne l’exploite. Ces solutions génèrent de nombreuses alertes, dont beaucoup de fausses, et demandent des analystes pour les trier, les affiner et réagir vite en cas d’attaque réelle. Un EDR sans opérateur, c’est une caméra qui filme dans le vide. C’est pourquoi l’écart entre un EDR seul et un MDR, qui ajoute des analystes humains, est plus important que tous les autres écarts réunis. Pour une entreprise qui ne dispose pas d’une équipe de sécurité, la protection managée n’est pas un luxe, mais la condition même de l’efficacité. La règle à retenir est simple: n’achetez jamais un outil de protection sans plan pour l’exploiter. Cet enseignement est particulièrement structurant, car il déplace la question du « quel logiciel acheter » vers « qui va le faire fonctionner ». ➡️​ Gestion des vulnérabilités : Processus et outils Comment choisir, sans se faire piéger Le choix d’une solution dépend de plusieurs critères. Le nombre et le type de terminaux à protéger, postes, serveurs, mobiles, et leur système d’exploitation. Le mode de travail, sur site ou à distance, et l’usage éventuel d’appareils personnels. La sensibilité des données manipulées. Le budget. Et, critère décisif, la présence ou non d’une expertise sécurité en interne, ainsi que votre environnement existant. Quelques repères pratiques. Privilégiez une solution cloud, qui se met à jour automatiquement, et intégrant l’EDR ou le XDR pour une vraie visibilité. Exigez une console de gestion et de reporting unifiée, ce qui distingue justement une solution professionnelle d’un produit grand public. Vérifiez la compatibilité avec l’ensemble de vos systèmes, car les terminaux non

Antivirus professionnel : Bien protéger les postes de son entreprise Lire la suite »

la cybercriminalité explose en Afrique

Cybercriminalité en Afrique : 5 milliards de dollars de pertes en 2025, et le Sénégal parmi les plus exposés

L’essor numérique de l’Afrique a un revers: il attire les cybercriminels. Dans un rapport publié le 3 août 2026, INTERPOL estime à au moins 5 milliards de dollars les dommages économiques directs causés par la cybercriminalité sur le continent en 2025. Le document, fondé sur une enquête menée dans 36 pays africains, dresse le tableau d’une menace qui s’aggrave vite, se sophistique grâce à l’intelligence artificielle, et n’épargne pas le Sénégal, classé quatrième pays le plus touché par les vulnérabilités détectées. Voici ce qu’il faut en retenir, et ce que cela implique pour les entreprises sénégalaises. Une menace qui explose Les chiffres décrivent une accélération brutale. Selon INTERPOL, les pertes financières déclarées liées aux cyberattaques sont passées de 192 millions de dollars en 2024 à 484 millions en 2025, soit une hausse de 152% en un an. Sur la même période, le nombre de victimes identifiées est passé de 35 000 à 87 000. Dans les pays d’Afrique de l’Ouest et australe étudiés, la cybercriminalité représente désormais plus de 30% des infractions enregistrées, une part en progression. Cette flambée accompagne l’expansion de l’économie numérique africaine, qui compte plus de 1,1 milliard d’abonnements mobiles et a enregistré plus de 1 100 milliards de dollars de transactions numériques en 2025. Autrement dit, plus l’Afrique se numérise, plus sa surface d’exposition grandit. ➡️ Réseaux télécoms : pourquoi ils deviennent la cible stratégique numéro un des cyberattaques Escroqueries, vol d’identité et intelligence artificielle Le rapport identifie clairement les modes opératoires dominants. Les escroqueries en ligne restent la forme la plus répandue de cybercriminalité, et servent souvent de porte d’entrée vers des attaques plus complexes: usurpation d’identité et fraude financière. Une fois des identifiants compromis, les criminels accèdent à des comptes bancaires, à des portefeuilles numériques ou à des services publics en ligne. INTERPOL souligne d’ailleurs que les violations de données de 2025 ont formé le socle sur lequel se sont appuyées la plupart des grandes formes de cybercriminalité. Deux tendances méritent l’attention. D’abord, la fraude au faux ordre de virement, qui détourne des échanges professionnels pour obtenir des paiements frauduleux, représente à elle seule 21% des attaques liées à une compromission d’identité. Ensuite, les menaces alimentées par l’intelligence artificielle gagnent du terrain: deepfakes et contenus synthétiques servent désormais à la manipulation, à la sextorsion et au harcèlement. Des défenses qui ne suivent pas le rythme Le rapport pointe une faiblesse structurelle. Malgré des dépenses estimées à 15,3 milliards de dollars consacrées à la cybersécurité en Afrique en 2025, les capacités de défense ne progressent pas aussi vite que les menaces. De nombreux pays restent confrontés à des infrastructures insuffisantes, à des cadres réglementaires hétérogènes et à un faible niveau de sensibilisation. La Shadowserver Foundation a par ailleurs identifié plus de 6 000 vulnérabilités exploitables sur le continent en 2025. C’est sur ce dernier point que le Sénégal apparaît nommément. Le pays se classe au quatrième rang africain pour la part des vulnérabilités détectées, avec 4,6%, derrière l’Afrique du Sud, le Kenya et le Nigeria, qui comptent aussi parmi les nations les plus connectées du continent. ➡️ Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour… Notre lecture : ce que cela change pour les entreprises sénégalaises Ce rapport n’est pas une actualité lointaine: il nomme le Sénégal parmi les pays les plus exposés du continent. Cette place, corrélée à un fort taux de connexion et à l’essor du mobile money, signifie une chose simple pour les dirigeants: la question n’est plus de savoir si votre entreprise sera visée, mais quand, et si vous serez prêt. Plusieurs enseignements ressortent, et ils rejoignent ce que nous constatons sur le terrain. D’abord, la menace vise l’humain avant la technique. Escroqueries, vol d’identifiants, faux ordres de virement: ces attaques exploitent la confiance et l’inattention des collaborateurs, pas des failles logicielles exotiques. La sensibilisation et la formation, notamment à la détection du phishing, sont donc la première ligne de défense, pas un supplément. Ensuite, la donnée est le carburant des attaques. Une fuite de données n’est pas un incident isolé, mais le point de départ de fraudes en cascade, ce qui rend la protection des données et la conformité d’autant plus stratégiques. Enfin, l’intelligence artificielle change l’échelle. Deepfakes et contenus synthétiques rendent les manipulations plus crédibles, ce qui impose de renforcer les procédures de vérification, en particulier pour les paiements. La leçon de fond du rapport est que les dépenses seules ne suffisent pas: ce qui compte, c’est une défense structurée. Sensibiliser les équipes, protéger et sauvegarder les données, corriger ses vulnérabilités en continu, et disposer d’un plan de réponse aux incidents valent mieux que des outils empilés sans stratégie. Chez Gael Conseil, nous aidons les entreprises sénégalaises à transformer ce constat en action: sensibilisation et formation des équipes, audit et gestion des vulnérabilités, protection des données et sauvegardes testées, et préparation à la réponse aux incidents. Face à une menace qui progresse plus vite que les défenses, l’avantage revient à ceux qui anticipent. Votre entreprise est-elle réellement préparée face à ces menaces ? Échangeons sur votre exposition et vos priorités de protection. 👉 Cybersécurité & Résilience, Gael Conseil

Cybercriminalité en Afrique : 5 milliards de dollars de pertes en 2025, et le Sénégal parmi les plus exposés Lire la suite »

Cybersécurité industrielle

Cybersécurité industrielle (OT Security) : le guide complet

L’essentiel en bref : la cybersécurité industrielle, ou OT security, protège les systèmes qui pilotent les processus physiques d’une industrie : automates, SCADA, systèmes de contrôle. Elle diffère radicalement de la cybersécurité classique, car sa priorité absolue est la disponibilité et la sûreté, pas la confidentialité : une attaque peut ici arrêter une production, endommager un équipement ou mettre des personnes en danger. La norme de référence est l’IEC 62443, seul standard international dédié à ces systèmes. Elle repose sur trois piliers : segmenter le réseau en zones et conduits, définir un niveau de sécurité cible par zone, et piloter une démarche continue fondée sur l’inventaire des actifs et l’analyse de risques. Au Sénégal, un projet de loi sur les infrastructures critiques rend cette discipline de plus en plus incontournable. Ce guide complet en pose les fondations. Quand on parle de cyberattaque, on pense vol de données ou rançongiciel bloquant des fichiers. Mais dans l’industrie, l’enjeu est d’une autre nature: une attaque peut ouvrir une vanne, arrêter une chaîne de production, dérégler un processus chimique ou empêcher un système de sécurité de se déclencher. Les conséquences ne sont plus seulement numériques, elles sont physiques, environnementales, parfois humaines. C’est le domaine de la cybersécurité industrielle, ou OT security. Ce guide complet pose les fondations de cette discipline: ce qu’elle est, en quoi elle diffère de l’informatique classique, quelles menaces elle affronte, et surtout comment la structurer autour de la norme de référence, l’IEC 62443. Le tout traduit pour un décideur, dans le contexte industriel sénégalais. Qu’est-ce que la cybersécurité OT, et pourquoi elle est différente L’OT, ou technologie opérationnelle, désigne les systèmes qui contrôlent les processus physiques industriels: automates programmables, systèmes de supervision SCADA, systèmes de contrôle distribué, capteurs et actionneurs. La cybersécurité OT vise à protéger ces systèmes contre les cybermenaces. Sa spécificité tient à une inversion des priorités par rapport à l’informatique de gestion. En sécurité informatique classique, on protège d’abord la confidentialité des données, puis leur intégrité, puis la disponibilité des services. En environnement OT, cet ordre est inversé: la disponibilité et la sûreté priment sur tout, car une interruption ou une manipulation peut avoir des conséquences physiques immédiates. On ne sécurise donc pas une usine comme un réseau de bureau. Un aspect mérite une attention particulière: l’articulation entre la sûreté fonctionnelle, qui protège les personnes et l’environnement, et la cybersécurité. Les systèmes instrumentés de sécurité, ceux qui déclenchent un arrêt d’urgence par exemple, sont des cibles critiques: leur compromission pourrait empêcher une protection vitale de fonctionner. Sécuriser l’OT, c’est donc aussi protéger la sûreté elle-même. ➡️ Gestion des vulnérabilités : Processus et outils Le paysage des menaces La cybersécurité industrielle n’est pas une crainte théorique. Plusieurs attaques marquantes ont démontré la réalité du danger. Stuxnet a visé des automates pour saboter un processus industriel. L’attaque de Colonial Pipeline a paralysé un oléoduc majeur par un rançongiciel. Des hôpitaux ont vu leurs systèmes de supervision bloqués. D’autres attaques ont directement ciblé des systèmes de sûreté. La tendance récente est plus inquiétante encore. Le ciblage d’automates industriels exposés sur Internet, souvent sans authentification, produit désormais des effets physiques réels: actions illégitimes sur des équipements, interruptions de chaînes de production, au-delà de la simple exfiltration de données. Les menaces se diversifient: rançongiciels visant les automates, espionnage économique, attaques d’acteurs étatiques, compromissions de la chaîne d’approvisionnement. Pour structurer la connaissance de ces attaques, les équipes s’appuient sur des référentiels comme MITRE ATT&CK adapté aux systèmes de contrôle industriel, qui catalogue les tactiques et techniques des attaquants. Pourquoi les systèmes OT sont vulnérables Plusieurs caractéristiques rendent l’OT intrinsèquement exposé. Les équipements ont une très longue durée de vie, souvent plusieurs décennies, et beaucoup ont été conçus avant que la cybersécurité ne devienne un enjeu. Les protocoles industriels, comme Modbus ou DNP3, ont été pensés pour la fiabilité et le déterminisme, pas pour la sécurité: ils n’intègrent généralement ni authentification ni chiffrement. Le patching est complexe, car on ne peut pas arrêter une production pour appliquer une mise à jour aussi facilement qu’un ordinateur. À ces fragilités héritées s’ajoute un facteur aggravant: la convergence entre l’OT et l’informatique de gestion. Les systèmes industriels, historiquement isolés, sont désormais connectés aux réseaux d’entreprise, au cloud et parfois à Internet, notamment via la télémaintenance. Cette interconnexion, porteuse de gains, élargit considérablement la surface d’attaque au-delà des périmètres OT traditionnels. ➡️ Phishing : Comment former vos équipes à le détecter La norme de référence : l’IEC 62443 Face à ces défis spécifiques, une norme s’est imposée comme la référence internationale: l’IEC 62443, développée par la Commission électrotechnique internationale avec l’ISA. Introduite en 2007 et enrichie depuis, elle est la seule norme qui adresse spécifiquement la cybersécurité des systèmes de contrôle industriel. Là où d’autres cadres, comme le NIST ou l’ISO 27001, restent génériques ou orientés organisation, l’IEC 62443 est conçue pour les contraintes du monde industriel: longévité des équipements, hétérogénéité, patching difficile, continuité opérationnelle. Son périmètre officiel est celui des IACS, les systèmes d’automatisation et de contrôle industriels, qui englobent tout l’ensemble matériel, logiciel et procédural pilotant des équipements industriels. Sa force est d’impliquer tous les acteurs de la chaîne: le propriétaire de l’installation, l’intégrateur qui la déploie, et le fabricant des composants. La norme s’organise en quatre séries. La première pose les concepts et la terminologie. La deuxième couvre les politiques et le management, avec notamment un système de management de la cybersécurité, sorte de gouvernance dédiée à l’OT. La troisième traite le niveau système, avec l’analyse de risques et les exigences de sécurité. La quatrième s’adresse aux fabricants de composants, avec des exigences de développement sécurisé. Cette structure permet à chaque organisation, d’une petite station de traitement d’eau à une grande usine, d’adapter la démarche à sa taille et à son niveau de risque. Le pilier : zones et conduits Au cœur de l’IEC 62443 se trouve le modèle des zones et conduits. Le principe consiste à organiser le réseau industriel en zones, regroupant des équipements qui partagent les mêmes exigences de sécurité et

Cybersécurité industrielle (OT Security) : le guide complet Lire la suite »

NOC (Network Operations Center)

NOC (Network Operations Center) : Organisation 24/7

L’essentiel en bref : un NOC, ou centre des opérations réseau, est la tour de contrôle de votre infrastructure : une équipe qui surveille en continu, 24 heures sur 24 et 7 jours sur 7, la disponibilité et la performance de votre réseau et de vos systèmes, détecte les incidents et les résout avant qu’ils n’impactent votre activité. À ne pas confondre avec le SOC, qui traite la sécurité et les cyberattaques : le NOC vise la fiabilité, le SOC la protection. Organiser un NOC 24/7 suppose une équipe structurée par niveaux, des procédures documentées, des rotations couvrant nuits et week-ends, et des indicateurs de pilotage. Comme couvrir le 24/7 en interne exige plusieurs experts, la plupart des entreprises optent pour un NOC managé. Cet article détaille l’organisation d’un NOC, dans le contexte sénégalais. Une panne réseau à 3 heures du matin, un week-end, pendant que personne ne surveille: voilà le cauchemar de toute entreprise dont l’activité dépend de son informatique. Le temps que quelqu’un s’en aperçoive au petit matin, des heures de service ont été perdues. Le NOC existe précisément pour que cela n’arrive jamais: une vigie qui ne dort pas, détecte l’incident à l’instant où il survient, et le traite immédiatement. Ce guide explique ce qu’est un NOC, en quoi il diffère d’un SOC, comment s’organise son fonctionnement en continu, et comment décider entre le construire en interne ou l’externaliser. Le tout pensé pour un décideur, dans le contexte sénégalais. Qu’est-ce qu’un NOC Un NOC, ou centre des opérations réseau, est un centre de supervision centralisé où des équipes techniques surveillent, gèrent et maintiennent en continu l’infrastructure réseau et les systèmes informatiques d’une organisation. Son objectif est simple et vital: garantir la disponibilité et la performance optimales du réseau, 24 heures sur 24. Son rôle ne se limite pas à réagir aux pannes. Un bon NOC agit de manière proactive: il surveille en permanence l’état et les performances, détecte les signaux de dégradation et intervient pour prévenir les temps d’arrêt avant qu’ils ne surviennent. Il prend aussi en charge les mises à jour, les correctifs, la maintenance, la supervision des sauvegardes et la gestion des configurations. Deux bénéfices résument son intérêt. La continuité de service d’abord: un NOC opérationnel en continu garantit que chaque incident est détecté et traité immédiatement, ce qui minimise l’impact sur les utilisateurs et les clients. Pour une activité dépendante de la connectivité, chaque minute d’indisponibilité représente une perte. La vision centralisée ensuite: le NOC agrège les données de supervision de toute l’infrastructure dans une vue unique, ce qui élimine les silos et permet de corréler les événements pour un diagnostic plus rapide. Il est, en somme, la première ligne de défense contre les interruptions et les dégradations qui frappent directement l’activité. ➡️ Sauvegarde et restauration : Stratégies et tests NOC ou SOC : deux tours de contrôle, deux missions C’est la confusion la plus fréquente, et il faut la lever d’emblée. Le NOC et le SOC sont deux centres d’opérations qui fonctionnent tous deux en continu, mais leurs missions sont radicalement différentes. Le NOC se concentre sur la disponibilité, la performance et la fiabilité du réseau et des systèmes, afin de maintenir les services en fonctionnement et conformes aux engagements. C’est la tour de contrôle: il surveille le trafic, gère les pannes et assure la performance. Ses équipes sont des administrateurs réseau et des spécialistes de l’infrastructure, qui répondent aux interruptions et aux problèmes de disponibilité. Le SOC, ou centre des opérations de sécurité, se concentre sur la cybersécurité: détecter et traiter les menaces et les attaques. C’est le commissariat: il surveille les menaces, analyse les intrusions et protège la donnée. Ses équipes sont des analystes et ingénieurs en sécurité, qui répondent aux incidents cyber. En résumé, l’objectif du NOC est la fiabilité, celui du SOC est la sécurité. Loin de s’opposer, ils sont complémentaires, et les organisations matures les font collaborer par une escalade croisée: un opérateur NOC doit savoir reconnaître un signal faible de sécurité, comme une connexion d’administrateur à une heure inhabituelle, et le remonter au SOC ; réciproquement, le SOC doit prévenir le NOC avant de bloquer un accès critique pour l’activité. Ensemble, ils forment un dispositif cohérent de performance et de protection. L’organisation d’un NOC 24/7 Faire fonctionner un NOC en continu ne s’improvise pas. C’est une organisation structurée, autour de trois piliers: les personnes, les procédures et les indicateurs. Une structure par niveaux. Le traitement des incidents s’organise en niveaux successifs, avec escalade. Le niveau 1 regroupe les opérateurs de première ligne, qui surveillent les tableaux de bord et les alertes et traitent les incidents courants à l’aide de procédures. Le niveau 2 réunit des techniciens plus expérimentés, qui prennent en charge les incidents complexes que le niveau 1 n’a pu résoudre. Et le niveau 3 rassemble les experts, mobilisés sur les problèmes les plus pointus, en lien avec les fournisseurs si nécessaire. Des procédures documentées, les runbooks. C’est un facteur clé de maturité. Un opérateur de niveau 1 bien outillé, disposant de bonnes procédures écrites, résout à lui seul environ 80% des incidents sans avoir à escalader. L’investissement dans la documentation des incidents les plus fréquents est donc l’un des plus rentables: il accélère la résolution et allège les niveaux supérieurs. Un NOC efficace se reconnaît à la proportion d’incidents traités dès la première ligne. Des rotations couvrant le 24/7. Assurer une présence continue, y compris la nuit, les week-ends et les jours fériés, suppose une organisation en équipes qui se relaient par rotations. C’est l’aspect le plus exigeant, car couvrir tous les créneaux sans interruption demande un effectif suffisant. Une variante consiste à répartir la surveillance entre des équipes situées dans des fuseaux horaires différents, pour que chacune travaille en journée. Des indicateurs de pilotage. Un NOC se mesure. Les indicateurs clés incluent le temps moyen de résolution des incidents, le taux de disponibilité des services, la proportion d’incidents résolus dès le niveau 1, et le respect des engagements de service. Ces mesures guident

NOC (Network Operations Center) : Organisation 24/7 Lire la suite »

reseaux telecoms cible strategique cyberattaques

Réseaux télécoms : pourquoi ils deviennent la cible stratégique numéro un des cyberattaques

Les banques et les administrations n’étaient qu’un début. Selon un récent livre blanc de GSMA Intelligence, ce sont désormais les opérateurs de télécommunications qui figurent parmi les infrastructures les plus exposées aux cyberattaques. La raison est simple: les réseaux mobiles sont devenus le socle sur lequel repose toute la transformation numérique, celle des États comme des entreprises. Les attaquer, c’est menacer bien plus que des communications. Voici ce que dit ce constat, et ce qu’il implique concrètement pour les entreprises sénégalaises. Pourquoi les télécoms sont devenus une cible de choix Le raisonnement des cybercriminels a changé. Plutôt que de viser une organisation à la fois, ils s’attaquent au maillon dont tout le reste dépend. Or aujourd’hui, une multitude de services reposent directement sur la disponibilité et l’intégrité des réseaux télécoms: les communications bien sûr, mais aussi les services financiers via le mobile money, les objets connectés, les services cloud, les administrations numériques et les infrastructures critiques. Compromettre un opérateur, c’est donc frapper d’un seul coup un écosystème entier. La GSMA identifie plusieurs facteurs qui expliquent cette montée en exposition. Le déploiement de la 5G, la virtualisation des réseaux, le recours croissant au cloud et la multiplication des objets connectés élargissent considérablement la surface d’attaque. Les attaquants ciblent aussi de plus en plus les chaînes d’approvisionnement, les systèmes de gestion des réseaux et les plateformes d’authentification, capables de compromettre simultanément un très grand nombre de services. Le message central du livre blanc est un changement de regard: pour les opérateurs, la cybersécurité ne peut plus être vue comme une simple fonction informatique. Elle devient un enjeu stratégique de continuité des services et de souveraineté numérique. À mesure que les économies se numérisent, protéger les réseaux télécoms revient à protéger le fonctionnement même de sociétés désormais entièrement connectées. ➡️ Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour… Notre lecture : ce que cela change pour les entreprises au Sénégal Ce constat résonne particulièrement au Sénégal, où la dépendance aux réseaux télécoms est encore plus directe qu’ailleurs. Le mobile money y porte une part entière de l’activité économique, la 5G y est désormais déployée, et de plus en plus de services d’entreprise reposent sur la connectivité mobile. Autrement dit, ici comme dans le livre blanc de la GSMA, la sécurité du réseau télécom n’est pas l’affaire des seuls opérateurs: elle conditionne la continuité de milliers d’entreprises. Deux enseignements méritent d’être retenus par les décideurs. D’abord, la dépendance est un risque en soi. Une entreprise dont l’activité repose sur une connexion unique, pour ses paiements, son cloud ou ses communications, est vulnérable à toute perturbation de cette chaîne, qu’elle soit accidentelle ou malveillante. Prévoir une redondance de connectivité et des solutions de secours n’est plus un luxe. Ensuite, la surface d’attaque s’étend à mesure qu’on connecte. Chaque objet connecté, chaque service cloud, chaque nouvelle intégration élargit le périmètre à protéger. La 5G et l’internet des objets, riches en opportunités, imposent d’intégrer la sécurité dès la conception des projets, et non après. Il faut aussi souligner un point que le livre blanc met en avant et que nous partageons: la cybersécurité est devenue un enjeu de souveraineté et de continuité, pas une ligne technique parmi d’autres. Pour une entreprise, cela signifie hisser le sujet au niveau de la direction, cartographier ses dépendances vis-à-vis des réseaux et des services tiers, et bâtir sa propre résilience plutôt que de la déléguer entièrement à des acteurs sur lesquels elle n’a pas la main. Chez Gael Conseil, nous aidons les entreprises sénégalaises à réduire cette exposition: analyse des dépendances et des points de défaillance uniques, sécurisation des usages mobiles et cloud, redondance de connectivité, protection des projets 5G et objets connectés dès leur conception, et préparation à la réponse aux incidents. Face à des menaces qui visent désormais le socle de la connectivité, la meilleure protection reste d’anticiper. Votre activité dépend-elle d’un réseau ou d’un service dont la compromission vous paralyserait ? Échangeons sur votre exposition et votre résilience. 👉 Cybersécurité & Résilience, Gael Conseil

Réseaux télécoms : pourquoi ils deviennent la cible stratégique numéro un des cyberattaques Lire la suite »

Fortinet vs Palo Alto vs Cisco

Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ?

L’essentiel en bref : Fortinet, Palo Alto et Cisco figurent tous parmi les meilleurs fournisseurs de pare-feu nouvelle génération du marché. Il n’y a donc pas de vainqueur absolu, seulement le choix le mieux adapté à votre situation. En résumé : Palo Alto excelle sur la profondeur de la détection des menaces et convient aux environnements les plus exigeants en sécurité, au prix d’un budget plus élevé. Fortinet offre le meilleur rapport performance-prix, des licences groupées incluant le SD-WAN, et un coût total réduit, ce qui en fait un choix fréquent pour les entreprises soucieuses d’efficience. Cisco s’impose naturellement dans les réseaux déjà équipés Cisco, pour son intégration à l’écosystème. Le bon choix dépend de vos besoins, de votre budget, de votre existant et de vos compétences. Cet article vous aide à décider, dans le contexte sénégalais. Choisir son pare-feu est l’une des décisions les plus structurantes en matière de sécurité réseau. Sur le marché, trois noms reviennent systématiquement: Fortinet, Palo Alto Networks et Cisco. Face à des discours commerciaux qui promettent chacun la supériorité de leur solution, comment trancher objectivement? Ce guide compare les trois de façon neutre. Il rappelle ce qu’est un pare-feu nouvelle génération, présente honnêtement les forces distinctes de chaque éditeur, et propose un cadre pour choisir selon votre contexte. Le tout pensé pour un décideur, dans le contexte sénégalais. Ce qu’est un pare-feu nouvelle génération Avant de comparer, rappelons ce que ces trois éditeurs proposent tous: des pare-feu nouvelle génération, ou NGFW. Un tel pare-feu dépasse de loin le filtrage traditionnel par ports et protocoles. Il identifie le trafic par application, quelle que soit le port utilisé, ce qui permet par exemple d’autoriser une application légitime tout en bloquant une autre. Il connaît l’identité des utilisateurs et applique des règles selon les personnes et les groupes. Et il intègre en une seule plateforme la prévention d’intrusion, le déchiffrement du trafic chiffré, l’antivirus, le bac à sable pour analyser les fichiers suspects, le contrôle applicatif et le renseignement sur les menaces. En 2026, les meilleures solutions vont plus loin, en intégrant la détection assistée par intelligence artificielle, l’accès réseau Zero Trust natif et une segmentation fine. Les trois éditeurs comparés ici délivrent tous ce socle. La différence se joue ailleurs: dans la profondeur, l’efficience et l’adéquation à votre environnement. ➡️ Gestion des vulnérabilités : Processus et outils Les trois éditeurs sont tous des références Un point important à poser d’emblée: aucun de ces trois choix n’est un mauvais choix. Palo Alto et Fortinet figurent parmi les leaders reconnus du marché par les analystes, et Cisco parmi les visionnaires. Le signal le plus clair, résumé par les observateurs du secteur, est que Palo Alto se distingue par la profondeur, Fortinet par l’efficience, et que les autres se définissent par leur adéquation à votre environnement existant. Autrement dit, la question n’est pas « lequel est le meilleur », mais « lequel est le meilleur pour vous ». Voyons les forces distinctes de chacun. Palo Alto Networks : la profondeur de la sécurité Palo Alto Networks a inventé la catégorie du pare-feu conscient des applications, et sa gamme reste la référence en matière de profondeur d’inspection. Sa force est la détection avancée des menaces, portée par l’intelligence artificielle et l’apprentissage automatique, avec un renseignement sur les menaces à l’échelle de l’entreprise et une forte capacité d’intégration multicloud. Son moteur d’identification applicative et son écosystème de détection et de réponse en font l’outil de choix pour les environnements où la sécurité prime sur tout. Sa contrepartie est un coût total de possession plus élevé. Palo Alto se positionne sur le haut de gamme, ce qui le rend particulièrement pertinent pour les grandes organisations et les secteurs les plus exigeants en sécurité, capables de justifier cet investissement par la valeur de ce qu’ils protègent. En résumé, Palo Alto est le choix de la sécurité maximale et de la détection la plus fine, pour qui en a le besoin et le budget. Fortinet : l’efficience et le rapport performance-prix Fortinet, avec sa gamme FortiGate, se distingue par son efficience. Sa force réside dans un excellent coût par gigabit, une simplicité de déploiement et de gestion, et des licences groupées qui incluent des fonctions souvent facturées en supplément ailleurs, comme le SD-WAN et l’accès Zero Trust. Ses appliances s’appuient sur des puces spécialisées conçues sur mesure, qui offrent de hautes performances avec une bonne efficacité énergétique, le tout sur un système d’exploitation unifié. Le résultat est un coût total de possession généralement inférieur à performances équivalentes, et une consolidation de la sécurité et du réseau dans une même plateforme. Sa force en SD-WAN en fait aussi un choix adapté aux entreprises multi-sites. En résumé, Fortinet est le choix de l’efficience et de la maîtrise budgétaire, apprécié pour convergence entre réseau et sécurité, sans sacrifier la performance. ➡️ Phishing : Comment former vos équipes à le détecter Cisco : l’intégration à l’écosystème Cisco, avec sa gamme Secure Firewall, tire sa force de son intégration à l’écosystème Cisco. Pour une organisation déjà largement équipée en infrastructure réseau Cisco, commutateurs, routeurs, solutions d’accès et de détection, le pare-feu Cisco s’intègre naturellement dans un ensemble cohérent, avec une gestion et une visibilité unifiées à travers toute la pile. Cet avantage d’intégration est décisif dans les environnements Cisco, où l’homogénéité de l’écosystème simplifie l’exploitation, la corrélation des signaux de sécurité et le support. Pour ces organisations, choisir un pare-feu d’un autre éditeur reviendrait à fragmenter un ensemble jusque-là unifié. En résumé, Cisco est le choix de la cohérence, pour les entreprises dont le réseau repose déjà sur cet écosystème. Comment choisir : faire correspondre sa situation Le principe directeur est clair: ne cherchez pas un vainqueur universel, faites correspondre votre situation à un choix. Plusieurs critères guident la décision. Vos besoins de sécurité d’abord. Si la profondeur de détection et la prévention des menaces les plus avancées sont votre priorité absolue, Palo Alto a l’avantage. Pour un excellent niveau de sécurité au meilleur rapport coût-efficacité, Fortinet est

Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ? Lire la suite »

Réseau industriel

Réseau industriel : l’architecture OT/IT expliquée

L’essentiel en bref : dans une industrie, deux mondes coexistent. L’OT, ou technologie opérationnelle, pilote les machines : automates, capteurs, systèmes SCADA, avec pour priorité absolue la disponibilité et la sûreté. L’IT, ou technologie de l’information, gère les serveurs, l’ERP et le cloud. Longtemps isolés, ces deux réseaux doivent aujourd’hui échanger des données, ce qu’on appelle la convergence OT/IT. Pour structurer cette cohabitation sans créer de failles, la référence est le modèle de Purdue, qui organise le réseau en six niveaux, du capteur au cloud, séparés par une zone tampon appelée DMZ industrielle. Le principe fondateur : segmenter strictement, en n’autorisant aucun flux par défaut. Cet article explique cette architecture, dans le contexte industriel sénégalais. Dans une usine, un site minier, une centrale ou une station de traitement d’eau, deux univers informatiques cohabitent sans toujours se comprendre. D’un côté, les équipes d’automatisme pilotent des machines via des automates et des systèmes de supervision. De l’autre, la direction informatique gère des serveurs, des applications de gestion et le cloud. Ces deux mondes parlent des langages différents et obéissent à des priorités opposées, et pourtant l’industrie moderne exige qu’ils échangent des données en permanence. Ce guide explique comment structurer cette cohabitation: ce que sont l’OT et l’IT, comment le modèle de Purdue organise le réseau industriel, comment sécuriser la convergence des deux mondes, et quelle méthode suivre. Le tout traduit pour un décideur, dans le contexte sénégalais. OT et IT : deux mondes, deux logiques Comprendre l’architecture d’un réseau industriel commence par saisir la différence fondamentale entre ses deux composantes. L’OT, la technologie opérationnelle, regroupe les systèmes qui pilotent directement les processus physiques: capteurs, actionneurs, automates programmables, systèmes de supervision SCADA, systèmes de contrôle distribué. Historiquement, ces systèmes ont été conçus pour la sûreté et la disponibilité, rarement pour la cybersécurité. Ils communiquent selon des protocoles industriels spécifiques, comme Modbus, PROFINET ou EtherNet/IP, avec des contraintes de temps réel où chaque milliseconde compte. Leur priorité absolue est de ne jamais s’arrêter. L’IT, la technologie de l’information, regroupe les systèmes de gestion de l’entreprise: serveurs, ERP, messagerie, cloud. Elle communique via des protocoles standards et raisonne en disponibilité de service et en confidentialité des données. Ces deux mondes ont des priorités inversées. En IT, on protège d’abord la confidentialité des données. En OT, on protège d’abord la disponibilité et la sûreté, car un arrêt peut interrompre la production, mettre en danger des personnes ou endommager des équipements. Cette inversion est la clé pour comprendre pourquoi on ne sécurise pas un réseau industriel comme un réseau de bureau. ➡️ Installation d’un système de contrôle d’accès à Dakar : le guide Le modèle de Purdue : structurer le réseau en niveaux Pour organiser la cohabitation de ces deux mondes, la référence incontournable est le modèle de Purdue, formalisé par la norme ISA-95, aujourd’hui IEC 62264. Il divise le réseau industriel en six niveaux hiérarchiques, du contrôle direct des équipements jusqu’aux systèmes d’entreprise. Au plus bas, le niveau 0 rassemble les capteurs et les actionneurs, au contact du processus physique. Le niveau 1 est celui du contrôle direct, avec les automates programmables qui pilotent les équipements. Le niveau 2 est celui de la supervision, avec les systèmes SCADA et les interfaces homme-machine qui permettent aux opérateurs de surveiller le procédé. Et le niveau 3 gère les opérations à l’échelle du site, avec les systèmes d’exécution de la production et l’historisation des données. Ces quatre premiers niveaux, de 0 à 3, constituent le domaine de l’OT. Au-dessus, le niveau 4 abrite les systèmes d’entreprise comme l’ERP, et le niveau 5 le réseau d’entreprise et le cloud. Ces deux derniers niveaux relèvent de l’IT. Cette structuration en niveaux n’est pas qu’une commodité de description. Elle est le fondement de la sécurité: en organisant le réseau en couches distinctes, elle permet de cloisonner l’OT et l’IT et de contrôler précisément ce qui circule entre eux. La frontière stratégique : la DMZ industrielle Le point le plus sensible de cette architecture se situe à la frontière entre l’OT et l’IT, entre les niveaux 3 et 4. C’est là que se joue la sécurité de tout l’édifice, et c’est là qu’on place une zone démilitarisée industrielle, ou IDMZ. Cette zone tampon, physiquement et logiquement isolée des réseaux OT et IT, agit comme un sas contrôlé où les données peuvent être échangées de manière sécurisée. On y déploie des serveurs relais, des passerelles de données et des outils d’inspection du trafic, qui filtrent et analysent les communications entre les deux mondes, pour garantir que seul le trafic légitime passe. Un principe technique important y est appliqué: la rupture protocolaire. Le protocole industriel de l’OT ne traverse jamais directement vers l’IT. Les données transitent par la zone tampon, qui les relaie de façon contrôlée. Ainsi, un attaquant qui compromettrait un poste bureautique en IT ne peut pas atteindre directement les automates en OT. Sans cette zone, une attaque partie d’un simple email piégé pourrait progresser jusqu’à l’atelier. ➡️ Infrastructure 5G : Déploiement et opportunités Le fondement : segmenter, sans autoriser par défaut Au-delà de la frontière OT/IT, la segmentation est le principe qui structure toute l’architecture. La règle est claire: chaque niveau du modèle de Purdue constitue un segment réseau distinct, avec des règles de pare-feu explicites entre chaque segment. Et surtout, aucun flux n’est autorisé par défaut. On part d’un blocage total, et on n’ouvre que les communications strictement nécessaires et justifiées. Un principe en découle, essentiel: les automates ne doivent jamais initier de connexion sortante. Un automate parle quand on l’interroge, il ne va pas de lui-même chercher à joindre l’extérieur. Toute connexion sortante d’un automate est suspecte. Les pare-feu utilisés à ces frontières doivent être des pare-feu industriels, capables d’inspecter en profondeur les protocoles OT comme Modbus, PROFINET ou OPC UA, ce qu’un pare-feu classique ne sait pas faire. L’évolution moderne de cette logique est la micro-segmentation, inspirée du principe de Zero Trust. Elle va au-delà de la séparation par grandes zones pour appliquer des règles au niveau de

Réseau industriel : l’architecture OT/IT expliquée Lire la suite »

Projet de loi cybersécurité sénégalaises

Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour les entreprises

Un nouveau texte pourrait rehausser sensiblement les exigences de cybersécurité au Sénégal. À l’ouverture de sa session extraordinaire 2026-2027, l’Assemblée nationale a inscrit à son ordre du jour le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique. Encore en discussion, ce texte porté par le Gouvernement viserait à responsabiliser l’ensemble des acteurs, publics comme privés, face aux cybermenaces. Voici ce qu’il contient, et pourquoi les entreprises ont intérêt à s’y préparer dès maintenant. L’esprit du texte Le projet part d’un constat simple: la numérisation ouvre des opportunités, mais expose aussi l’administration, l’économie et la société à des risques allant du piratage à l’espionnage, en passant par la négligence humaine. Le Sénégal dispose déjà de plusieurs lois en la matière, mais le texte estime ce dispositif encore incomplet et entend le hisser aux meilleurs standards internationaux, en cohérence avec l’agenda Sénégal 2050. Il créerait un cadre global pour la sécurité des réseaux et systèmes d’information, avec deux régimes selon le degré de criticité, et prévoirait l’intervention d’une Autorité nationale de Cybersécurité. Des obligations nouvelles pour les exploitants C’est le volet qui concerne le plus directement les entreprises. Les exploitants de réseaux et systèmes d’information devraient identifier leurs risques, mettre en place des mesures techniques et organisationnelles, désigner un responsable de la sécurité des systèmes d’information, élaborer des plans de continuité et de reprise d’activité, et réaliser des audits réguliers ainsi que, lorsque c’est nécessaire, des dispositifs de supervision et de détection. Le texte irait plus loin sur plusieurs points concrets. Il imposerait de conserver les journaux de sécurité pendant au moins six mois, d’assurer la sauvegarde et le chiffrement des données sensibles, et de mener régulièrement des tests de résilience et des analyses de vulnérabilité. En cas d’incident significatif, une notification immédiate serait requise, et en cas de violation de données personnelles, l’information des personnes concernées et la notification à la Commission des données personnelles s’imposeraient. Les infrastructures critiques sous surveillance renforcée Une partie importante du projet vise les infrastructures d’information critiques, ces systèmes jugés stratégiques pour la Nation. Certains secteurs y seraient classés d’office, comme la défense, la sécurité publique, la justice ou les douanes, et un répertoire national, tenu secret, recenserait ces infrastructures selon leur rôle et la gravité potentielle d’un incident. Les exploitants concernés devraient bâtir un programme de cybersécurité dans les six mois suivant leur classement, et mettre en place, dans un délai d’un an, un centre des opérations de sécurité chargé de la surveillance en temps réel, du suivi des vulnérabilités et du pilotage des mesures correctives. Le texte prévoit aussi des CERT sectoriels, un CERT national, et un cadre national de coordination de la détection et de la réponse aux incidents. Les exploitants d’infrastructures critiques seraient par ailleurs soumis à un audit interne annuel et à un audit externe tous les trois ans. Localisation des données et agrément des prestataires Deux dispositions retiennent l’attention. D’une part, les données produites ou détenues par l’État et par ses partenaires privés en mission de service public devraient être hébergées et traitées sur le territoire national, sauf dérogation temporaire. D’autre part, les prestataires de cybersécurité, audit, réponse aux incidents, hébergement sécurisé, conseil, maintenance, devraient obtenir un agrément de l’Autorité nationale de Cybersécurité, avec des critères portant notamment sur la localisation des infrastructures et les moyens techniques. Les marchés publics de cybersécurité seraient réservés aux prestataires agréés. Des sanctions dissuasives Pour donner de la force à ces obligations, le projet prévoit des sanctions administratives et pénales. Les amendes administratives pourraient aller de un million à 800 millions de francs CFA selon la gravité, voire, dans les cas les plus lourds, de un à cinq pour cent du chiffre d’affaires. Des peines d’emprisonnement et des amendes sont également prévues pour certaines infractions, avant toute sanction administrative, une procédure contradictoire étant garantie. Notre lecture : ce que les entreprises doivent anticiper Il s’agit d’un projet de loi, encore soumis au débat parlementaire, et son contenu final pourra évoluer. Mais sa direction est claire, et les organisations avisées ont tout intérêt à s’y préparer sans attendre son adoption. Les entreprises susceptibles d’être classées comme infrastructures critiques, ou qui travaillent pour elles et pour l’État, sont les plus directement visées: banques, télécoms, énergie, santé, et leurs sous-traitants. Pour elles, plusieurs chantiers deviendraient incontournables, et le sont déjà en bonne pratique: désigner un responsable de la sécurité des systèmes d’information, formaliser un plan de continuité et un plan de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, et surtout disposer de sauvegardes chiffrées et régulièrement testées. La conservation des journaux, les audits périodiques et la question de la localisation des données complètent ce tableau. Notre conviction est simple: se conformer ne devrait pas être vécu comme une contrainte de dernière minute, mais comme une mise à niveau de sécurité que les meilleures organisations mènent déjà. Anticiper aujourd’hui, c’est éviter la précipitation et les sanctions demain, tout en renforçant réellement sa résilience. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’un dispositif de supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et accompagnement à la gouvernance de la sécurité. Si votre organisation pourrait être concernée, le bon moment pour faire le point est maintenant. Vous vous demandez si ce futur cadre vous concerne et comment vous y préparer ? Échangeons sur votre exposition et votre feuille de route. 👉 Cybersécurité & Résilience, Gael Conseil

Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour les entreprises Lire la suite »