Cybersécurité

L’essentiel en bref : un diagnostic cybersécurité est un état des lieux de votre posture de sécurité : où en êtes-vous vraiment ? Accessible et rapide, c’est la première étape logique, avant tout investissement. Il mesure votre maturité sur trois dimensions, technique, humaine et organisationnelle, identifie vos actifs critiques, votre exposition réelle aux menaces, vos forces et vos faiblesses, et surtout vos priorités d’action. Il se distingue de l’audit, plus formel et centré sur la conformité, qu’il précède souvent. Le principe clé : n’achetez pas d’outils avant de savoir ce qui vous manque. Au Sénégal, où la menace est documentée et où une nouvelle loi renforce les exigences, faire ce point est plus pertinent que jamais. Cet article explique ce qu’est un diagnostic cybersécurité et comment il vous aide à agir juste. Beaucoup d’entreprises investissent dans la cybersécurité sans savoir où elles en sont réellement. Elles achètent un antivirus, un pare-feu, parfois un outil coûteux, en espérant être protégées, sans avoir jamais fait le point. C’est comme installer une alarme sophistiquée sans savoir si les portes ferment. Le diagnostic cybersécurité répond à cette lacune: il établit un état des lieux honnête de votre sécurité, pour agir juste, au bon endroit, et dans le bon ordre. Ce guide explique ce qu’est un diagnostic cybersécurité, ce qu’il révèle, comment il se déroule, en quoi il diffère d’un audit, et pourquoi il est particulièrement pertinent au Sénégal. Le tout pensé pour un décideur. Qu’est-ce qu’un diagnostic cybersécurité Un diagnostic cybersécurité est une évaluation large et exploratoire de votre posture de sécurité: un état des lieux global de votre système d’information. Son but n’est pas de vérifier une conformité pointue, mais de répondre à une question simple et fondamentale: où en êtes-vous vraiment face aux risques cyber ? Pour cela, il mesure votre maturité en cybersécurité. Et un point est essentiel: la maturité ne se résume pas à la liste des outils installés. Une entreprise peut disposer d’un antivirus parfaitement à jour et n’avoir jamais testé la restauration de ses sauvegardes ni son plan de continuité, ce qui constitue un angle mort dangereux. La maturité traduit la capacité réelle d’une organisation à anticiper, détecter et réagir face aux menaces, de manière structurée. Le diagnostic évalue cette maturité sur trois dimensions complémentaires: la dimension technique, soit vos équipements, configurations et protections ; la dimension humaine, soit la sensibilisation et les pratiques de vos équipes ; et la dimension organisationnelle, soit vos processus, vos responsabilités et votre gouvernance. Cette approche à trois volets est ce qui distingue un vrai diagnostic d’un simple regard sur le matériel. ➡️​ Test d’intrusion pour entreprise au Sénégal : le Guide Ce que révèle un diagnostic Un diagnostic bien mené apporte plusieurs éclairages précieux. Il identifie vos actifs critiques: les données clients, les applications métiers, la messagerie, les systèmes les plus sensibles à protéger en priorité. Il mesure votre exposition réelle aux menaces: la probabilité d’une attaque réussie et ses impacts potentiels, financiers, juridiques et d’image. En outre, il évalue vos pratiques au regard des bonnes pratiques reconnues et vous positionne sur une échelle de maturité, ce qui donne un repère clair. Il révèle vos forces et vos faiblesses, y compris des angles morts jusque-là inconnus ou sous-estimés, car un avis extérieur voit ce que l’habitude masque. Et surtout, il priorise les actions à mener pour réduire rapidement le risque. C’est ce dernier point qui fait toute sa valeur. Le diagnostic n’est pas une fin en soi, c’est une aide à la décision: il transforme une inquiétude diffuse en un plan d’action clair et hiérarchisé, et permet de justifier les investissements de sécurité par des besoins réels plutôt que par l’intuition. Diagnostic ou audit : quelle différence La confusion est fréquente, et il est utile de la lever. Le diagnostic et l’audit sont complémentaires, mais différents. Le diagnostic est une approche large, exploratoire et accessible. Il vise une vue d’ensemble de votre maturité et de vos priorités, rapidement et sans mobiliser des ressources importantes. C’est la première étape naturelle, souvent réalisée en phase initiale ou après un incident. L’audit est une démarche plus formelle et approfondie, focalisée sur la conformité à des normes et réglementations précises, comme l’ISO 27001, et intégrant des vérifications techniques poussées. Il s’appuie souvent sur les conclusions d’un diagnostic pour cibler son périmètre. Autrement dit, le diagnostic vous dit où vous en êtes et par où commencer ; l’audit approfondit et vérifie en détail. Commencer par un diagnostic évite d’engager un audit lourd sans savoir où porter l’effort. ➡️​ Protection contre les cyberattaques au Sénégal : le guide pour se défendre Comment se déroule un diagnostic Un diagnostic suit une démarche structurée, mais légère. Il commence par une préparation: un inventaire de base de vos systèmes, combien de postes, combien de serveurs, quels services cloud, qui les administre, quels prestataires interviennent, quels incidents passés. Un conseil utile: distinguez ce qui est confirmé de ce qui reste à vérifier, et rassemblez les preuves disponibles, factures, contrats, rapports. Cela évite que le diagnostic repose uniquement sur la mémoire d’une personne, et donne immédiatement de la valeur à l’état des lieux. Il s’appuie ensuite sur des échanges avec la direction, le responsable informatique et les fonctions métiers clés, pour comprendre le contexte, les enjeux et les contraintes. L’évaluation s’organise autour de blocs vérifiables, qui couvrent l’essentiel du système d’information: les actifs et services critiques, les comptes et les habilitations, les postes et les mises à jour, les sauvegardes et leur restauration, la messagerie et les accès distants, et enfin les prestataires et la gestion des incidents. Cette structure garantit un état des lieux concret plutôt qu’une évaluation générale. Le diagnostic se conclut par une restitution claire: un positionnement de votre maturité, présenté de façon lisible, et des recommandations personnalisées et priorisées. L’objectif n’est pas de produire un document rassurant qui dit que tout va bien, mais un portrait honnête qui permet d’agir. Le principe d’or : diagnostiquer avant d’acheter Voici le message le plus important de cet article, celui

L’essentiel en bref : un test d’intrusion, ou pentest, consiste à simuler une véritable attaque contre votre système d’information, avec votre autorisation, pour découvrir vos failles avant que de vrais cybercriminels ne les exploitent. C’est le seul moyen de vérifier concrètement la solidité de vos défenses, là où un audit se contente de les examiner. Au Sénégal, cette démarche prend une dimension nouvelle: la loi n°25/2026 impose désormais aux infrastructures critiques des tests de résilience et des scans de vulnérabilité, et le secteur bancaire est soumis aux exigences de la BCEAO. Un point capital: réaliser un pentest sans autorisation formelle est illégal. Bien mené, avec un prestataire de confiance, le test d’intrusion est l’un des investissements de sécurité les plus rentables. Cet article vous explique tout, dans le contexte sénégalais. Vous avez installé un pare-feu, un antivirus, mis en place des mots de passe robustes. Mais tiennent-ils vraiment face à une attaque réelle? La seule façon de le savoir avec certitude n’est pas de le supposer, mais de le tester. C’est précisément le rôle du test d’intrusion: faire attaquer votre système, dans un cadre légal et maîtrisé, par des experts qui pensent comme des cybercriminels, pour révéler vos failles avant qu’elles ne soient exploitées. Ce guide explique ce qu’est un test d’intrusion, comment il se déroule, et pourquoi il devient incontournable pour les entreprises sénégalaises, à la fois face à la menace et face au nouveau cadre légal. Qu’est-ce qu’un test d’intrusion Un test d’intrusion, ou pentest, consiste à simuler une attaque réelle contre le système d’information, les applications ou les infrastructures d’une entreprise, afin de détecter les failles de sécurité et de mesurer sa résistance aux cybermenaces. Concrètement, un expert en sécurité offensive, un hacker éthique, reproduit les techniques d’un véritable attaquant, mais avec votre autorisation et dans un périmètre défini. C’est le meilleur moyen de vérifier concrètement l’efficacité de vos mesures de protection. Là où l’on peut croire son système sûr, le test d’intrusion apporte une preuve, en montrant ce qu’un attaquant pourrait réellement faire: jusqu’où il pourrait s’infiltrer, à quelles données sensibles il pourrait accéder, et sans être détecté ou non par vos équipes. Un point mérite d’être posé d’emblée, car il est fondamental et trop souvent ignoré. ➡️ Protection contre les cyberattaques au Sénégal : le guide pour se défendre Le point légal : pas de test sans autorisation Réaliser un test d’intrusion suppose une autorisation formelle. C’est ce qui distingue le hacker éthique, qui agit légalement avec l’accord du propriétaire du système, de celui qui agit sans autorisation: même animé de bonnes intentions, ce dernier commet un acte illégal. Au Sénégal, ce point est d’autant plus important que la loi n° 2008-11 sur la cybercriminalité réprime l’accès frauduleux aux systèmes. Un test d’intrusion doit donc toujours reposer sur un mandat écrit, définissant précisément le périmètre autorisé, les méthodes permises et les limites à ne pas franchir. C’est une garantie pour vous comme pour le prestataire. À noter aussi: la nouvelle loi n°25/2026 prévoit un agrément des prestataires de services de cybersécurité par l’Autorité nationale de Cybersécurité, ce qui renforcera l’exigence de recourir à des acteurs qualifiés et autorisés. Les différents types de tests d’intrusion Un test d’intrusion s’adapte à ce que l’on veut évaluer, selon deux dimensions. Selon le niveau d’information donné au testeur, on distingue trois approches. En boîte noire, le testeur ne dispose d’aucune information et se place dans la peau d’un attaquant externe partant de zéro. En boîte grise, il dispose d’un accès partiel, par exemple un compte utilisateur, ce qui simule un employé malveillant ou un poste compromis. Et en boîte blanche, il a accès à toutes les informations, ce qui permet une analyse exhaustive, idéale pour les systèmes critiques. Selon la cible, le test peut porter sur le périmètre externe, c’est-à-dire les actifs exposés sur Internet et les défenses comme le pare-feu, sur le réseau interne pour évaluer le risque venu de l’intérieur, sur une application web ou mobile, sur le wifi, ou encore prendre la forme d’une ingénierie sociale testant la vigilance des employés, voire d’une intrusion physique évaluant la sécurité des locaux. Le choix dépend de vos priorités et de votre surface d’exposition. ➡️ Cybersécurité : le Sénégal adopte sa loi sur les infrastructures critiques, ce qui change pour les entreprises Comment se déroule un test d’intrusion Un test d’intrusion suit une méthodologie rigoureuse, fondée sur des référentiels reconnus comme le PTES et l’OWASP. Elle se déroule en plusieurs phases. La reconnaissance d’abord: le testeur collecte des informations sur la cible, analyse l’infrastructure et repère les points d’entrée potentiels. L’identification des vulnérabilités ensuite, en cartographiant les failles présentes. L’exploitation, où le testeur tente réellement de pénétrer le système en exploitant ces failles, comme le ferait un attaquant. La post-exploitation enfin, phase décisive: une fois entré, jusqu’où peut-il aller? Peut-il se déplacer latéralement, accéder à des données sensibles, sans être détecté? Cette étape mesure l’impact réel d’une intrusion. L’ensemble se conclut par le livrable le plus important: un rapport détaillé qui classe chaque faille par niveau de criticité, fournit des preuves concrètes d’exploitation, et propose un plan de remédiation priorisé. Ce rapport doit être compréhensible autant par vos équipes techniques que par la direction. Une bonne prestation inclut souvent un test de vérification après correction, pour confirmer que les failles ont bien été comblées. Pentest, audit et scan : trois choses différentes Ces termes sont souvent confondus, à tort. Un scan de vulnérabilités est une détection automatisée qui liste les failles connues. Un audit de sécurité est une évaluation, souvent statique, des mesures et des configurations. Le test d’intrusion, lui, est une démarche active: il ne se contente pas de lister ou d’examiner, il attaque en conditions réelles pour prouver ce qui est réellement exploitable. Ces trois approches sont complémentaires. Le scan assure une surveillance continue, l’audit vérifie la conformité, et le pentest valide concrètement la résistance. Le test d’intrusion est ce qui transforme une liste théorique de risques en démonstration concrète. ➡️ Antivirus professionnel : Bien protéger

L’essentiel en bref : les cyberattaques au Sénégal ne sont plus une menace abstraite. En 2025 et 2026, des institutions publiques majeures ont été touchées, un rapport d’INTERPOL classe le pays parmi les plus exposés d’Afrique, et une nouvelle loi sur les infrastructures critiques vient d’être adoptée. Aucune organisation n’est à l’abri, mais se protéger est à la portée de toutes, sans budget colossal. La clé n’est pas d’empiler des outils, mais de suivre une démarche structurée: connaître ses risques, protéger en couches (sensibilisation, postes, accès, réseau, sauvegardes), surveiller, et savoir réagir. Le maillon le plus important reste humain. Cet article présente concrètement comment protéger votre entreprise, dans le contexte réel du Sénégal. Longtemps, beaucoup d’entreprises sénégalaises ont pensé que les cyberattaques concernaient les autres: les grandes banques, les multinationales, les pays lointains. Cette illusion est aujourd’hui dépassée. Les faits récents le montrent sans ambiguïté: la menace est ici, elle est réelle, et elle frappe sans distinction. Ce guide explique où en est la menace au Sénégal, ce qu’impose le nouveau cadre légal, et surtout comment protéger concrètement votre organisation. Sans jargon inutile, avec une démarche accessible à toutes les tailles d’entreprise. La menace est réelle, et elle est locale Il ne s’agit plus de statistiques abstraites. Sur la période récente, plusieurs institutions publiques sénégalaises ont été confrontées à des incidents affectant leurs systèmes. D’après la presse spécialisée, la Direction générale des impôts et des domaines a été visée par une attaque en octobre 2025, le Trésor public a signalé un incident en mai 2026, et la Cour des comptes a fait état d’un incident en juin 2026, sur fond de soupçons de cyberattaque. Quand des institutions de cette importance sont touchées, aucune entreprise ne peut se croire hors d’atteinte. Cette réalité s’inscrit dans une tendance continentale documentée. Un rapport d’INTERPOL publié en 2026 estime à au moins 5 milliards de dollars les pertes causées par la cybercriminalité en Afrique en 2025, et classe le Sénégal au quatrième rang des pays africains les plus exposés aux vulnérabilités détectées. Les escroqueries en ligne, le vol d’identifiants et la fraude financière y dominent, souvent amplifiés par l’intelligence artificielle. Le contexte local aggrave l’exposition. La forte pénétration du mobile money en fait une cible privilégiée, et les contraintes d’infrastructure, connectivité parfois limitée, électricité instable, systèmes anciens, compliquent la mise en place de défenses modernes. À quoi s’ajoute une sensibilisation encore insuffisante, notamment au niveau des dirigeants. ➡️​ Antivirus professionnel : Bien protéger les postes de son entreprise Un nouveau cadre légal qui rebat les cartes La protection contre les cyberattaques n’est plus seulement une bonne pratique: elle devient une obligation. Le Sénégal disposait déjà de la loi n° 2016-29 sur la protection des données personnelles, sous le contrôle de la Commission de protection des données personnelles, et de la loi n° 2008-11 sur la cybercriminalité. À ce socle s’ajoute désormais la loi n° 25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique, adoptée par l’Assemblée nationale en août 2026. Ce texte impose aux exploitants d’infrastructures critiques des obligations de sécurité précises, sous la supervision d’une Autorité nationale de Cybersécurité, et consacre la souveraineté des données sensibles. Pour les entreprises concernées, banques, télécoms, énergie, santé, industrie, et leurs partenaires, se protéger devient une exigence réglementaire assortie de sanctions. Anticiper cette mise en conformité est désormais un impératif. Se protéger : une démarche, pas un empilement d’outils Voici la bonne nouvelle: se protéger efficacement ne nécessite pas un budget colossal ni une armée d’ingénieurs. Cela suppose une démarche structurée, pas un empilement désordonné de logiciels. Cette démarche se résume en trois temps: évaluer ses risques, se protéger en couches, et surveiller pour réagir. Tout commence par une évaluation. On ne protège bien que ce qu’on connaît. Un audit ou un diagnostic identifie vos actifs les plus critiques, vos vulnérabilités et vos priorités. Cette étape évite de dépenser au mauvais endroit et concentre les efforts là où le risque est le plus élevé. ➡️ Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ? La défense en profondeur : protéger en couches Le principe fondamental de la protection est la défense en profondeur: superposer plusieurs couches, de sorte que si l’une cède, les autres tiennent. Aucune mesure unique ne suffit. Voici les couches essentielles. La sensibilisation des équipes. C’est la première ligne, et la plus importante, car la majorité des attaques visent l’humain. Former les collaborateurs à reconnaître un email de phishing, à gérer leurs mots de passe et à signaler un doute transforme le maillon faible en rempart. C’est souvent l’investissement le plus rentable. La protection des postes. Un antivirus nouvelle génération, idéalement doté de capacités de détection et de réponse, protège les ordinateurs et serveurs contre les menaces modernes que l’antivirus classique ne détecte plus. La sécurisation des accès. L’authentification multifacteur est l’une des mesures les plus efficaces qui soient: même un mot de passe volé ne suffit alors plus à entrer. Une bonne gestion des identités et des droits complète ce contrôle. La protection du réseau. Un pare-feu, le filtrage et la segmentation du réseau limitent les intrusions et empêchent une attaque de se propager d’un système à l’autre. La sauvegarde et le chiffrement. Des sauvegardes régulières, chiffrées et surtout testées, sont votre filet de sécurité ultime. En cas de rançongiciel, elles font la différence entre une reprise rapide et une catastrophe. Le chiffrement protège les données même en cas de vol. La gestion des vulnérabilités. Appliquer les correctifs et corriger les failles en continu ferme les portes que les attaquants cherchent à exploiter. Ces couches se complètent. Une entreprise bien protégée n’est pas celle qui a le plus d’outils, mais celle qui a couvert chaque maillon de la chaîne. Surveiller et savoir réagir Se protéger ne s’arrête pas à la prévention. Deux capacités complètent le dispositif. La surveillance d’abord. Détecter une attaque au plus tôt limite considérablement ses dégâts. Une supervision continue, via un centre des opérations de sécurité interne ou externalisé, permet de repérer les signaux

L’essentiel en bref : l’antivirus professionnel de 2026 n’a plus grand-chose à voir avec le logiciel qui scannait des fichiers. L’antivirus classique, fondé sur des signatures, ne détecte que les menaces connues, et les attaques modernes le contournent sans peine. La protection des postes a donc évolué en couches: l’antivirus nouvelle génération pour prévenir, l’EDR pour détecter et répondre aux attaques qui passent, le XDR pour élargir la vision, et le MDR pour confier le tout à des experts. Le point décisif, souvent oublié: un outil sans personne pour l’exploiter ne sert à rien. Pour une entreprise sans équipe sécurité, la protection managée n’est pas un luxe mais une condition d’efficacité. Et l’antivirus reste une brique parmi d’autres. Cet article vous aide à bien protéger vos postes, dans le contexte sénégalais. Quand on parle d’antivirus professionnel, beaucoup imaginent encore le logiciel d’il y a dix ans: quelques signatures mises à jour, une analyse hebdomadaire, et l’affaire était réglée. Ce temps est révolu. Les cybermenaces d’aujourd’hui, rançongiciels, attaques sans fichier, exploitation de failles inédites, contournent allègrement l’antivirus traditionnel. Choisir une protection efficace pour ses postes suppose donc de comprendre ce qui a changé. Ce guide explique pourquoi l’antivirus classique ne suffit plus, quel vocabulaire maîtriser, comment choisir sans se faire piéger, et pourquoi la question des personnes compte autant que celle de l’outil. Le tout pensé pour un décideur, dans le contexte sénégalais. Pourquoi l’antivirus classique ne suffit plus Commençons par le constat qui change tout. L’antivirus traditionnel fonctionne par signatures: il compare chaque fichier à une base de logiciels malveillants connus, et le bloque s’il correspond. Ce modèle a un défaut structurel: il ne détecte que ce qu’il connaît déjà. Une menace inédite passe au travers. Or les attaquants exploitent précisément cette faiblesse. Les attaques sans fichier n’installent aucun logiciel détectable. Les attaquants détournent des outils légitimes déjà présents sur les systèmes, ce qu’aucune signature ne bloque, puisque ces outils sont normaux. Les rançongiciels et les failles inédites évoluent plus vite que les bases de signatures. Résultat: aujourd’hui, la plupart des attaques contre les entreprises contournent l’antivirus traditionnel, souvent moins par sophistication que par volume et par ruse. Autrement dit, se reposer sur un antivirus classique en 2026 revient à verrouiller sa porte d’entrée en laissant les fenêtres ouvertes. La protection des postes a dû évoluer. ➡️​ Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ? Le nouveau vocabulaire : EPP, EDR, XDR, MDR Le marché s’est structuré en couches successives, et quatre sigles reviennent sans cesse. Les distinguer est indispensable avant de comparer la moindre offre. L’EPP, ou antivirus nouvelle génération, est la couche de prévention. C’est l’antivirus moderne: il détecte non seulement par signatures, mais aussi par heuristique, par analyse comportementale et par intelligence artificielle, ce qui lui permet de bloquer aussi des menaces inconnues. Il inclut généralement un pare-feu, un filtre web et une protection de la messagerie. C’est le vigile à l’entrée, qui bloque le gros des menaces. L’EDR, pour détection et réponse sur les postes, va plus loin. Il surveille en continu le comportement des machines, détecte les activités suspectes et les attaques avancées qui ont franchi la prévention, et permet de réagir en isolant un poste, en bloquant des fichiers, parfois en annulant les changements causés par une attaque. C’est la caméra de surveillance qui repère l’intrus une fois entré. L’EDR est aujourd’hui considéré comme le standard minimum pour toute entreprise traitant des données sensibles. Le XDR élargit encore le champ. Il étend la détection au-delà du poste, au réseau, au cloud, à la messagerie et aux identités, et corrèle ces signaux. Au lieu de trois alertes isolées, un email de phishing, une connexion suspecte et un téléchargement inhabituel deviennent une seule alerte contextualisée. Le MDR, enfin, n’est pas un outil mais un service managé. Un prestataire, souvent doté d’un centre de surveillance, exploite l’EDR à votre place: il détecte, analyse et répond pour vous. Il répond au manque d’experts en sécurité, un sujet sensible pour qui ne dispose pas d’équipe dédiée. Ces couches ne s’opposent pas, elles se superposent. La prévention bloque le bruit, la détection comportementale attrape ce qui passe. Beaucoup de solutions modernes combinent d’ailleurs antivirus nouvelle génération et EDR sur une même plateforme. L’insight décisif : un outil sans personne ne sert à rien Voici le point que les argumentaires commerciaux minimisent, et qui est pourtant le plus important. Acheter un EDR puissant ne protège pas si personne ne l’exploite. Ces solutions génèrent de nombreuses alertes, dont beaucoup de fausses, et demandent des analystes pour les trier, les affiner et réagir vite en cas d’attaque réelle. Un EDR sans opérateur, c’est une caméra qui filme dans le vide. C’est pourquoi l’écart entre un EDR seul et un MDR, qui ajoute des analystes humains, est plus important que tous les autres écarts réunis. Pour une entreprise qui ne dispose pas d’une équipe de sécurité, la protection managée n’est pas un luxe, mais la condition même de l’efficacité. La règle à retenir est simple: n’achetez jamais un outil de protection sans plan pour l’exploiter. Cet enseignement est particulièrement structurant, car il déplace la question du « quel logiciel acheter » vers « qui va le faire fonctionner ». ➡️​ Gestion des vulnérabilités : Processus et outils Comment choisir, sans se faire piéger Le choix d’une solution dépend de plusieurs critères. Le nombre et le type de terminaux à protéger, postes, serveurs, mobiles, et leur système d’exploitation. Le mode de travail, sur site ou à distance, et l’usage éventuel d’appareils personnels. La sensibilité des données manipulées. Le budget. Et, critère décisif, la présence ou non d’une expertise sécurité en interne, ainsi que votre environnement existant. Quelques repères pratiques. Privilégiez une solution cloud, qui se met à jour automatiquement, et intégrant l’EDR ou le XDR pour une vraie visibilité. Exigez une console de gestion et de reporting unifiée, ce qui distingue justement une solution professionnelle d’un produit grand public. Vérifiez la compatibilité avec l’ensemble de vos systèmes, car les terminaux non

L’essentiel en bref : la cybersécurité industrielle, ou OT security, protège les systèmes qui pilotent les processus physiques d’une industrie : automates, SCADA, systèmes de contrôle. Elle diffère radicalement de la cybersécurité classique, car sa priorité absolue est la disponibilité et la sûreté, pas la confidentialité : une attaque peut ici arrêter une production, endommager un équipement ou mettre des personnes en danger. La norme de référence est l’IEC 62443, seul standard international dédié à ces systèmes. Elle repose sur trois piliers : segmenter le réseau en zones et conduits, définir un niveau de sécurité cible par zone, et piloter une démarche continue fondée sur l’inventaire des actifs et l’analyse de risques. Au Sénégal, un projet de loi sur les infrastructures critiques rend cette discipline de plus en plus incontournable. Ce guide complet en pose les fondations. Quand on parle de cyberattaque, on pense vol de données ou rançongiciel bloquant des fichiers. Mais dans l’industrie, l’enjeu est d’une autre nature: une attaque peut ouvrir une vanne, arrêter une chaîne de production, dérégler un processus chimique ou empêcher un système de sécurité de se déclencher. Les conséquences ne sont plus seulement numériques, elles sont physiques, environnementales, parfois humaines. C’est le domaine de la cybersécurité industrielle, ou OT security. Ce guide complet pose les fondations de cette discipline: ce qu’elle est, en quoi elle diffère de l’informatique classique, quelles menaces elle affronte, et surtout comment la structurer autour de la norme de référence, l’IEC 62443. Le tout traduit pour un décideur, dans le contexte industriel sénégalais. Qu’est-ce que la cybersécurité OT, et pourquoi elle est différente L’OT, ou technologie opérationnelle, désigne les systèmes qui contrôlent les processus physiques industriels: automates programmables, systèmes de supervision SCADA, systèmes de contrôle distribué, capteurs et actionneurs. La cybersécurité OT vise à protéger ces systèmes contre les cybermenaces. Sa spécificité tient à une inversion des priorités par rapport à l’informatique de gestion. En sécurité informatique classique, on protège d’abord la confidentialité des données, puis leur intégrité, puis la disponibilité des services. En environnement OT, cet ordre est inversé: la disponibilité et la sûreté priment sur tout, car une interruption ou une manipulation peut avoir des conséquences physiques immédiates. On ne sécurise donc pas une usine comme un réseau de bureau. Un aspect mérite une attention particulière: l’articulation entre la sûreté fonctionnelle, qui protège les personnes et l’environnement, et la cybersécurité. Les systèmes instrumentés de sécurité, ceux qui déclenchent un arrêt d’urgence par exemple, sont des cibles critiques: leur compromission pourrait empêcher une protection vitale de fonctionner. Sécuriser l’OT, c’est donc aussi protéger la sûreté elle-même. ➡️ Gestion des vulnérabilités : Processus et outils Le paysage des menaces La cybersécurité industrielle n’est pas une crainte théorique. Plusieurs attaques marquantes ont démontré la réalité du danger. Stuxnet a visé des automates pour saboter un processus industriel. L’attaque de Colonial Pipeline a paralysé un oléoduc majeur par un rançongiciel. Des hôpitaux ont vu leurs systèmes de supervision bloqués. D’autres attaques ont directement ciblé des systèmes de sûreté. La tendance récente est plus inquiétante encore. Le ciblage d’automates industriels exposés sur Internet, souvent sans authentification, produit désormais des effets physiques réels: actions illégitimes sur des équipements, interruptions de chaînes de production, au-delà de la simple exfiltration de données. Les menaces se diversifient: rançongiciels visant les automates, espionnage économique, attaques d’acteurs étatiques, compromissions de la chaîne d’approvisionnement. Pour structurer la connaissance de ces attaques, les équipes s’appuient sur des référentiels comme MITRE ATT&CK adapté aux systèmes de contrôle industriel, qui catalogue les tactiques et techniques des attaquants. Pourquoi les systèmes OT sont vulnérables Plusieurs caractéristiques rendent l’OT intrinsèquement exposé. Les équipements ont une très longue durée de vie, souvent plusieurs décennies, et beaucoup ont été conçus avant que la cybersécurité ne devienne un enjeu. Les protocoles industriels, comme Modbus ou DNP3, ont été pensés pour la fiabilité et le déterminisme, pas pour la sécurité: ils n’intègrent généralement ni authentification ni chiffrement. Le patching est complexe, car on ne peut pas arrêter une production pour appliquer une mise à jour aussi facilement qu’un ordinateur. À ces fragilités héritées s’ajoute un facteur aggravant: la convergence entre l’OT et l’informatique de gestion. Les systèmes industriels, historiquement isolés, sont désormais connectés aux réseaux d’entreprise, au cloud et parfois à Internet, notamment via la télémaintenance. Cette interconnexion, porteuse de gains, élargit considérablement la surface d’attaque au-delà des périmètres OT traditionnels. ➡️ Phishing : Comment former vos équipes à le détecter La norme de référence : l’IEC 62443 Face à ces défis spécifiques, une norme s’est imposée comme la référence internationale: l’IEC 62443, développée par la Commission électrotechnique internationale avec l’ISA. Introduite en 2007 et enrichie depuis, elle est la seule norme qui adresse spécifiquement la cybersécurité des systèmes de contrôle industriel. Là où d’autres cadres, comme le NIST ou l’ISO 27001, restent génériques ou orientés organisation, l’IEC 62443 est conçue pour les contraintes du monde industriel: longévité des équipements, hétérogénéité, patching difficile, continuité opérationnelle. Son périmètre officiel est celui des IACS, les systèmes d’automatisation et de contrôle industriels, qui englobent tout l’ensemble matériel, logiciel et procédural pilotant des équipements industriels. Sa force est d’impliquer tous les acteurs de la chaîne: le propriétaire de l’installation, l’intégrateur qui la déploie, et le fabricant des composants. La norme s’organise en quatre séries. La première pose les concepts et la terminologie. La deuxième couvre les politiques et le management, avec notamment un système de management de la cybersécurité, sorte de gouvernance dédiée à l’OT. La troisième traite le niveau système, avec l’analyse de risques et les exigences de sécurité. La quatrième s’adresse aux fabricants de composants, avec des exigences de développement sécurisé. Cette structure permet à chaque organisation, d’une petite station de traitement d’eau à une grande usine, d’adapter la démarche à sa taille et à son niveau de risque. Le pilier : zones et conduits Au cœur de l’IEC 62443 se trouve le modèle des zones et conduits. Le principe consiste à organiser le réseau industriel en zones, regroupant des équipements qui partagent les mêmes exigences de sécurité et

L’essentiel en bref : Fortinet, Palo Alto et Cisco figurent tous parmi les meilleurs fournisseurs de pare-feu nouvelle génération du marché. Il n’y a donc pas de vainqueur absolu, seulement le choix le mieux adapté à votre situation. En résumé : Palo Alto excelle sur la profondeur de la détection des menaces et convient aux environnements les plus exigeants en sécurité, au prix d’un budget plus élevé. Fortinet offre le meilleur rapport performance-prix, des licences groupées incluant le SD-WAN, et un coût total réduit, ce qui en fait un choix fréquent pour les entreprises soucieuses d’efficience. Cisco s’impose naturellement dans les réseaux déjà équipés Cisco, pour son intégration à l’écosystème. Le bon choix dépend de vos besoins, de votre budget, de votre existant et de vos compétences. Cet article vous aide à décider, dans le contexte sénégalais. Choisir son pare-feu est l’une des décisions les plus structurantes en matière de sécurité réseau. Sur le marché, trois noms reviennent systématiquement: Fortinet, Palo Alto Networks et Cisco. Face à des discours commerciaux qui promettent chacun la supériorité de leur solution, comment trancher objectivement? Ce guide compare les trois de façon neutre. Il rappelle ce qu’est un pare-feu nouvelle génération, présente honnêtement les forces distinctes de chaque éditeur, et propose un cadre pour choisir selon votre contexte. Le tout pensé pour un décideur, dans le contexte sénégalais. Ce qu’est un pare-feu nouvelle génération Avant de comparer, rappelons ce que ces trois éditeurs proposent tous: des pare-feu nouvelle génération, ou NGFW. Un tel pare-feu dépasse de loin le filtrage traditionnel par ports et protocoles. Il identifie le trafic par application, quelle que soit le port utilisé, ce qui permet par exemple d’autoriser une application légitime tout en bloquant une autre. Il connaît l’identité des utilisateurs et applique des règles selon les personnes et les groupes. Et il intègre en une seule plateforme la prévention d’intrusion, le déchiffrement du trafic chiffré, l’antivirus, le bac à sable pour analyser les fichiers suspects, le contrôle applicatif et le renseignement sur les menaces. En 2026, les meilleures solutions vont plus loin, en intégrant la détection assistée par intelligence artificielle, l’accès réseau Zero Trust natif et une segmentation fine. Les trois éditeurs comparés ici délivrent tous ce socle. La différence se joue ailleurs: dans la profondeur, l’efficience et l’adéquation à votre environnement. ➡️ Gestion des vulnérabilités : Processus et outils Les trois éditeurs sont tous des références Un point important à poser d’emblée: aucun de ces trois choix n’est un mauvais choix. Palo Alto et Fortinet figurent parmi les leaders reconnus du marché par les analystes, et Cisco parmi les visionnaires. Le signal le plus clair, résumé par les observateurs du secteur, est que Palo Alto se distingue par la profondeur, Fortinet par l’efficience, et que les autres se définissent par leur adéquation à votre environnement existant. Autrement dit, la question n’est pas « lequel est le meilleur », mais « lequel est le meilleur pour vous ». Voyons les forces distinctes de chacun. Palo Alto Networks : la profondeur de la sécurité Palo Alto Networks a inventé la catégorie du pare-feu conscient des applications, et sa gamme reste la référence en matière de profondeur d’inspection. Sa force est la détection avancée des menaces, portée par l’intelligence artificielle et l’apprentissage automatique, avec un renseignement sur les menaces à l’échelle de l’entreprise et une forte capacité d’intégration multicloud. Son moteur d’identification applicative et son écosystème de détection et de réponse en font l’outil de choix pour les environnements où la sécurité prime sur tout. Sa contrepartie est un coût total de possession plus élevé. Palo Alto se positionne sur le haut de gamme, ce qui le rend particulièrement pertinent pour les grandes organisations et les secteurs les plus exigeants en sécurité, capables de justifier cet investissement par la valeur de ce qu’ils protègent. En résumé, Palo Alto est le choix de la sécurité maximale et de la détection la plus fine, pour qui en a le besoin et le budget. Fortinet : l’efficience et le rapport performance-prix Fortinet, avec sa gamme FortiGate, se distingue par son efficience. Sa force réside dans un excellent coût par gigabit, une simplicité de déploiement et de gestion, et des licences groupées qui incluent des fonctions souvent facturées en supplément ailleurs, comme le SD-WAN et l’accès Zero Trust. Ses appliances s’appuient sur des puces spécialisées conçues sur mesure, qui offrent de hautes performances avec une bonne efficacité énergétique, le tout sur un système d’exploitation unifié. Le résultat est un coût total de possession généralement inférieur à performances équivalentes, et une consolidation de la sécurité et du réseau dans une même plateforme. Sa force en SD-WAN en fait aussi un choix adapté aux entreprises multi-sites. En résumé, Fortinet est le choix de l’efficience et de la maîtrise budgétaire, apprécié pour convergence entre réseau et sécurité, sans sacrifier la performance. ➡️ Phishing : Comment former vos équipes à le détecter Cisco : l’intégration à l’écosystème Cisco, avec sa gamme Secure Firewall, tire sa force de son intégration à l’écosystème Cisco. Pour une organisation déjà largement équipée en infrastructure réseau Cisco, commutateurs, routeurs, solutions d’accès et de détection, le pare-feu Cisco s’intègre naturellement dans un ensemble cohérent, avec une gestion et une visibilité unifiées à travers toute la pile. Cet avantage d’intégration est décisif dans les environnements Cisco, où l’homogénéité de l’écosystème simplifie l’exploitation, la corrélation des signaux de sécurité et le support. Pour ces organisations, choisir un pare-feu d’un autre éditeur reviendrait à fragmenter un ensemble jusque-là unifié. En résumé, Cisco est le choix de la cohérence, pour les entreprises dont le réseau repose déjà sur cet écosystème. Comment choisir : faire correspondre sa situation Le principe directeur est clair: ne cherchez pas un vainqueur universel, faites correspondre votre situation à un choix. Plusieurs critères guident la décision. Vos besoins de sécurité d’abord. Si la profondeur de détection et la prévention des menaces les plus avancées sont votre priorité absolue, Palo Alto a l’avantage. Pour un excellent niveau de sécurité au meilleur rapport coût-efficacité, Fortinet est

L’essentiel en bref : la gestion des vulnérabilités est le processus continu qui consiste à identifier, prioriser et corriger les failles de sécurité de votre système d’information. Ce n’est ni un scan trimestriel ni un test d’intrusion annuel : l’environnement évolue trop vite pour des approches ponctuelles. Le cycle est clair : recenser ses actifs, détecter les failles, les prioriser selon le risque réel, corriger, vérifier, documenter, puis recommencer. Le vrai savoir-faire est la priorisation : toutes les failles ne se valent pas, et le score de gravité seul ne suffit pas ; ce qui compte, c’est la probabilité d’exploitation et l’impact sur votre activité. Les outils sont indispensables, mais ils ne valent que pilotés par une équipe qualifiée. Cet article détaille le processus et les outils, dans le contexte sénégalais. Chaque logiciel, chaque serveur, chaque équipement de votre système d’information comporte des failles potentielles. Chaque jour, de nouvelles vulnérabilités sont découvertes et publiées. Sans démarche organisée pour les repérer et les corriger, ces failles s’accumulent silencieusement, jusqu’à ce qu’un attaquant en exploite une. L’exemple classique: une entreprise dotée d’un bon pare-feu et d’un antivirus, mais avec un serveur laissé sans mise à jour pendant des mois, qui devient la porte d’entrée d’une attaque. La gestion des vulnérabilités est la réponse à ce risque. Ce guide explique en quoi elle consiste, quel processus suivre, comment prioriser, quels outils utiliser, et pourquoi l’humain reste décisif. Le tout traduit pour un décideur, dans le contexte sénégalais. Ce qu’est vraiment la gestion des vulnérabilités Commençons par une clarification essentielle. La gestion des vulnérabilités est un processus continu qui s’étend sur l’ensemble du cycle de vie, et qui réduit le risque de l’organisation en identifiant, en priorisant et en corrigeant de manière systématique les failles de sécurité, sur tous les types d’actifs. Le mot important est continu. Ce n’est pas un scan trimestriel, ni un test d’intrusion annuel. L’environnement change trop vite, et les nouvelles vulnérabilités apparaissent trop régulièrement, pour qu’une approche ponctuelle suffise. Une photographie prise une fois par an ne dit rien de ce qui a changé le lendemain. Il faut aussi distinguer trois notions souvent confondues. La détection ou l’analyse de vulnérabilités est une étape: elle identifie, classe et priorise les failles, et produit un rapport. La gestion des vulnérabilités est le processus plus large qui englobe cette détection, mais aussi la correction et le suivi. Et le patch, ou correctif, n’est qu’une partie de la remédiation. Enfin, la gestion des vulnérabilités et le test d’intrusion ne s’opposent pas: ils sont complémentaires. Le premier pilote le risque en continu, le second valide ponctuellement la sécurité par une simulation d’attaque. ➡️ Plan de réponse aux incidents : Template et méthodologie Le cycle de la gestion des vulnérabilités Pour être efficace, la démarche suit un cycle structuré et reproductible, généralement en six étapes. La découverte des actifs. On ne protège pas ce qu’on ne connaît pas: on ne protège pas un fantôme. La première étape est de recenser l’ensemble des équipements, serveurs, applications et services présents sur le réseau. Cet inventaire est le socle de tout le reste, car une faille sur un actif inconnu échappe à toute correction. La détection des vulnérabilités. On analyse en continu les systèmes pour identifier les failles connues, à l’aide d’outils d’analyse. L’objectif est une visibilité permanente, pas une vérification occasionnelle. La priorisation basée sur le risque. C’est le cœur du métier, développé plus bas. On classe les failles selon leur dangerosité réelle, pas selon leur seule gravité théorique. La remédiation. On corrige: application d’un correctif, changement de configuration, ou, quand un correctif immédiat est impossible, mise en place de mesures compensatoires ou isolement temporaire du système concerné. La vérification. On relance une analyse pour s’assurer que la correction a bien été prise en compte. Une faille qu’on croit corrigée mais qui ne l’est pas est un risque doublement dangereux. Le reporting. On documente tout: les failles, les actions, les délais. Cette documentation alimente l’amélioration continue et sert la conformité. Ce cycle se répète en continu. Il ne s’arrête jamais, car de nouvelles vulnérabilités apparaissent en permanence. Le vrai savoir-faire : prioriser selon le risque réel Voici l’étape qui sépare une gestion des vulnérabilités efficace d’une simple liste anxiogène. Les entreprises font face à un fardeau croissant de vulnérabilités: il est impossible de tout corriger en même temps. La question n’est donc pas de tout traiter, mais de traiter d’abord ce qui compte vraiment. Pour cela, il faut comprendre quelques repères. Une CVE est l’identifiant d’une faille précise, dans une liste de référence mondiale. Le CVSS est un score qui mesure la gravité théorique de cette faille. Mais le CVSS seul ne suffit plus, et c’est un point crucial. Il mesure une gravité potentielle, pas une probabilité d’exploitation réelle. C’est là qu’interviennent deux notions plus récentes. L’EPSS est un modèle qui estime la probabilité qu’une faille soit réellement exploitée dans un futur proche, en tenant compte du comportement observé des attaquants. Et la liste KEV, tenue par l’agence américaine CISA, recense les failles déjà activement exploitées dans la nature: celles-là sont à traiter en urgence absolue. Le principe à retenir est contre-intuitif mais fondamental: une faille de gravité « moyenne » mais activement exploitée est plus dangereuse qu’une faille « élevée » que personne n’exploite. Les recherches du secteur montrent d’ailleurs qu’une faible part des vulnérabilités concentre l’essentiel du risque réel. Les programmes qui se fient au seul score de gravité gaspillent donc leurs efforts. La bonne priorisation combine trois éléments: la gravité, la probabilité d’exploitation, et surtout le contexte métier. Une faille sur un serveur exposé à Internet et critique pour votre activité n’a pas la même urgence que la même faille sur un poste isolé de faible valeur. C’est cette lecture du risque, propre à votre organisation, qui doit guider l’ordre des corrections. ➡️ Phishing : Comment former vos équipes à le détecter Les pièges à éviter Plusieurs erreurs récurrentes ruinent les programmes de gestion des vulnérabilités. Les connaître aide à les éviter. Le

L’essentiel en bref : le phishing, ou hameçonnage, est un message frauduleux (email, SMS ou appel) conçu pour vous piéger : vous faire cliquer sur un lien, ouvrir une pièce jointe, livrer un mot de passe ou envoyer de l’argent. C’est la première menace pour les entreprises, car il vise le maillon le plus vulnérable : l’humain. Aucun pare-feu ne protège d’un collaborateur qui clique. Former ses équipes à détecter le phishing repose sur deux piliers complémentaires : la formation, qui enseigne les signaux d’alerte, et la simulation, qui teste les réactions réelles sans conséquence. La clé est la répétition, une pédagogie sans blâme, et le réflexe de signaler. Cet article vous donne les signes à enseigner et la méthode pour bâtir un programme efficace, adapté au contexte sénégalais. Une entreprise peut investir dans les meilleurs pare-feu et antivirus: il suffit qu’un collaborateur clique sur un lien frauduleux pour que tout s’effondre. C’est précisément ce que visent les cybercriminels avec le phishing, devenu leur arme favorite parce qu’elle contourne les protections techniques en s’attaquant directement aux personnes. La bonne nouvelle, c’est que cette faille humaine se corrige par la formation. Un collaborateur entraîné devient au contraire la meilleure défense de l’entreprise. Ce guide explique comment former vos équipes à détecter le phishing: les signaux à leur apprendre, les méthodes qui fonctionnent, et comment ancrer durablement les bons réflexes, dans le contexte sénégalais. Comprendre le phishing pour mieux le détecter Le phishing, ou hameçonnage, est un message frauduleux, envoyé par email, par SMS ou par appel vocal, conçu pour inciter son destinataire à agir contre son intérêt. Trois objectifs principaux le motivent: faire télécharger un logiciel malveillant comme un rançongiciel, faire révéler des informations sensibles comme des identifiants, des mots de passe ou des données bancaires, ou faire envoyer de l’argent au mauvais destinataire. Il prend plusieurs formes qu’il faut connaître. Le phishing par email est le plus courant. Le smishing passe par SMS, un canal particulièrement répandu. Le vishing utilise l’appel vocal. Le phishing ciblé, ou spear phishing, vise une personne précise avec un message sur mesure, souvent après une recherche préalable. Et l’arnaque au président, une forme de fraude par email, usurpe l’identité d’un dirigeant pour ordonner un virement urgent. Si le phishing est si répandu, c’est avant tout parce qu’il n’est pas évident à identifier. Les usurpations sont de plus en plus crédibles, réalistes et sophistiquées. D’où l’importance d’apprendre à repérer les signaux qui trahissent la supercherie. ➡️​ L’écosystème de la cybersécurité au Sénégal : Acteurs, cadre et enjeux Les signaux d’alerte à enseigner Le cœur de la formation, c’est apprendre à vos équipes à reconnaître les signes révélateurs d’une tentative d’hameçonnage. Voici les principaux à leur transmettre. L’urgence artificielle. C’est le signal numéro un. Un message qui crée un sentiment d’urgence, votre compte sera bloqué, agissez immédiatement, votre colis sera renvoyé, cherche à court-circuiter la réflexion. La précipitation est l’alliée de l’attaquant. L’expéditeur et le domaine douteux. Il faut apprendre à vérifier l’adresse réelle de l’expéditeur, pas seulement le nom affiché. Une adresse légèrement modifiée, un domaine qui ne correspond pas exactement à l’organisation prétendue, sont des indices majeurs. Les liens et pièces jointes inattendus. Un lien vers une page de connexion, une pièce jointe non sollicitée, un faux avis de livraison sont des pièges classiques. On enseigne à survoler un lien pour en révéler la vraie destination avant de cliquer, et à se méfier de toute pièce jointe inattendue. Les demandes inhabituelles. Toute demande de données sensibles, d’identifiants, de mot de passe ou de paiement doit éveiller la vigilance. Une organisation légitime ne demande jamais un mot de passe par email. Les fautes et les incohérences. Fautes d’orthographe, tournures maladroites, formule de politesse générique du type cher client, logo approximatif: autant de détails qui trahissent souvent une fraude, même si les attaques les plus soignées en comportent de moins en moins. Le principe à faire passer est simple: dans le doute, on ne clique pas, on vérifie, et on signale. Les deux piliers : former et simuler Une sensibilisation efficace repose sur deux approches complémentaires, qu’il ne faut pas opposer. La formation anti-phishing transmet les connaissances et les bons réflexes: comprendre ce qu’est le phishing, reconnaître les signaux, savoir comment réagir. Elle pose les bases, à travers des sessions, des modules interactifs et des exemples concrets. La simulation de phishing teste les réactions réelles. Elle consiste à envoyer aux collaborateurs de faux emails d’hameçonnage, réalistes mais inoffensifs, pour observer qui clique, qui signale, qui ignore. Contrairement à une vraie attaque, une simulation n’a aucune conséquence même en cas d’erreur. Le collaborateur qui clique est simplement redirigé vers une page pédagogique qui lui explique ce qu’il aurait dû repérer, et aucun mot de passe réel n’est enregistré. Les deux se renforcent: la formation enseigne, la simulation ancre l’apprentissage en le confrontant à une situation concrète. C’est cette expérience directe, sans risque, qui transforme un savoir théorique en réflexe. ➡️​ Plan de réponse aux incidents : Template et méthodologie La méthode d’une campagne de simulation Mener une campagne de simulation efficace suit une démarche structurée. On définit d’abord un objectif: tester la réaction face à des liens malveillants, à une collecte de données via un faux formulaire, ou à des pièces jointes infectées. Ensuite, on choisit un scénario adapté aux profils et aux pratiques réelles des collaborateurs, car un scénario crédible pour un comptable diffère de celui qui piégera un commercial. On cible les populations concernées, puis on envoie les emails simulés. On analyse enfin les comportements observés pour mesurer le niveau de vigilance et identifier les comportements à risque. Deux principes conditionnent le succès. La pédagogie d’abord: l’exercice doit garder une visée d’apprentissage et s’accompagner d’explications, pour que chacun comprenne son erreur et ne la reproduise pas. On ne cherche pas à piéger pour punir, mais à apprendre. La culpabilisation est contre-productive: elle pousse les collaborateurs à cacher leurs erreurs plutôt qu’à les signaler. La répétition ensuite. Une simulation isolée ne suffit pas. Il est recommandé

L’essentiel en bref : le Sénégal s’est doté d’un écosystème de cybersécurité structuré, articulé autour d’une stratégie nationale, d’un cadre juridique, d’autorités spécialisées et de structures de répression et de formation. La Stratégie Nationale de Cybersécurité de 2022, prolongée par le New Deal Technologique de 2025, en fixe le cap. Côté acteurs, la DCSSI pilote la sécurité technique de l’État, Sénégal Numérique SA opère ses infrastructures, la CDP protège les données personnelles, la Division spéciale de lutte contre la cybercriminalité enquête sur les infractions, et l’École Nationale de Cybersécurité à Vocation Régionale forme les compétences. Le secteur privé y joue un rôle croissant, dans une logique de partenariat public-privé. Cet article cartographie cet écosystème et ce qu’il implique pour les entreprises. À mesure que le Sénégal accélère sa transformation numérique, la cybersécurité est devenue un enjeu de souveraineté, de confiance et de développement. Face à des menaces qui progressent avec la numérisation, le pays a construit, ces dernières années, un dispositif national qui mêle stratégie, droit, institutions et coopération. Mais cet écosystème reste mal connu des entreprises, qui peinent parfois à identifier les acteurs et à comprendre leur propre place dans ce paysage. Ce guide cartographie l’écosystème sénégalais de la cybersécurité, de la stratégie nationale aux structures opérationnelles, et explique ce qu’il signifie concrètement pour une organisation. Le tout de façon neutre et factuelle, pensée pour un décideur. La stratégie et la gouvernance nationales Tout part d’une vision d’ensemble. La Stratégie Nationale de Cybersécurité, dite SNC 2022, définit les priorités du pays: renforcer le cadre juridique et institutionnel, protéger les infrastructures d’information critiques et les systèmes d’information de l’État, promouvoir une culture de la cybersécurité, développer les capacités nationales et coordonner les acteurs publics et privés. Cette stratégie s’inscrit dans une trajectoire plus large. Elle s’articule avec le New Deal Technologique, lancé en février 2025, qui introduit des exigences croissantes en matière de sécurité des systèmes publics et de souveraineté des données, dans le cadre de la vision Sénégal 2050. Elle se complète par la politique de sécurité des systèmes d’information de l’État, qui fixe les règles applicables aux administrations. Sur le plan opérationnel, la gestion des crises cyber repose sur un cadre national qui permet de mobiliser rapidement les acteurs publics et privés pour assurer l’investigation, la remédiation et le rétablissement des systèmes touchés. Cette approche traduit une conviction affichée par les autorités: face à la complexité des menaces, la réponse ne peut être que collective, dans une logique de partenariat public-privé. ➡️ Plan de réponse aux incidents : Template et méthodologie Le cadre juridique Une stratégie ne vaut que si elle s’appuie sur le droit. Le Sénégal dispose d’un socle législatif désormais ancien mais structurant, qu’il fait évoluer. Deux textes en constituent le cœur. La loi n° 2008-11 relative à la cybercriminalité réprime les infractions commises dans le cyberespace: accès frauduleux aux systèmes, atteintes aux données, escroqueries en ligne. La loi n° 2016-29 sur la protection des données à caractère personnel encadre la collecte et le traitement des données, sous le contrôle de la Commission de protection des données personnelles. Elle impose notamment la déclaration des traitements auprès de cette autorité et le respect des droits des personnes. À l’échelle régionale, le Sénégal s’inscrit dans des cadres communs: l’Acte additionnel de la CEDEAO, qui harmonise la protection des données en Afrique de l’Ouest, et la Convention de l’Union africaine sur la cybersécurité et la protection des données, dite Convention de Malabo. Cette dimension régionale traduit un des objectifs de la stratégie nationale: participer aux efforts collectifs face à des menaces sans frontières. Les autorités et structures opérationnelles Plusieurs institutions animent le dispositif, chacune avec un rôle distinct. La DCSSI, Direction générale du Chiffre et de la Sécurité des Systèmes d’Information, est l’autorité technique centrale. Elle porte la sécurité des systèmes de l’État, coordonne la réponse aux incidents et développe l’expertise nationale en matière de chiffre et de sécurité des systèmes d’information. Sénégal Numérique SA, anciennement Agence de l’Informatique de l’État jusqu’en 2022, opère les infrastructures numériques de l’État, dont le datacenter national de Diamniadio, et contribue à la protection des systèmes publics et des infrastructures d’information critiques. Elle joue un rôle central dans la souveraineté numérique du pays. La Commission de protection des données personnelles, la CDP, veille au respect de la législation sur les données personnelles. C’est l’interlocuteur des entreprises pour la déclaration de leurs traitements et la conformité à la loi. L’Autorité de régulation des télécommunications et des postes, l’ARTP, encadre le secteur des télécommunications, dont l’infrastructure conditionne largement la sécurité numérique du pays. Ce socle institutionnel couvre ainsi l’ensemble des dimensions de la cybersécurité, de la protection des systèmes de l’État à la régulation des données et des télécoms. ➡️Sécurité des infrastructures critiques : Bonnes pratiques 2026 La répression de la cybercriminalité Au volet préventif s’ajoute un volet répressif, assuré par les forces de sécurité. La Division spéciale de lutte contre la cybercriminalité, rattachée à la Police nationale et dotée d’une compétence nationale, mène les enquêtes sur les infractions liées au numérique. Elle traite notamment les escroqueries en ligne, les usurpations d’identité, le cyberharcèlement et les atteintes aux données. En 2026, elle a mis en service une plateforme nationale de signalement en ligne, développée avec l’appui de l’UNICEF, qui permet aux citoyens et aux entreprises de signaler de manière sécurisée et confidentielle les infractions cybercriminelles, avec une attention particulière à la protection des mineurs. La Gendarmerie nationale dispose également de capacités dédiées, via sa section de recherches, pour l’investigation des cyberinfractions. Ces structures constituent le recours des victimes, entreprises comprises, en cas d’attaque ou de fraude. La formation et le capital humain Un point revient dans tous les discours des autorités: l’humain demeure le maillon le plus vulnérable de la chaîne de cybersécurité. D’où l’importance accordée au développement des compétences. Le Sénégal s’est doté d’une École Nationale de Cybersécurité à Vocation Régionale, rattachée à la Présidence, qui forme les agents de l’État, les personnels du secteur public comme privé et les équipes de réponse

L’essentiel en bref : un plan de réponse aux incidents est un document, préparé et testé à l’avance, qui indique précisément qui fait quoi lorsqu’une cyberattaque survient. Sa méthodologie s’appuie sur des cadres reconnus : le NIST SP 800-61 en quatre phases (préparation ; détection et analyse ; endiguement, éradication et récupération ; activité post-incident) et le SANS en six phases. Au cœur du dispositif se trouve le CSIRT, l’équipe de réponse, qui ne comprend pas que des techniciens mais aussi des décideurs, le juridique et la communication. Un bon plan précise aussi qui notifier, y compris légalement : au Sénégal, la loi 2016-29 et la CDP encadrent la notification des fuites de données. Cet article donne la méthodologie et une structure de template prête à adapter. Un plan n’a de valeur que testé. Il est 2h du matin un mardi. Un écran affiche « vos fichiers sont chiffrés ». Le directeur informatique est réveillé par un appel. À cet instant précis, une seule chose fait la différence entre une crise maîtrisée et un désastre: l’existence d’un plan de réponse aux incidents, écrit et répété à l’avance. Sans lui, chacun improvise, les décisions se prennent dans la panique, et chaque minute perdue aggrave les dégâts. Ce guide explique la méthodologie de la réponse aux incidents, la composition de l’équipe, et fournit une structure de plan à adapter à votre organisation. Il l’ancre aussi dans le cadre légal sénégalais, souvent oublié. Le tout pensé pour un responsable ou un dirigeant. Qu’est-ce qu’un plan de réponse aux incidents Un plan de réponse aux incidents, souvent abrégé PIR, est un manuel documenté et testé qui indique à votre organisation exactement qui fait quoi lorsqu’un incident de cybersécurité survient. Il transforme une situation de chaos potentiel en une séquence d’actions prévues et coordonnées. Une distinction fondamentale le sous-tend, posée par le NIST comme par la norme ISO 27035. Un événement est toute observation sur un système ou un réseau, la plupart du temps anodine. Un incident est une violation, ou une menace imminente de violation, des politiques de sécurité. Tous les événements ne sont pas des incidents, et l’un des rôles du dispositif est justement de trier, à partir d’indicateurs de compromission, ces signes qu’un incident a pu se produire ou est en cours. L’objectif du plan est simple: répondre, identifier, contenir et récupérer aussi vite que possible, avec une interruption minimale de l’activité. ➡️ Sécurité des infrastructures critiques : Bonnes pratiques 2026 La méthodologie : le cycle de réponse aux incidents La plupart des plans suivent le même cadre général, développé à partir des modèles du NIST et du SANS. Le référentiel de référence est le NIST SP 800-61, complété par la norme ISO 27035. Le NIST décrit le cycle en quatre phases. La préparation, qui est à la fois la première phase et une activité continue: elle consiste à se doter des procédures, outils et compétences avant tout incident. La détection et l’analyse, où l’on identifie l’incident, on le qualifie et on en évalue la portée. L’endiguement, l’éradication et la récupération, où l’on contient la propagation, on élimine la menace, puis on restaure les systèmes. Et l’activité post-incident, où l’on tire les leçons pour renforcer le dispositif. Le SANS détaille le même cycle en six phases: préparation, identification, endiguement, éradication, récupération et leçons apprises. Les deux modèles se correspondent: le SANS distingue simplement plus finement l’identification et sépare les étapes d’endiguement, d’éradication et de récupération. Les cadres modernes, comme le cadre de cybersécurité du NIST, structurent d’ailleurs ces activités autour des fonctions répondre et récupérer, en insistant sur la gouvernance. Détaillons les étapes clés. La préparation. C’est le socle. On y constitue l’équipe, on rédige les procédures, on inventorie les systèmes et les outils, et on met en place les moyens de détection. Un plan ne s’élabore pas dans l’urgence: il se pense en amont. La détection et l’analyse. On repère l’incident, souvent via la supervision et un SOC, on confirme qu’il s’agit bien d’un incident, on en détermine la nature et l’étendue, et on le classe par gravité. Un principe essentiel: ne pas se lancer dans une chasse aveugle, mais analyser méthodiquement avant d’agir. L’endiguement. On limite la propagation pour éviter que l’incident ne s’étende, par exemple en isolant les systèmes touchés, tout en préservant les preuves. L’éradication. On élimine la cause: suppression du logiciel malveillant, fermeture de la faille exploitée, révocation des accès compromis. La récupération. On restaure les systèmes et les données à partir de sauvegardes saines, on vérifie leur intégrité, et on rétablit progressivement l’activité, en surveillant une éventuelle réapparition. Les leçons apprises. Après l’incident, on réalise une analyse à froid: que s’est-il passé, qu’a-t-on bien fait, que faut-il améliorer. Cette étape, souvent négligée, est ce qui empêche l’incident de se reproduire. L’équipe de réponse : le CSIRT Un plan ne vaut rien sans une équipe pour l’exécuter. Cette équipe est le CSIRT, l’équipe de réponse aux incidents de sécurité informatique. Elle est responsable de la maintenance et de l’exécution du plan. Une erreur fréquente est de la réduire aux seuls informaticiens. En réalité, un CSIRT efficace réunit plusieurs profils. Des experts techniques d’abord: administrateurs systèmes, spécialistes réseau et infrastructure, experts en sécurité et en applications. Des décideurs ensuite, dotés de l’autorité nécessaire pour prendre des mesures engageantes rapidement. Les propriétaires des données et des processus métiers, qui connaissent la valeur et la criticité de ce qui est touché. Les fonctions en contact avec la clientèle, comme les ventes et le service client. Et, selon les obligations réglementaires, les équipes juridiques et de communication. Chaque membre doit connaître précisément son rôle et les décisions qu’il est habilité à prendre. C’est cette clarté, définie à froid, qui permet d’agir vite et bien à chaud. ➡️ Test d’intrusion (Pentest) : Pourquoi et comment le réaliser ? Un template de plan de réponse aux incidents Voici la structure d’un plan de réponse aux incidents, à adapter à votre organisation. C’est le squelette du document. 1. Objet, périmètre et politique. Les