Cybersécurité

L’essentiel en bref : la gestion des vulnérabilités est le processus continu qui consiste à identifier, prioriser et corriger les failles de sécurité de votre système d’information. Ce n’est ni un scan trimestriel ni un test d’intrusion annuel : l’environnement évolue trop vite pour des approches ponctuelles. Le cycle est clair : recenser ses actifs, détecter les failles, les prioriser selon le risque réel, corriger, vérifier, documenter, puis recommencer. Le vrai savoir-faire est la priorisation : toutes les failles ne se valent pas, et le score de gravité seul ne suffit pas ; ce qui compte, c’est la probabilité d’exploitation et l’impact sur votre activité. Les outils sont indispensables, mais ils ne valent que pilotés par une équipe qualifiée. Cet article détaille le processus et les outils, dans le contexte sénégalais. Chaque logiciel, chaque serveur, chaque équipement de votre système d’information comporte des failles potentielles. Chaque jour, de nouvelles vulnérabilités sont découvertes et publiées. Sans démarche organisée pour les repérer et les corriger, ces failles s’accumulent silencieusement, jusqu’à ce qu’un attaquant en exploite une. L’exemple classique: une entreprise dotée d’un bon pare-feu et d’un antivirus, mais avec un serveur laissé sans mise à jour pendant des mois, qui devient la porte d’entrée d’une attaque. La gestion des vulnérabilités est la réponse à ce risque. Ce guide explique en quoi elle consiste, quel processus suivre, comment prioriser, quels outils utiliser, et pourquoi l’humain reste décisif. Le tout traduit pour un décideur, dans le contexte sénégalais. Ce qu’est vraiment la gestion des vulnérabilités Commençons par une clarification essentielle. La gestion des vulnérabilités est un processus continu qui s’étend sur l’ensemble du cycle de vie, et qui réduit le risque de l’organisation en identifiant, en priorisant et en corrigeant de manière systématique les failles de sécurité, sur tous les types d’actifs. Le mot important est continu. Ce n’est pas un scan trimestriel, ni un test d’intrusion annuel. L’environnement change trop vite, et les nouvelles vulnérabilités apparaissent trop régulièrement, pour qu’une approche ponctuelle suffise. Une photographie prise une fois par an ne dit rien de ce qui a changé le lendemain. Il faut aussi distinguer trois notions souvent confondues. La détection ou l’analyse de vulnérabilités est une étape: elle identifie, classe et priorise les failles, et produit un rapport. La gestion des vulnérabilités est le processus plus large qui englobe cette détection, mais aussi la correction et le suivi. Et le patch, ou correctif, n’est qu’une partie de la remédiation. Enfin, la gestion des vulnérabilités et le test d’intrusion ne s’opposent pas: ils sont complémentaires. Le premier pilote le risque en continu, le second valide ponctuellement la sécurité par une simulation d’attaque. ➡️ Plan de réponse aux incidents : Template et méthodologie Le cycle de la gestion des vulnérabilités Pour être efficace, la démarche suit un cycle structuré et reproductible, généralement en six étapes. La découverte des actifs. On ne protège pas ce qu’on ne connaît pas: on ne protège pas un fantôme. La première étape est de recenser l’ensemble des équipements, serveurs, applications et services présents sur le réseau. Cet inventaire est le socle de tout le reste, car une faille sur un actif inconnu échappe à toute correction. La détection des vulnérabilités. On analyse en continu les systèmes pour identifier les failles connues, à l’aide d’outils d’analyse. L’objectif est une visibilité permanente, pas une vérification occasionnelle. La priorisation basée sur le risque. C’est le cœur du métier, développé plus bas. On classe les failles selon leur dangerosité réelle, pas selon leur seule gravité théorique. La remédiation. On corrige: application d’un correctif, changement de configuration, ou, quand un correctif immédiat est impossible, mise en place de mesures compensatoires ou isolement temporaire du système concerné. La vérification. On relance une analyse pour s’assurer que la correction a bien été prise en compte. Une faille qu’on croit corrigée mais qui ne l’est pas est un risque doublement dangereux. Le reporting. On documente tout: les failles, les actions, les délais. Cette documentation alimente l’amélioration continue et sert la conformité. Ce cycle se répète en continu. Il ne s’arrête jamais, car de nouvelles vulnérabilités apparaissent en permanence. Le vrai savoir-faire : prioriser selon le risque réel Voici l’étape qui sépare une gestion des vulnérabilités efficace d’une simple liste anxiogène. Les entreprises font face à un fardeau croissant de vulnérabilités: il est impossible de tout corriger en même temps. La question n’est donc pas de tout traiter, mais de traiter d’abord ce qui compte vraiment. Pour cela, il faut comprendre quelques repères. Une CVE est l’identifiant d’une faille précise, dans une liste de référence mondiale. Le CVSS est un score qui mesure la gravité théorique de cette faille. Mais le CVSS seul ne suffit plus, et c’est un point crucial. Il mesure une gravité potentielle, pas une probabilité d’exploitation réelle. C’est là qu’interviennent deux notions plus récentes. L’EPSS est un modèle qui estime la probabilité qu’une faille soit réellement exploitée dans un futur proche, en tenant compte du comportement observé des attaquants. Et la liste KEV, tenue par l’agence américaine CISA, recense les failles déjà activement exploitées dans la nature: celles-là sont à traiter en urgence absolue. Le principe à retenir est contre-intuitif mais fondamental: une faille de gravité « moyenne » mais activement exploitée est plus dangereuse qu’une faille « élevée » que personne n’exploite. Les recherches du secteur montrent d’ailleurs qu’une faible part des vulnérabilités concentre l’essentiel du risque réel. Les programmes qui se fient au seul score de gravité gaspillent donc leurs efforts. La bonne priorisation combine trois éléments: la gravité, la probabilité d’exploitation, et surtout le contexte métier. Une faille sur un serveur exposé à Internet et critique pour votre activité n’a pas la même urgence que la même faille sur un poste isolé de faible valeur. C’est cette lecture du risque, propre à votre organisation, qui doit guider l’ordre des corrections. ➡️ Phishing : Comment former vos équipes à le détecter Les pièges à éviter Plusieurs erreurs récurrentes ruinent les programmes de gestion des vulnérabilités. Les connaître aide à les éviter. Le

L’essentiel en bref : le phishing, ou hameçonnage, est un message frauduleux (email, SMS ou appel) conçu pour vous piéger : vous faire cliquer sur un lien, ouvrir une pièce jointe, livrer un mot de passe ou envoyer de l’argent. C’est la première menace pour les entreprises, car il vise le maillon le plus vulnérable : l’humain. Aucun pare-feu ne protège d’un collaborateur qui clique. Former ses équipes à détecter le phishing repose sur deux piliers complémentaires : la formation, qui enseigne les signaux d’alerte, et la simulation, qui teste les réactions réelles sans conséquence. La clé est la répétition, une pédagogie sans blâme, et le réflexe de signaler. Cet article vous donne les signes à enseigner et la méthode pour bâtir un programme efficace, adapté au contexte sénégalais. Une entreprise peut investir dans les meilleurs pare-feu et antivirus: il suffit qu’un collaborateur clique sur un lien frauduleux pour que tout s’effondre. C’est précisément ce que visent les cybercriminels avec le phishing, devenu leur arme favorite parce qu’elle contourne les protections techniques en s’attaquant directement aux personnes. La bonne nouvelle, c’est que cette faille humaine se corrige par la formation. Un collaborateur entraîné devient au contraire la meilleure défense de l’entreprise. Ce guide explique comment former vos équipes à détecter le phishing: les signaux à leur apprendre, les méthodes qui fonctionnent, et comment ancrer durablement les bons réflexes, dans le contexte sénégalais. Comprendre le phishing pour mieux le détecter Le phishing, ou hameçonnage, est un message frauduleux, envoyé par email, par SMS ou par appel vocal, conçu pour inciter son destinataire à agir contre son intérêt. Trois objectifs principaux le motivent: faire télécharger un logiciel malveillant comme un rançongiciel, faire révéler des informations sensibles comme des identifiants, des mots de passe ou des données bancaires, ou faire envoyer de l’argent au mauvais destinataire. Il prend plusieurs formes qu’il faut connaître. Le phishing par email est le plus courant. Le smishing passe par SMS, un canal particulièrement répandu. Le vishing utilise l’appel vocal. Le phishing ciblé, ou spear phishing, vise une personne précise avec un message sur mesure, souvent après une recherche préalable. Et l’arnaque au président, une forme de fraude par email, usurpe l’identité d’un dirigeant pour ordonner un virement urgent. Si le phishing est si répandu, c’est avant tout parce qu’il n’est pas évident à identifier. Les usurpations sont de plus en plus crédibles, réalistes et sophistiquées. D’où l’importance d’apprendre à repérer les signaux qui trahissent la supercherie. ➡️​ L’écosystème de la cybersécurité au Sénégal : Acteurs, cadre et enjeux Les signaux d’alerte à enseigner Le cœur de la formation, c’est apprendre à vos équipes à reconnaître les signes révélateurs d’une tentative d’hameçonnage. Voici les principaux à leur transmettre. L’urgence artificielle. C’est le signal numéro un. Un message qui crée un sentiment d’urgence, votre compte sera bloqué, agissez immédiatement, votre colis sera renvoyé, cherche à court-circuiter la réflexion. La précipitation est l’alliée de l’attaquant. L’expéditeur et le domaine douteux. Il faut apprendre à vérifier l’adresse réelle de l’expéditeur, pas seulement le nom affiché. Une adresse légèrement modifiée, un domaine qui ne correspond pas exactement à l’organisation prétendue, sont des indices majeurs. Les liens et pièces jointes inattendus. Un lien vers une page de connexion, une pièce jointe non sollicitée, un faux avis de livraison sont des pièges classiques. On enseigne à survoler un lien pour en révéler la vraie destination avant de cliquer, et à se méfier de toute pièce jointe inattendue. Les demandes inhabituelles. Toute demande de données sensibles, d’identifiants, de mot de passe ou de paiement doit éveiller la vigilance. Une organisation légitime ne demande jamais un mot de passe par email. Les fautes et les incohérences. Fautes d’orthographe, tournures maladroites, formule de politesse générique du type cher client, logo approximatif: autant de détails qui trahissent souvent une fraude, même si les attaques les plus soignées en comportent de moins en moins. Le principe à faire passer est simple: dans le doute, on ne clique pas, on vérifie, et on signale. Les deux piliers : former et simuler Une sensibilisation efficace repose sur deux approches complémentaires, qu’il ne faut pas opposer. La formation anti-phishing transmet les connaissances et les bons réflexes: comprendre ce qu’est le phishing, reconnaître les signaux, savoir comment réagir. Elle pose les bases, à travers des sessions, des modules interactifs et des exemples concrets. La simulation de phishing teste les réactions réelles. Elle consiste à envoyer aux collaborateurs de faux emails d’hameçonnage, réalistes mais inoffensifs, pour observer qui clique, qui signale, qui ignore. Contrairement à une vraie attaque, une simulation n’a aucune conséquence même en cas d’erreur. Le collaborateur qui clique est simplement redirigé vers une page pédagogique qui lui explique ce qu’il aurait dû repérer, et aucun mot de passe réel n’est enregistré. Les deux se renforcent: la formation enseigne, la simulation ancre l’apprentissage en le confrontant à une situation concrète. C’est cette expérience directe, sans risque, qui transforme un savoir théorique en réflexe. ➡️​ Plan de réponse aux incidents : Template et méthodologie La méthode d’une campagne de simulation Mener une campagne de simulation efficace suit une démarche structurée. On définit d’abord un objectif: tester la réaction face à des liens malveillants, à une collecte de données via un faux formulaire, ou à des pièces jointes infectées. Ensuite, on choisit un scénario adapté aux profils et aux pratiques réelles des collaborateurs, car un scénario crédible pour un comptable diffère de celui qui piégera un commercial. On cible les populations concernées, puis on envoie les emails simulés. On analyse enfin les comportements observés pour mesurer le niveau de vigilance et identifier les comportements à risque. Deux principes conditionnent le succès. La pédagogie d’abord: l’exercice doit garder une visée d’apprentissage et s’accompagner d’explications, pour que chacun comprenne son erreur et ne la reproduise pas. On ne cherche pas à piéger pour punir, mais à apprendre. La culpabilisation est contre-productive: elle pousse les collaborateurs à cacher leurs erreurs plutôt qu’à les signaler. La répétition ensuite. Une simulation isolée ne suffit pas. Il est recommandé

L’essentiel en bref : le Sénégal s’est doté d’un écosystème de cybersécurité structuré, articulé autour d’une stratégie nationale, d’un cadre juridique, d’autorités spécialisées et de structures de répression et de formation. La Stratégie Nationale de Cybersécurité de 2022, prolongée par le New Deal Technologique de 2025, en fixe le cap. Côté acteurs, la DCSSI pilote la sécurité technique de l’État, Sénégal Numérique SA opère ses infrastructures, la CDP protège les données personnelles, la Division spéciale de lutte contre la cybercriminalité enquête sur les infractions, et l’École Nationale de Cybersécurité à Vocation Régionale forme les compétences. Le secteur privé y joue un rôle croissant, dans une logique de partenariat public-privé. Cet article cartographie cet écosystème et ce qu’il implique pour les entreprises. À mesure que le Sénégal accélère sa transformation numérique, la cybersécurité est devenue un enjeu de souveraineté, de confiance et de développement. Face à des menaces qui progressent avec la numérisation, le pays a construit, ces dernières années, un dispositif national qui mêle stratégie, droit, institutions et coopération. Mais cet écosystème reste mal connu des entreprises, qui peinent parfois à identifier les acteurs et à comprendre leur propre place dans ce paysage. Ce guide cartographie l’écosystème sénégalais de la cybersécurité, de la stratégie nationale aux structures opérationnelles, et explique ce qu’il signifie concrètement pour une organisation. Le tout de façon neutre et factuelle, pensée pour un décideur. La stratégie et la gouvernance nationales Tout part d’une vision d’ensemble. La Stratégie Nationale de Cybersécurité, dite SNC 2022, définit les priorités du pays: renforcer le cadre juridique et institutionnel, protéger les infrastructures d’information critiques et les systèmes d’information de l’État, promouvoir une culture de la cybersécurité, développer les capacités nationales et coordonner les acteurs publics et privés. Cette stratégie s’inscrit dans une trajectoire plus large. Elle s’articule avec le New Deal Technologique, lancé en février 2025, qui introduit des exigences croissantes en matière de sécurité des systèmes publics et de souveraineté des données, dans le cadre de la vision Sénégal 2050. Elle se complète par la politique de sécurité des systèmes d’information de l’État, qui fixe les règles applicables aux administrations. Sur le plan opérationnel, la gestion des crises cyber repose sur un cadre national qui permet de mobiliser rapidement les acteurs publics et privés pour assurer l’investigation, la remédiation et le rétablissement des systèmes touchés. Cette approche traduit une conviction affichée par les autorités: face à la complexité des menaces, la réponse ne peut être que collective, dans une logique de partenariat public-privé. ➡️ Plan de réponse aux incidents : Template et méthodologie Le cadre juridique Une stratégie ne vaut que si elle s’appuie sur le droit. Le Sénégal dispose d’un socle législatif désormais ancien mais structurant, qu’il fait évoluer. Deux textes en constituent le cœur. La loi n° 2008-11 relative à la cybercriminalité réprime les infractions commises dans le cyberespace: accès frauduleux aux systèmes, atteintes aux données, escroqueries en ligne. La loi n° 2016-29 sur la protection des données à caractère personnel encadre la collecte et le traitement des données, sous le contrôle de la Commission de protection des données personnelles. Elle impose notamment la déclaration des traitements auprès de cette autorité et le respect des droits des personnes. À l’échelle régionale, le Sénégal s’inscrit dans des cadres communs: l’Acte additionnel de la CEDEAO, qui harmonise la protection des données en Afrique de l’Ouest, et la Convention de l’Union africaine sur la cybersécurité et la protection des données, dite Convention de Malabo. Cette dimension régionale traduit un des objectifs de la stratégie nationale: participer aux efforts collectifs face à des menaces sans frontières. Les autorités et structures opérationnelles Plusieurs institutions animent le dispositif, chacune avec un rôle distinct. La DCSSI, Direction générale du Chiffre et de la Sécurité des Systèmes d’Information, est l’autorité technique centrale. Elle porte la sécurité des systèmes de l’État, coordonne la réponse aux incidents et développe l’expertise nationale en matière de chiffre et de sécurité des systèmes d’information. Sénégal Numérique SA, anciennement Agence de l’Informatique de l’État jusqu’en 2022, opère les infrastructures numériques de l’État, dont le datacenter national de Diamniadio, et contribue à la protection des systèmes publics et des infrastructures d’information critiques. Elle joue un rôle central dans la souveraineté numérique du pays. La Commission de protection des données personnelles, la CDP, veille au respect de la législation sur les données personnelles. C’est l’interlocuteur des entreprises pour la déclaration de leurs traitements et la conformité à la loi. L’Autorité de régulation des télécommunications et des postes, l’ARTP, encadre le secteur des télécommunications, dont l’infrastructure conditionne largement la sécurité numérique du pays. Ce socle institutionnel couvre ainsi l’ensemble des dimensions de la cybersécurité, de la protection des systèmes de l’État à la régulation des données et des télécoms. ➡️Sécurité des infrastructures critiques : Bonnes pratiques 2026 La répression de la cybercriminalité Au volet préventif s’ajoute un volet répressif, assuré par les forces de sécurité. La Division spéciale de lutte contre la cybercriminalité, rattachée à la Police nationale et dotée d’une compétence nationale, mène les enquêtes sur les infractions liées au numérique. Elle traite notamment les escroqueries en ligne, les usurpations d’identité, le cyberharcèlement et les atteintes aux données. En 2026, elle a mis en service une plateforme nationale de signalement en ligne, développée avec l’appui de l’UNICEF, qui permet aux citoyens et aux entreprises de signaler de manière sécurisée et confidentielle les infractions cybercriminelles, avec une attention particulière à la protection des mineurs. La Gendarmerie nationale dispose également de capacités dédiées, via sa section de recherches, pour l’investigation des cyberinfractions. Ces structures constituent le recours des victimes, entreprises comprises, en cas d’attaque ou de fraude. La formation et le capital humain Un point revient dans tous les discours des autorités: l’humain demeure le maillon le plus vulnérable de la chaîne de cybersécurité. D’où l’importance accordée au développement des compétences. Le Sénégal s’est doté d’une École Nationale de Cybersécurité à Vocation Régionale, rattachée à la Présidence, qui forme les agents de l’État, les personnels du secteur public comme privé et les équipes de réponse

L’essentiel en bref : un plan de réponse aux incidents est un document, préparé et testé à l’avance, qui indique précisément qui fait quoi lorsqu’une cyberattaque survient. Sa méthodologie s’appuie sur des cadres reconnus : le NIST SP 800-61 en quatre phases (préparation ; détection et analyse ; endiguement, éradication et récupération ; activité post-incident) et le SANS en six phases. Au cœur du dispositif se trouve le CSIRT, l’équipe de réponse, qui ne comprend pas que des techniciens mais aussi des décideurs, le juridique et la communication. Un bon plan précise aussi qui notifier, y compris légalement : au Sénégal, la loi 2016-29 et la CDP encadrent la notification des fuites de données. Cet article donne la méthodologie et une structure de template prête à adapter. Un plan n’a de valeur que testé. Il est 2h du matin un mardi. Un écran affiche « vos fichiers sont chiffrés ». Le directeur informatique est réveillé par un appel. À cet instant précis, une seule chose fait la différence entre une crise maîtrisée et un désastre: l’existence d’un plan de réponse aux incidents, écrit et répété à l’avance. Sans lui, chacun improvise, les décisions se prennent dans la panique, et chaque minute perdue aggrave les dégâts. Ce guide explique la méthodologie de la réponse aux incidents, la composition de l’équipe, et fournit une structure de plan à adapter à votre organisation. Il l’ancre aussi dans le cadre légal sénégalais, souvent oublié. Le tout pensé pour un responsable ou un dirigeant. Qu’est-ce qu’un plan de réponse aux incidents Un plan de réponse aux incidents, souvent abrégé PIR, est un manuel documenté et testé qui indique à votre organisation exactement qui fait quoi lorsqu’un incident de cybersécurité survient. Il transforme une situation de chaos potentiel en une séquence d’actions prévues et coordonnées. Une distinction fondamentale le sous-tend, posée par le NIST comme par la norme ISO 27035. Un événement est toute observation sur un système ou un réseau, la plupart du temps anodine. Un incident est une violation, ou une menace imminente de violation, des politiques de sécurité. Tous les événements ne sont pas des incidents, et l’un des rôles du dispositif est justement de trier, à partir d’indicateurs de compromission, ces signes qu’un incident a pu se produire ou est en cours. L’objectif du plan est simple: répondre, identifier, contenir et récupérer aussi vite que possible, avec une interruption minimale de l’activité. ➡️ Sécurité des infrastructures critiques : Bonnes pratiques 2026 La méthodologie : le cycle de réponse aux incidents La plupart des plans suivent le même cadre général, développé à partir des modèles du NIST et du SANS. Le référentiel de référence est le NIST SP 800-61, complété par la norme ISO 27035. Le NIST décrit le cycle en quatre phases. La préparation, qui est à la fois la première phase et une activité continue: elle consiste à se doter des procédures, outils et compétences avant tout incident. La détection et l’analyse, où l’on identifie l’incident, on le qualifie et on en évalue la portée. L’endiguement, l’éradication et la récupération, où l’on contient la propagation, on élimine la menace, puis on restaure les systèmes. Et l’activité post-incident, où l’on tire les leçons pour renforcer le dispositif. Le SANS détaille le même cycle en six phases: préparation, identification, endiguement, éradication, récupération et leçons apprises. Les deux modèles se correspondent: le SANS distingue simplement plus finement l’identification et sépare les étapes d’endiguement, d’éradication et de récupération. Les cadres modernes, comme le cadre de cybersécurité du NIST, structurent d’ailleurs ces activités autour des fonctions répondre et récupérer, en insistant sur la gouvernance. Détaillons les étapes clés. La préparation. C’est le socle. On y constitue l’équipe, on rédige les procédures, on inventorie les systèmes et les outils, et on met en place les moyens de détection. Un plan ne s’élabore pas dans l’urgence: il se pense en amont. La détection et l’analyse. On repère l’incident, souvent via la supervision et un SOC, on confirme qu’il s’agit bien d’un incident, on en détermine la nature et l’étendue, et on le classe par gravité. Un principe essentiel: ne pas se lancer dans une chasse aveugle, mais analyser méthodiquement avant d’agir. L’endiguement. On limite la propagation pour éviter que l’incident ne s’étende, par exemple en isolant les systèmes touchés, tout en préservant les preuves. L’éradication. On élimine la cause: suppression du logiciel malveillant, fermeture de la faille exploitée, révocation des accès compromis. La récupération. On restaure les systèmes et les données à partir de sauvegardes saines, on vérifie leur intégrité, et on rétablit progressivement l’activité, en surveillant une éventuelle réapparition. Les leçons apprises. Après l’incident, on réalise une analyse à froid: que s’est-il passé, qu’a-t-on bien fait, que faut-il améliorer. Cette étape, souvent négligée, est ce qui empêche l’incident de se reproduire. L’équipe de réponse : le CSIRT Un plan ne vaut rien sans une équipe pour l’exécuter. Cette équipe est le CSIRT, l’équipe de réponse aux incidents de sécurité informatique. Elle est responsable de la maintenance et de l’exécution du plan. Une erreur fréquente est de la réduire aux seuls informaticiens. En réalité, un CSIRT efficace réunit plusieurs profils. Des experts techniques d’abord: administrateurs systèmes, spécialistes réseau et infrastructure, experts en sécurité et en applications. Des décideurs ensuite, dotés de l’autorité nécessaire pour prendre des mesures engageantes rapidement. Les propriétaires des données et des processus métiers, qui connaissent la valeur et la criticité de ce qui est touché. Les fonctions en contact avec la clientèle, comme les ventes et le service client. Et, selon les obligations réglementaires, les équipes juridiques et de communication. Chaque membre doit connaître précisément son rôle et les décisions qu’il est habilité à prendre. C’est cette clarté, définie à froid, qui permet d’agir vite et bien à chaud. ➡️ Test d’intrusion (Pentest) : Pourquoi et comment le réaliser ? Un template de plan de réponse aux incidents Voici la structure d’un plan de réponse aux incidents, à adapter à votre organisation. C’est le squelette du document. 1. Objet, périmètre et politique. Les

L’essentiel en bref : les infrastructures critiques (énergie, eau, télécoms, banque, santé, transport) sont devenues des cibles stratégiques, car leur défaillance dépasse la simple perte de données: elle peut interrompre des services essentiels, causer des dommages physiques et menacer la sécurité des personnes. Leur cœur technique repose sur des systèmes OT (contrôle industriel, SCADA, automates) conçus pour durer, pas pour résister aux cyberattaques. En 2026, la convergence entre l’informatique de gestion et ces systèmes opérationnels, l’érosion de leur isolation et l’arrivée d’attaquants assistés par l’IA élargissent la surface d’attaque. La protection repose sur quelques piliers: visibilité des actifs, segmentation réseau, contrôle strict des accès, supervision dédiée et défense en profondeur. Cet article détaille les bonnes pratiques, dans le contexte ouest-africain. En 2026, la question n’est plus de savoir si une infrastructure critique sera visée, mais quand et avec quelles conséquences. Réseaux électriques, systèmes de traitement de l’eau, opérateurs télécoms, systèmes financiers: tous reposent sur des systèmes dont l’arrêt aurait un impact bien au-delà de l’entreprise concernée. C’est ce qui en fait des cibles de choix pour les cybercriminels, les groupes organisés et les acteurs étatiques. Ce guide explique ce qui rend ces infrastructures vulnérables, pourquoi 2026 marque un tournant, et quelles bonnes pratiques permettent de renforcer leur résilience. Il s’adresse aux dirigeants et responsables des secteurs concernés, et à leurs partenaires, dans le contexte spécifique de l’Afrique de l’Ouest. Qu’est-ce qu’une infrastructure critique, et pourquoi elle est différente Une infrastructure critique désigne un système dont la défaillance a des conséquences majeures pour la société et l’économie: production et distribution d’énergie, traitement et distribution de l’eau, réseaux de télécommunications, systèmes financiers, santé, transport. Leur point commun est qu’une interruption ne se traduit pas seulement par une gêne, mais par un risque pour la continuité de services essentiels, et parfois pour la sécurité physique des personnes. Le cœur technique de beaucoup de ces infrastructures repose sur ce qu’on appelle l’OT, la technologie opérationnelle, par opposition à l’IT, l’informatique de gestion. L’OT regroupe les systèmes de contrôle industriel (ICS), les systèmes de supervision et d’acquisition de données (SCADA) et les automates programmables (PLC) qui pilotent directement des processus physiques. La différence est fondamentale: là où une faille informatique classique entraîne une perte ou un vol de données, une faille sur un système OT peut ouvrir une vanne, arrêter un processus de traitement de l’eau ou endommager un équipement. De cette différence découle une inversion des priorités que tout dirigeant doit comprendre. En informatique classique, on protège d’abord la confidentialité des données. En environnement OT, la priorité absolue est la disponibilité et la sécurité, car une interruption ou une manipulation peut avoir des conséquences physiques immédiates. Sécuriser une infrastructure critique, ce n’est donc pas seulement protéger des informations, c’est garantir la continuité et la sûreté d’un service vital. ➡️ Cybersécurité dans les télécommunications : Enjeux et solutions Pourquoi 2026 marque un tournant Plusieurs évolutions convergent pour faire de la sécurité des infrastructures critiques un enjeu plus aigu que jamais. La convergence IT et OT d’abord. Historiquement, les systèmes de contrôle fonctionnaient dans des réseaux isolés, avec peu de connexions externes, ce qui limitait le besoin de sécurité. Cette isolation, longtemps considérée comme une protection naturelle, s’érode. Sous l’impulsion de la transformation numérique, ces systèmes se connectent désormais aux réseaux d’entreprise et au cloud. Résultat: la surface d’attaque s’élargit considérablement, et le côté informatique du réseau devient le principal point d’entrée par lequel les attaquants atteignent les systèmes opérationnels. L’héritage technique ensuite. Beaucoup de systèmes OT reposent sur du matériel ancien et des protocoles conçus il y a des décennies, sans chiffrement ni authentification. Ils ont été pensés pour la fiabilité et la longévité, pas pour résister à des menaces modernes. Or on ne peut pas les mettre à jour aussi facilement qu’un ordinateur: les fenêtres de maintenance sont rares, car interrompre la production ou un service essentiel est souvent inacceptable. L’accès des tiers enfin. La dépendance aux prestataires et aux fournisseurs pour la maintenance multiplie les accès distants, autant de portes d’entrée potentielles si elles ne sont pas rigoureusement contrôlées. À cela s’ajoute une menace nouvelle: des attaquants assistés par l’intelligence artificielle, capables d’amplifier la reconnaissance, le mouvement latéral et l’exfiltration. Les menaces les plus courantes restent les rançongiciels, les menaces internes, les compromissions de la chaîne d’approvisionnement et les attaques d’acteurs étatiques. Le défi humain : la pénurie de compétences Voici un constat que les rapports 2026 mettent en avant et qui résonne particulièrement en Afrique de l’Ouest. Le premier défi n’est plus le manque d’effectifs, mais le manque de compétences spécialisées. Les infrastructures critiques ne défaillent pas seulement parce que les équipes sont trop peu nombreuses, mais parce que ces équipes n’ont pas toujours les compétences pointues qu’exige la sécurisation de systèmes OT complexes. Ce défi est double: la complexité technique de sécuriser des environnements hétérogènes et souvent anciens, et la rareté des profils spécialisés en cybersécurité industrielle. Pour la plupart des organisations, y compris au Sénégal, constituer et fidéliser en interne une équipe capable de couvrir ces risques est hors de portée. C’est un argument fort en faveur d’un accompagnement par des partenaires spécialisés. ➡️ Les bonnes pratiques : construire la résilience en amont La résilience ne s’improvise pas au moment de la crise: elle se construit en amont et se teste régulièrement. Voici les piliers reconnus. La visibilité des actifs. On ne protège pas ce qu’on ne connaît pas. La première étape est une cartographie complète des systèmes, des équipements et des flux. Cette visibilité continue est le socle de tout le reste, car elle permet de hiérarchiser les risques. La segmentation réseau. C’est la mesure la plus structurante. Il s’agit d’isoler les réseaux OT des réseaux IT et de segmenter les différentes zones entre elles, pour empêcher qu’une attaque ne se propage librement. La référence en la matière est le modèle de Purdue, qui organise l’environnement en niveaux hiérarchiques avec des frontières de confiance renforcées, et une zone tampon (DMZ) où s’arrête le trafic venu de l’entreprise. Des

L’essentiel en bref : contrairement à une idée répandue, le RGPD européen ne s’impose pas automatiquement aux entreprises africaines. Il ne s’applique que dans des cas précis : si vous ciblez des clients situés en Europe, ou si vous êtes filiale ou sous-traitant d’une entreprise européenne. Votre obligation première reste votre loi nationale, au Sénégal la loi 2016-29 sous le contrôle de la CDP, complétée par les textes régionaux (Acte additionnel de la CEDEAO, Convention de Malabo de l’Union africaine). Bonne nouvelle : ces cadres partagent les mêmes grands principes, si bien qu’une mise en conformité bien menée les couvre ensemble. Et la cybersécurité n’est pas une option : sécuriser les données est une obligation légale. Cet article clarifie ce qui s’applique vraiment à vous et comment vous mettre en conformité. La protection des données personnelles est devenue un sujet incontournable pour toute entreprise qui collecte des informations sur ses clients ou ses employés. Mais autour du RGPD, le règlement européen, règne une grande confusion en Afrique. Beaucoup d’entreprises croient devoir s’y conformer alors qu’elles n’y sont pas soumises, et d’autres ignorent les obligations réelles qui pèsent sur elles au titre de leur loi nationale. Ce guide dissipe cette confusion. Il explique quand le RGPD s’applique réellement à une entreprise africaine, quelles sont vos vraies obligations locales, pourquoi conformité et cybersécurité sont indissociables, et comment avancer concrètement. Le tout pensé pour un dirigeant, sans jargon juridique inutile. Le RGPD s’applique-t-il vraiment à votre entreprise africaine ? Commençons par lever le malentendu central. Le RGPD, Règlement général sur la protection des données, est un texte européen. Il encadre le traitement des données des personnes qui se trouvent dans l’Union européenne. Il ne s’applique donc pas, par principe, à toutes les entreprises africaines. Cela dit, le RGPD a une portée extraterritoriale. Concrètement, il peut concerner votre entreprise africaine dans deux situations principales. La première: vous ciblez des personnes situées dans l’Union européenne, en leur offrant des biens ou des services, ou en suivant leur comportement. Une entreprise sénégalaise qui vend en ligne à des clients européens, par exemple, entre dans le champ du RGPD pour ces traitements. La seconde: vous êtes la filiale d’une entreprise européenne, ou son sous-traitant. Dans ce cas, le RGPD vous suit, car le sous-traitant, même hors UE, est pleinement responsable du respect des obligations. En revanche, un point souvent mal compris mérite d’être souligné: un simple transfert de données vers un serveur situé en Europe, sans ciblage de clients européens, ne déclenche pas le RGPD pour vous. Dans ce cas, c’est l’entreprise réceptrice basée dans l’UE qui doit s’y conformer. Autrement dit, héberger des données en Europe ne vous rend pas automatiquement soumis au RGPD. La question à se poser est donc simple: est-ce que je cible des personnes en Europe, ou est-ce que je travaille pour une entreprise européenne? Si oui, le RGPD vous concerne. Sinon, votre cadre de référence est ailleurs. ➡️​ SOC (Security Operations Center) : Guide Complet pour PME au Sénégal Votre vraie obligation : la loi nationale et les textes régionaux Que le RGPD vous concerne ou non, vous avez de toute façon des obligations en matière de protection des données. Elles découlent de votre loi nationale et des textes régionaux. Au Sénégal, le cadre de référence est la loi n° 2016-29 relative à la protection des données à caractère personnel, sous le contrôle de la Commission de protection des données personnelles (CDP). C’est elle qui encadre la collecte, le traitement et la conservation des données de vos clients et de vos employés. Le Sénégal fait d’ailleurs partie des pionniers du continent, ayant légiféré avant même l’entrée en application du RGPD. À l’échelle régionale, l’Acte additionnel de la CEDEAO de 2010 a harmonisé les bases légales, les principes et les droits d’un pays à l’autre en Afrique de l’Ouest, ce qui facilite la cohérence pour les entreprises actives dans plusieurs pays de la zone. À l’échelle continentale, la Convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, adoptée en 2014, est entrée en vigueur en 2023 après avoir réuni le nombre requis de ratifications. Elle pose un cadre commun à l’échelle africaine. Il faut toutefois garder en tête que le paysage reste inégal sur le continent: une trentaine de pays africains seulement disposent à ce jour d’une loi nationale, et les moyens des autorités de contrôle varient fortement. Au Sénégal, en revanche, le cadre existe et l’autorité, la CDP, est en place. Une différence pratique à connaître : la déclaration préalable Voici une particularité que les entreprises sénégalaises doivent intégrer. Plusieurs lois africaines, dont la loi sénégalaise, ont hérité d’une pratique que le RGPD a supprimée: l’obligation de déclarer ses fichiers de données personnelles auprès de l’autorité locale avant de les exploiter. Concrètement, une entreprise au Sénégal doit en principe déclarer ses bases de données personnelles auprès de la CDP. Cette formalité administrative n’existe plus dans le cadre du RGPD, qui a basculé vers une logique de responsabilisation continue plutôt que d’autorisation préalable. C’est une différence importante: une entreprise qui se contenterait de copier une démarche « RGPD » trouvée en ligne pourrait passer à côté de cette obligation déclarative locale, pourtant bien réelle. ➡️​ Test d’intrusion (Pentest) : Pourquoi et comment le réaliser ? Des principes qui convergent : se conformer une fois pour tous La bonne nouvelle, c’est que malgré ces différences de forme, les principes de fond convergent très largement. Les lois africaines reflètent dans l’ensemble les mêmes grands principes que le RGPD: licéité et transparence du traitement, finalité déterminée, minimisation des données collectées, exactitude, limitation de la durée de conservation, confidentialité et sécurité, et responsabilité de l’organisme. On retrouve également des obligations comparables: information des personnes, recueil d’un consentement libre, spécifique, éclairé et univoque lorsque c’est la base légale retenue, respect des droits individuels (accès, rectification, suppression), et notification des violations de données. Sur ce dernier point, le RGPD impose un signalement sous 72 heures ; les

L’essentiel en bref : le secteur des télécommunications est une cible privilégiée des cyberattaques, car il constitue l’épine dorsale de toute l’économie numérique. Ses vulnérabilités sont spécifiques : infrastructures d’une grande complexité, surface d’attaque démultipliée par la 5G, la virtualisation des réseaux et l’edge computing, et exposition croissante via les API et l’IoT. En Afrique de l’Ouest, un enjeu supplémentaire est majeur : les opérateurs portent le mobile money, ce qui en fait des cibles financières de premier plan. Les solutions combinent investissement technologique, supervision continue via un SOC, chiffrement et conformité réglementaire. Cet article détaille ces enjeux et ces réponses, dans le contexte sénégalais. Les télécommunications sont devenues le système nerveux de l’économie moderne. Tout en dépend: les communications, les transactions financières, les services publics numériques, les entreprises connectées. Cette centralité fait du secteur une cible de choix pour les cybercriminels, car compromettre un opérateur, c’est potentiellement atteindre des millions d’utilisateurs et des pans entiers de l’activité économique. Ce guide examine les enjeux de cybersécurité propres au secteur des télécommunications et les solutions pour y répondre. Il s’adresse aux acteurs du secteur et à leurs partenaires, avec une attention particulière au contexte ouest-africain, où les opérateurs jouent un rôle économique élargi. Pourquoi les télécoms sont une cible privilégiée La cybersécurité est devenue une priorité majeure pour les opérateurs de télécommunications, confrontés à une augmentation constante des cybermenaces. Plusieurs raisons expliquent cette exposition particulière. D’abord, la criticité. Les opérateurs constituent une infrastructure critique: une attaque réussie peut interrompre les communications, paralyser des services essentiels et déstabiliser l’économie. Ensuite, la valeur des données. Les télécoms détiennent des volumes considérables de données personnelles et de communications, des informations très convoitées. Enfin, la confiance. La confiance des utilisateurs dans les services de télécommunications est un actif fondamental, qu’une cyberattaque peut détruire durablement. Compromettre un opérateur offre donc à un attaquant un accès démultiplié, ce qui justifie l’attention particulière portée à ce secteur. ➡️ Test d’intrusion (Pentest) : Pourquoi et comment le réaliser ? Des vulnérabilités spécifiques au secteur Le secteur des télécommunications fait face à un paysage de menaces complexe et en constante évolution. Plusieurs vulnérabilités lui sont propres. La complexité des infrastructures constitue l’une des principales. Les réseaux télécoms assemblent une multitude de composants matériels, logiciels et organisationnels, ce qui multiplie les points d’entrée potentiels et rend la sécurisation d’autant plus difficile. L’évolution vers la 5G amplifie ce phénomène. Le passage massif à la 5G, la virtualisation des réseaux et l’explosion de l’edge computing ont considérablement élargi la surface d’attaque. À l’ère de la 5G, l’architecture des réseaux est désormais conteneurisée et s’appuie sur des technologies cloud-native et des standards informatiques ouverts. Cette évolution marque un tournant: la sécurité télécom se rapproche de la sécurité informatique classique, avec une exposition accrue aux failles connues comme aux vulnérabilités inédites, dites zero-day. Les nouveaux points d’entrée se déplacent aussi. La sécurité ne peut plus se limiter à la protection du cœur de réseau. La couche applicative et les API sont devenues des points d’entrée privilégiés des cyberattaques, ce qui impose d’étendre la défense au-delà des seules infrastructures réseau. Enfin, l’intégration de l’IoT et de l’intelligence artificielle au sein de cette nouvelle architecture accentue encore les défis, en multipliant les objets connectés et les flux à surveiller. L’enjeu décisif en Afrique de l’Ouest : le mobile money Voici la dimension que les analyses européennes ignorent totalement, et qui est pourtant centrale au Sénégal et en Afrique de l’Ouest. Les opérateurs de télécommunications y portent les services financiers mobiles, le mobile money, qui sont devenus un pilier de l’inclusion financière et de l’économie quotidienne. Cette situation transforme les opérateurs en infrastructures financières autant qu’en infrastructures de communication. Elle en fait des cibles financières de premier ordre: une faille dans la sécurité d’un service de mobile money peut permettre des fraudes massives, affectant directement les utilisateurs et la confiance dans tout l’écosystème. Les techniques d’attaque y sont spécifiques, du détournement d’identité mobile à la fraude par ingénierie sociale visant des utilisateurs parfois peu sensibilisés. La cybersécurité des télécoms en Afrique de l’Ouest ne se résume donc pas à protéger un réseau: elle protège un système financier dont dépendent des millions de personnes. C’est un enjeu de souveraineté économique autant que technique. ➡️ SOC (Security Operations Center) : Guide Complet pour PME au Sénégal Les solutions : une défense en profondeur Face à ces menaces, plusieurs réponses se combinent pour renforcer la résilience des réseaux et protéger les données. L’investissement technologique d’abord. Les opérateurs déploient des solutions de sécurité avancées: pare-feu, systèmes de détection et de prévention d’intrusion (IDS/IPS), outils de gestion des vulnérabilités et de surveillance en temps réel. Ces technologies aident à détecter et à contrer les attaques au plus tôt. La supervision continue ensuite, via un centre opérationnel de sécurité (SOC). La tendance, y compris dans les grandes stratégies nationales, est à la mise en place de SOC dotés d’intelligence artificielle pour surveiller et anticiper les attaques. Le SOC assure une détection et une réponse en continu, indispensables face à des menaces qui ne connaissent pas d’horaires. Le chiffrement et la confidentialité. La construction de tunnels chiffrés empêche l’écoute et l’interception, garantissant la confidentialité des échanges. C’est un mécanisme fondamental de protection des communications. La protection de la couche applicative. Puisque les API et les applications sont les nouveaux points d’entrée, la défense doit intégrer la dimension applicative comme un pilier central, et non plus se concentrer sur le seul cœur de réseau. La souveraineté, enfin, qui devient un critère: la provenance et le contrôle des outils de sécurité, ainsi que la localisation des données, sont des questions stratégiques pour une infrastructure aussi sensible. Sécurité des opérateurs et sécurité par les opérateurs Une distinction utile s’impose. Il y a d’un côté la cybersécurité des opérateurs, c’est-à-dire la protection de leurs propres réseaux et services. De l’autre, la cybersécurité proposée par les opérateurs à leurs clients entreprises. Cette seconde approche présente des atouts: prendre en compte l’infrastructure réseau dans son ensemble, industrialiser au cœur de

L’essentiel en bref : un pare-feu FortiGate de Fortinet est un pare-feu nouvelle génération (NGFW) qui filtre le trafic réseau, bloque les menaces et sécurise les accès. Sa configuration consiste essentiellement à définir des zones de confiance (réseau interne fiable, Internet non fiable), à créer des règles précises pour le trafic autorisé ou bloqué, et à activer les fonctions de sécurité (prévention d’intrusion, antivirus, filtrage web). Le principe le plus important n’est pas technique : il faut définir une stratégie de sécurité claire avant de toucher à la moindre règle, car une mauvaise configuration laisse des failles exploitables. Ce guide présente la démarche d’installation et les bonnes pratiques, dans le contexte sénégalais, sans tutoriel jetable lié à une version précise. Le pare-feu est la première ligne de défense de votre réseau. Chez Fortinet, le FortiGate s’est imposé comme une référence du marché, mais sa puissance ne vaut que par la qualité de sa configuration. Un FortiGate mal paramétré offre une fausse sécurité, parfois plus dangereuse que pas de pare-feu du tout, car elle endort la vigilance. Ce guide n’est pas un tutoriel clic par clic, vite périmé à chaque mise à jour. C’est une présentation de la démarche d’installation, des bonnes pratiques durables et des points de vigilance, pensée pour un responsable informatique ou un dirigeant qui veut comprendre les enjeux avant de déployer ou de faire déployer son pare-feu. Le FortiGate : ce qu’est un pare-feu nouvelle génération Le FortiGate est le socle de la Security Fabric de Fortinet, l’approche qui vise une sécurité cohérente sur l’ensemble des réseaux, des terminaux et des clouds. Ce n’est pas un simple filtre, mais un pare-feu nouvelle génération (NGFW) qui intègre, sous son système FortiOS, des fonctions avancées: prévention d’intrusion, protection contre les logiciels malveillants, filtrage web, et fonctions réseau comme le SD-WAN intégré et le contrôle d’accès Zero Trust (ZTNA). Il existe trois grands principes de filtrage qu’un pare-feu peut combiner. Le filtrage de paquets examine chaque paquet individuellement. L’inspection avec état (stateful) suit les connexions dans leur ensemble, ce qui est bien plus pertinent. Les passerelles applicatives analysent le contenu du trafic au niveau des applications. Un NGFW comme le FortiGate s’appuie sur ces mécanismes pour offrir une protection en profondeur. ➡️​ Test d’intrusion (Pentest) : Pourquoi et comment le réaliser ? La règle d’or : la stratégie avant la configuration C’est le point que les tutoriels techniques oublient, et c’est pourtant le plus important. Avant de créer la moindre règle, il faut définir une stratégie de sécurité claire. Quels flux doivent être autorisés ? Lesquels doivent être interdits ? Quelles ressources sont sensibles ? Qui doit accéder à quoi ? Sans cette réflexion préalable, on configure au coup par coup, on multiplie les règles permissives « pour que ça marche », et on finit avec un pare-feu troué. Une mauvaise configuration laisse des failles directement exploitables par des attaquants. Le bon réflexe est l’inverse: partir d’un principe de moindre permission. Où tout est bloqué par défaut et où l’on n’ouvre que ce qui est explicitement nécessaire et justifié. Les étapes d’installation et de mise en service L’installation d’un FortiGate suit une séquence logique. Les écrans exacts varient selon le modèle et la version de FortiOS, raison pour laquelle il faut toujours se référer à la documentation officielle Fortinet pour les détails précis. Voici la démarche dans ses grandes lignes. L’installation physique. L’appareil se monte en rack dans la plupart des cas, en veillant à une ventilation et un dégagement suffisants. On raccorde l’alimentation à une prise correctement mise à la terre, puis on connecte un poste d’administration au port de management. La connexion initiale. Pour la première configuration, on relie un câble console entre le poste de travail et le port console du FortiGate. À la mise sous tension, l’appareil effectue un autotest, puis on accède à l’interface en ligne de commande (CLI). La configuration de base. On attribue une adresse IP à l’interface de management, on active les protocoles d’administration nécessaires (HTTPS, SSH), puis on accède à l’interface graphique depuis un navigateur. Les premières opérations incluent le changement du nom d’hôte, la création d’un compte d’administration dédié, et la configuration des interfaces réseau. La définition des zones et des politiques. On définit les zones réseau, en distinguant clairement le réseau interne fiable de l’extérieur non fiable, éventuellement une zone démilitarisée (DMZ) pour les services exposés. Puis on crée les politiques de pare-feu: les règles qui autorisent ou bloquent le trafic entre ces zones, selon la stratégie définie en amont. Le NAT et le routage. On configure la traduction d’adresses (NAT) pour permettre au réseau interne d’accéder à Internet, ainsi que les routes nécessaires, y compris des mécanismes de basculement pour assurer la continuité en cas de défaillance d’un lien. Les fonctions de sécurité. On active enfin les protections avancées du NGFW: prévention d’intrusion, antivirus, filtrage web et DNS, contrôle applicatif. C’est ce qui transforme un simple routeur filtrant en véritable pare-feu nouvelle génération. Les accès distants sécurisés. Pour les sites distants et le télétravail, on configure les VPN, qu’il s’agisse d’IPsec site à site pour relier deux sites, ou de VPN SSL pour les utilisateurs nomades. ➡️​ SOC (Security Operations Center) : Guide Complet pour PME au Sénégal Les bonnes pratiques durables Au delà de la mise en service, quelques principes garantissent une sécurité qui dure. Maintenir le firmware à jour. Les mises à jour de FortiOS apportent les dernières protections et corrigent les failles découvertes. Un pare-feu non mis à jour devient lui même une porte d’entrée. Appliquer le moindre privilège. Chaque règle doit avoir une justification. On bannit les règles trop larges et on documente les politiques pour qu’elles restent compréhensibles dans le temps. Sauvegarder la configuration. Une sauvegarde régulière et testée de la configuration permet de restaurer rapidement le pare-feu en cas de panne matérielle ou d’erreur, sans tout reconstruire. Exploiter les journaux. Le FortiGate enregistre qui tente de se connecter et ce qui est bloqué. Ces journaux ne servent à rien s’ils ne

L’essentiel en bref : un test d’intrusion, ou pentest, est une évaluation de sécurité offensive qui simule une cyberattaque réelle contre votre système d’information. Contrairement à un simple scan automatique, qui se contente de lister des failles potentielles, le pentest tente activement de les exploiter pour mesurer leur impact réel. Réalisé par un hacker éthique dans un cadre légal et autorisé, il révèle les chemins d’attaque exploitables avant qu’un vrai attaquant ne les trouve. C’est l’épreuve la plus réaliste de vos défenses. Point essentiel : un pentest exige une autorisation écrite, sans quoi il est illégal. Cet article explique pourquoi, comment et avec quelles précautions le mener, dans le contexte sénégalais. Vous avez investi dans un pare-feu, un antivirus, peut-être une solution de détection. Mais tiennent-ils vraiment face à une attaque réelle ? La seule façon de le savoir est de le tester en conditions réalistes. C’est exactement le rôle du test d’intrusion: mettre vos défenses à l’épreuve comme le ferait un attaquant, mais à votre service. Ce guide explique ce qu’est un pentest, en quoi il diffère d’un scan automatique, comment il se déroule, et surtout les précautions légales et méthodologiques indispensables. Le tout pensé pour un dirigeant qui veut comprendre l’intérêt réel de la démarche. Pentest : de quoi parle-t-on exactement Le test d’intrusion, communément appelé pentest (de l’anglais penetration testing), est une évaluation de sécurité offensive qui consiste à simuler une cyberattaque réelle contre votre système d’information. Un pentester certifié, aussi appelé hacker éthique, utilise les mêmes techniques, outils et méthodologies que les cybercriminels, mais dans un cadre légal et contrôlé. L’objectif est d’identifier les chemins d’attaque exploitables avant qu’un attaquant réel ne les découvre, permettant à votre entreprise de corriger ces failles de manière proactive. Autrement dit, on se met volontairement dans la peau d’un attaquant mal intentionné pour repérer les vulnérabilités réellement exploitables, celles qui constituent des menaces concrètes, et non de simples hypothèses. Le pentest s’inscrit dans une démarche globale d’audit de cybersécurité et en constitue l’épreuve la plus réaliste pour évaluer la robustesse de vos défenses. ➡️​SOC (Security Operations Center) : Guide Complet pour PME au Sénégal Pentest ou scan de vulnérabilités : une différence majeure C’est la confusion la plus fréquente, et elle est lourde de conséquences. Un scan de vulnérabilités automatisé identifie des failles potentielles. Le pentest, lui, valide leur exploitabilité réelle dans le contexte de votre infrastructure. La nuance est capitale. Une vulnérabilité jugée critique en théorie peut s’avérer inexploitable en pratique, parce que d’autres protections la compensent. À l’inverse, un ensemble de vulnérabilités mineures, prises isolément sans gravité, peut former un chemin d’attaque dévastateur une fois enchaînées. Seul un expert humain perçoit ces enchaînements, ces failles logiques et ces erreurs de configuration subtiles qu’un scanner automatique ne voit pas. C’est toute la valeur du pentest: il révèle vos vulnérabilités dans des conditions réalistes, là où l’outil automatique se contente d’une liste théorique. Pourquoi réaliser un pentest Plusieurs raisons, stratégiques et opérationnelles, justifient un test d’intrusion. D’abord, valider vos défenses réelles. Vous avez déployé des protections, le pentest vérifie qu’elles tiennent face à une attaque concrète, et valorise ainsi les investissements déjà consentis. Ensuite, anticiper plutôt que subir. Le pentest offre une lecture concrète et réaliste du risque, en mettant en lumière ce qu’un attaquant pourrait réellement causer. Intégré dans une stratégie de gestion des risques, il permet d’anticiper les menaces et de protéger vos données et celles de vos clients. Enfin, répondre aux obligations. De nombreuses réglementations et normes exigent ou recommandent des tests réguliers. Le RGPD, dans son article 32, impose de tester régulièrement l’efficacité des mesures de sécurité. La norme PCI-DSS, qui concerne les entreprises traitant des paiements par carte, requiert un pentest annuel. La norme ISO 27001 l’intègre dans son programme d’audit. Au Sénégal, ces exigences se conjuguent avec la loi n° 2016-29 sur la protection des données personnelles, sous le contrôle de la Commission de protection des données personnelles (CDP), et, pour le secteur financier, avec les attentes de la BCEAO en matière de sécurité. ➡️​Comment protéger votre entreprise des ransomwares en Afrique : Guide pratique Les types de tests d’intrusion Il existe plusieurs approches, à choisir selon vos objectifs et votre contexte. Le pentest externe cible les services exposés à Internet, comme les sites web et les serveurs accessibles publiquement, pour évaluer le risque d’une attaque venant de l’extérieur. Le pentest interne simule un attaquant ayant déjà un accès au réseau: un employé malveillant, un poste compromis, un prestataire. Il évalue sa capacité à se déplacer latéralement, à élever ses privilèges et à atteindre des données sensibles. Le pentest applicatif se concentre sur une application précise. Le pentester y teste les vulnérabilités du Top 10 OWASP, comme les injections SQL ou les failles d’authentification, ainsi que les failles logiques propres à l’application. Le test d’ingénierie sociale évalue la résistance des collaborateurs face à la manipulation: hameçonnage ciblé, prétexte téléphonique, intrusion physique. Il met en lumière le maillon humain de la chaîne de sécurité. À ces types s’ajoutent trois niveaux de visibilité. En boîte noire, le pentester ne dispose d’aucune information, comme un attaquant extérieur. En boîte blanche, à l’opposé, il travaille main dans la main avec votre équipe et accède au code source et aux identifiants, pour éprouver les niveaux de sécurité les plus profonds. En boîte grise, intermédiaire, il démarre avec quelques éléments, par exemple un compte utilisateur, pour simuler une attaque venant de l’intérieur. Enfin, il ne faut pas confondre pentest et red team. La red team va plus loin: elle exploite des failles techniques, humaines, physiques et organisationnelles sur une durée plus longue, pour mesurer la capacité réelle de l’entreprise à détecter, contenir et réagir à une attaque ciblée. Le cadre légal : un point à ne jamais négliger C’est le point que beaucoup de guides passent sous silence, et il est pourtant fondamental. Un test d’intrusion ne se réalise jamais sans autorisation écrite explicite du propriétaire du système testé. Sans ce mandat, les actions menées, même à but défensif,

Les protections classiques, antivirus et pare-feu, ne suffisent plus. Elles bloquent les menaces connues, mais ne voient pas l’attaquant qui s’installe discrètement dans un réseau et y reste des semaines avant de frapper. C’est précisément ce vide que comble le SOC, le Security Operations Center. Longtemps réservé aux grandes entreprises, le SOC est devenu accessible aux PME, y compris au Sénégal, grâce au modèle externalisé. Mais le concept reste flou pour beaucoup de dirigeants, noyé sous le jargon technique. Ce guide démystifie le sujet: ce qu’est un SOC, comment il fonctionne, pourquoi votre PME peut en avoir besoin, et comment choisir la bonne formule sans vous ruiner. Qu’est-ce qu’un SOC, expliqué simplement La meilleure image pour comprendre un SOC est celle d’une tour de contrôle aérien, mais pour votre informatique. Dans cette tour, une équipe d’experts surveille en permanence tout ce qui se passe sur votre réseau, vos serveurs, vos postes et vos applications. Leur mission: repérer le moindre signe d’anomalie ou de comportement suspect, et réagir avant que l’incident ne cause des dégâts. Plus formellement, un SOC est le dispositif de surveillance et de réponse aux incidents de sécurité d’une organisation. Sa fonction est de détecter, analyser et réagir aux menaces, idéalement en continu, vingt-quatre heures sur vingt-quatre. Il ne se contente pas de réagir: il surveille en permanence pour prévenir les attaques. Un SOC repose toujours sur trois piliers indissociables: des humains (les analystes), des processus (les procédures de détection et de réponse) et des technologies (les outils de surveillance). Aucun des trois ne suffit seul. ➡️Les 7 Erreurs Fatales en Cybersécurité des PME Sénégalaises Pourquoi une PME sénégalaise a besoin d’un SOC Une objection revient souvent: « Nous sommes une petite structure, qui voudrait nous attaquer? » C’est une erreur de raisonnement. Les attaques actuelles sont largement automatisées et ne choisissent pas leurs victimes selon leur taille, mais selon leurs failles. Une PME détient des données de valeur, clients, finances, contrats, tout en étant souvent moins protégée qu’un grand groupe. Cela en fait une cible facile, donc privilégiée. Le besoin d’un SOC répond à des enjeux concrets. Réduire le délai de détection des incidents, car sans surveillance, une intrusion peut passer inaperçue pendant des mois. Accélérer la réponse pour limiter les dégâts. Surveiller en continu sans mobiliser une équipe interne dédiée. Et répondre aux exigences réglementaires de protection des données. Au Sénégal, ce dernier point n’est pas accessoire. La loi n° 2016-29 sur la protection des données à caractère personnel, sous le contrôle de la Commission de protection des données personnelles (CDP), impose aux entreprises de protéger les données qu’elles traitent. Pour les acteurs du secteur financier, les exigences de la BCEAO en matière de cybersécurité renforcent encore ce besoin de capacités de détection et de réponse. Comment fonctionne un SOC : les composants clés Pour dialoguer utilement avec un prestataire, mieux vaut comprendre les briques techniques d’un SOC, sans entrer dans une complexité inutile. Le SIEM (Security Information and Event Management) est le cœur du dispositif. Il collecte et corrèle les journaux d’activité de l’ensemble du système d’information pour détecter les anomalies en temps réel. C’est ce qui permet de voir tout ce qui se passe, au même endroit. L’EDR (Endpoint Detection and Response) surveille les postes et serveurs, et détecte les comportements malveillants directement sur les terminaux, comme le début d’un chiffrement par ransomware. Le SOAR (Security Orchestration, Automation and Response) automatise une partie des réponses, pour réagir plus vite aux incidents récurrents et décharger les analystes des tâches répétitives. Au-delà des outils, un SOC mobilise des équipes structurées en niveaux. Les analystes de niveau 1 trient et qualifient les alertes. Le niveau 2 mène l’investigation approfondie. Le niveau 3 regroupe les experts, parfois épaulés par des spécialistes de la réponse à incident, de l’investigation forensique ou du renseignement sur les menaces. La plupart des PME ne disposent pas de ces profils en interne, ce qui explique l’intérêt de l’externalisation. SOC interne, externalisé ou hybride : quel modèle pour une PME Il existe plusieurs façons de déployer un SOC, et le bon choix dépend de votre taille et de vos ressources. Le SOC interne consiste à constituer sa propre équipe et son infrastructure. Il offre un contrôle total, mais suppose de recruter des analystes qualifiés, d’investir dans des outils coûteux et d’assurer un fonctionnement continu. Pour une PME, ce coût est rarement justifiable, d’autant que les profils cybersécurité sont difficiles à recruter et à fidéliser, une réalité encore plus marquée dans le contexte sénégalais où ces compétences sont rares. Le SOC externalisé, aussi appelé SOCaaS ou SOC managé, consiste à confier la surveillance à un prestataire spécialisé qui dispose des équipes, des outils et de l’infrastructure. Vous accédez immédiatement à un niveau de protection que vous n’auriez pas pu atteindre seul, avec une couverture horaire étendue et une mutualisation des coûts. C’est, de l’avis général, la voie la plus réaliste et la plus efficace pour une PME. Le SOC hybride combine les deux: certaines fonctions restent internes, la surveillance continue est externalisée. Ce modèle convient aux organisations plus grandes qui veulent garder la main sur certains aspects critiques. Pour reprendre l’image de la tour de contrôle: si vous ne pouvez pas construire la vôtre, vous vous connectez à une tour partagée et ultra performante, pour un coût mensuel maîtrisé adapté à votre taille. ➡️Audit de Cybersécurité : Méthodologie Complète et Checklist Pratique 2026 Combien coûte un SOC managé Le coût d’un SOC externalisé dépend de plusieurs facteurs: le périmètre surveillé, le nombre d’équipements connectés, le niveau de couverture horaire et les engagements de service contractuels. Plutôt qu’un investissement massif en licences et en recrutement, vous souscrivez à un abonnement. Pour une PME, cette approche reste généralement plus économique que la constitution d’une équipe interne dédiée. Surtout, elle transforme un coût d’investissement lourd et difficile à amortir en une charge mensuelle prévisible. La vraie comparaison n’est pas le prix de l’abonnement face à zéro, mais ce coût face à celui d’un incident non détecté à