Il y a quelques mois, un musée national a été piraté. Nombre de ses agents ont perdu leurs données, accumulées depuis quinze ans pour l’un d’entre eux – à la suite d’une attaque par rançongiciel. Ce n’est pas la première fois qu’une de ces attaques vise un musée national, d’autres conservateurs en ont été victimes par le passé. Récemment, l’Asian Art Museum de San Francisco et la Smithsonian Institution de Washington ont fait l’objet d’attaques importantes et malheureusement réussies.
© D.R.
Le schéma de ces cyberattaques est maintenant bien connu. Un pirate parvient à pénétrer dans le système informatique d’une administration, d’une entreprise ou d’un particulier, puis encrypte les données. L’utilisateur ne peut alors plus y accéder sans un code fourni par le pirate qui exige, en échange, une rançon, d’où le nom de « rançongiciel ». Les services informatiques des musées combattent quotidiennement cette menace, mais n’en parlent pas, ou peu, car ils parviennent généralement à la contenir. Au cours des deux dernières années toutefois, le contexte a évolué. De nouveaux outils se sont démocratisés chez les hackeurs. Ceux-ci leur permettent de viser simultanément, de manière indiscriminée, des centaines de cibles avec des logiciels robots. Le fait de ne pas être une « proie » importante ne protège donc plus. Votre établissement est relié à Internet, il sera attaqué. Que vous soyez le musée du Louvre, une PME industrielle, un musée associatif ou le service des eaux dans une communauté de communes, le robot ne distingue pas. Le hackeur non plus, il vous demandera de payer.
Cette vague d’attaques fait parler d’elle chaque fois qu’elle touche des infrastructures vitales et hautement symboliques, comme récemment les hôpitaux, au plus fort de la pandémie de Covid-19. Mais elle frappe aussi les établissements culturels – musées, bibliothèques, centres d’archives ou de recherche, ainsi que leur personnel –, comme le démontrent les cas cités précédemment.
Les médias s’en font peu l’écho, car les pertes provoquées ne concernent pas des vies humaines, ni même du patrimoine. Pas de manuscrit brûlé, de tableau réduit en lambeaux ni de sculpture transformée en poussière. Tout va bien, donc ?
Perdre ces données revient à perdre des années de pensée, de tri, de réflexion, des sources pour le travail des chercheurs futurs.
PROTECTION INÉGALE DES DONNÉES
Pas vraiment. On parle, dans le cas présent, de quinze ans de collecte d’informations par un spécialiste, la matière à partir de laquelle il produit des publications, articles et ouvrages, le fondement même de son travail. Or, ces données sont généralement mal protégées. Il existe, dans les établissements culturels, deux catégories de données, les « collectives » et les « personnelles ». La première catégorie rassemble les bases de données des collections, des photothèques, des bibliothèques, des archives audio ou vidéo, les bibliothèques numériques, les outils de gestion des services de ressources humaines – paye, finances. Ces éléments sont généralement les mieux protégés, par des sauvegardes redondantes et régulières. Et pour cause, ils sont le plus souvent gérés de manière centralisée par les services informatiques, via des logiciels dédiés.
La seconde catégorie désigne les données « personnelles » des agents, dispersées dans les disques durs des ordinateurs de bureau, les drives, les serveurs des institutions, les clés et disques durs USB, ou encore les ordinateurs portables personnels. Leur sauvegarde se fait de manière très inégale selon les établissements. Elle varie en fonction des politiques de gestion de la donnée menées par ces derniers, du degré de sensibilisation des agents aux bonnes pratiques et, parfois, plus simplement, de l’information dont disposent, ou non, ces mêmes agents quant à l’existence d’outils de sauvegarde déjà déployés au sein de leur établissement. Ces données ont toujours été vulnérables, mais elles étaient principalement soumises à des risques de panne. Le récent développement des attaques par rançongiciels fait peser sur elles une nouvelle menace, qui appelle une évolution de la stratégie développée pour les sécuriser.
En raison de la qualification « personnelles » appliquée aux données de la seconde catégorie, elles ne sont pas considérées, aujourd’hui, comme sensibles. Cette situation pose des problèmes de natures différentes selon le type d’agent concerné, et s’avère particulièrement grave pour les personnels dits « scientifiques » – chercheurs, historiens, conservateurs, documentalistes – dont la compétence est liée à l’accumulation de savoir.
Jean-Baptiste Clais. © D.R
UNE MÉMOIRE NUMÉRIQUE IRREMPLAÇABLE
Historiens, chercheurs, conservateurs, documentalistes sont généralement des passionnés pour qui, souvent, la frontière entre travail et temps personnel est plus que floue. Citons ici un conservateur d’un grand musée national, amoureux de l’architecture médiévale, qui consacre, chaque année, parfois jusqu’à la moitié de ses vacances à visiter et à photographier systématiquement les églises des régions de France, canton par canton. Au fil du temps, il a ainsi constitué une masse de données considérable sur l’architecture médiévale et les décors d’églises. Combien de découvertes, de progrès dans ses recherches cette connaissance et l’utilisation de ces photos auront-elles permis, au profit de son établissement et du savoir collectif ?
Imaginons-le, demain, victime d’une cyberattaque. Ce sont vingt ans de vacances passées à mener des campagnes photographiques qui seront perdus. Vingt ans employés à aller dans des endroits parfois improbables, des églises au fin fond de la campagne, en veillant à choisir la bonne date pour ne pas trouver porte close. Vingt ans de temps libre dédié à classer ces photos. Jamais il ne refera tout cela s’il perd ses données.
Ce conservateur n’est pas un cas isolé. Tous les personnels scientifiques collectent, à des degrés divers, des données sur leur temps personnel pour alimenter leurs recherches. Ils les agrègent aux éléments réunis durant leur temps de travail, qui n’ont pas vocation à alimenter les outils collectifs de leurs établissements. Les ensembles ainsi formés sont plus qu’une simple accumulation, ils sont l’extension de leur mémoire, le fruit d’une pensée. Leurs auteurs les organisent, comme les générations qui nous ont précédés organisaient d’immenses fichiers de documentation papier. C’est d’ailleurs pour cela que l’on tend à conserver intactes, dans leur classement d’origine, les documentations papier qui sont versées dans nos établissements.
Qu’en sera-t-il des documentations constituées aujourd’hui dans un format numérique ? Si la conservation des documentations papier a encore du sens actuellement, celle des documentations numériques en a tout autant. Perdre ces données revient à perdre des années de pensée, de tri, de réflexion, des sources pour le travail des chercheurs futurs. Et ces données sont numériques, donc fragiles. Elles peuvent disparaître par effacement accidentel ou lors d’une attaque par rançongiciel. Ce risque n’existait pas, ou peu, à l’âge du papier.
VERS UNE NOUVELLE APPROCHE DE LA SÉCURITÉ DES DONNÉES CULTURELLES
Point de nostalgie ici. Les progrès apportés par le numérique sont tels qu’un retour général au papier n’est pas une option à envisager. Mais la généralisation du travail numérique nous impose de repenser la manière dont les établissements considèrent la donnée « personnelle », dans le contexte actuel d’une vague massive d’attaques par rançongiciels.
Il n’est pas question ici de critiquer le travail des différents services informatiques, mais plutôt le cadre de pensée qui sous-tend l’attribution de leurs moyens humains et financiers. Dans ce cadre, la seule donnée de valeur est la donnée collective, « propre », intégrée dans des bases de données. Elle se distingue de la donnée « personnelle », hypothétiquement sans valeur pour l’établissement, car stockée selon des critères individuels, non normés, perçus comme anarchiques.
Yuri Samoilov, Virus. © D.R.
Cette approche induit une moindre prise en compte des risques lorsqu’il s’agit de données que les personnels scientifiques stockent sur des supports personnels – disque dur externe ou ordinateur portable. Elle conduit également à sous-estimer le risque encouru par les données enregistrées dans les ordinateurs de bureau qui pourtant, elles aussi, peuvent se faire encrypter…
« L’agent aurait dû suivre les règles », diront certains, conserver toutes ses données sur son lieu de travail, dans la bulle du système interne, veiller à être extrêmement méticuleux lorsqu’il ouvre des liens, consulte des sites, il aurait dû mettre ses documents sur le serveur sécurisé et non sur son disque local, ne pas utiliser de clé USB…
Une attitude aussi précautionneuse ne pourra pas exister – jamais –, car les humains sont faillibles, imparfaits. De plus, certaines failles sont le fruit de cette zone grise déjà évoquée entre données professionnelles et données privées, entre temps professionnel et temps privé. Cette flexibilité participe de la vie de nos métiers. Quel chercheur n’a pas profité de soirées au calme, à la maison, à l’abri des courriels et appels téléphoniques de la journée, pour écrire des articles ? Quel conservateur, dans les mois qui précèdent l’ouverture d’une exposition ou le rendu d’un manuscrit, n’a pas passé des week-ends, chez lui, à rédiger ou corriger des textes ? Cela crée des failles dans notre sécurité, par le biais, notamment, de la circulation des clés USB.
Quel chercheur n’a pas profité de soirées au calme, à la maison, à l’abri des courriels et appels téléphoniques de la journée, pour écrire des articles ?
Il est utopiste d’espérer que tous se convertissent à la sécurité informatique, que tous suivent les bonnes pratiques. Certes, des formations permettront d’aller dans ce sens, mais pas au point de régler tous les problèmes.
L’évolution souhaitée implique une nouvelle approche de la sécurité des données culturelles. Il est nécessaire de passer à l’accompagnement personnel actif. En effet, la vulnérabilité que nous évoquons ici concerne un personnel très qualifié, donc peu nombreux à l’échelle d’un établissement. Les plans de sécurisation des données des institutions culturelles devraient comprendre un volet de cartographie des producteurs de données. Chaque année, ces agents bénéficieraient d’une journée ou d’une demi-journée dédiée au rangement et à la sauvegarde de leurs données, durant laquelle ils seraient accompagnés, en « présentiel », par un technicien informatique qui les aiderait à en faire des sauvegardes multiples.
Ainsi pourra-t-on espérer qu’en cas de cyberattaque, les agents ne perdront jamais plus d’un an de travail, et probablement moins encore grâce à l’amélioration de leurs pratiques de sauvegardes intermédiaires. Un investissement plus que raisonnable au regard des risques de pertes liés à la multiplication des attaques. Ce sera également un premier pas vers une nouvelle écologie de la donnée dans les établissements culturels et, peut-être – espérons-le –, une façon inédite de penser la particularité des personnels scientifiques, qui conduira l’État et ses établissements à mettre mieux à profit leurs compétences, dans le contexte de révolution technologique au sein duquel nous vivons.
Jean-Baptiste Clais est conservateur du patrimoine, membre de l'Agora 41.