En 2022, 330 incidents informatiques ont été signalés à l'Agence de protection civile et de résilience (MSB). C'est moins qu'en 2021, où 343 incidents avaient été signalés. Le nombre de rapports d'incidents émanant des autorités publiques a diminué, passant de 261 en 2021 à 231 en 2022, tandis que celui provenant d'autres activités d'importance vitale pour la société a augmenté, passant de 82 en 2021 à 99 en 2022.
– Le fait que moins d'incidents soient signalés ne signifie probablement pas qu'il s'en produit moins. Il existe un chiffre noir qui peut s'expliquer, par exemple, par des procédures incomplètes, la crainte que la confiance envers l'organisation soit remise en question, le manque de temps ou le souhait d'éviter de déposer une plainte auprès de la police. Le MSB souhaite recevoir davantage de rapports en 2023 et invite toutes les organisations soumises à l'obligation de déclaration à assumer leurs responsabilités. Plus le MSB reçoit d'informations sur les incidents informatiques, mieux nous pouvons soutenir le travail de prévention, déclare Mathias Antonsson, chargé de mission senior au département de la cybersécurité et des communications sécurisées du MSB.
De nombreux incidents informatiques peuvent être évités
Parmi les incidents informatiques signalés au MSB en 2022, 41 % seraient dus à des défaillances système, 26 % à des erreurs humaines et 12 % à une forme d'attaque. Le MSB estime que bon nombre de ces incidents auraient pu être évités grâce à de meilleures procédures et au développement des compétences du personnel.
– Le travail systématique fondamental en matière de sécurité de l'information et de cybersécurité doit être davantage prioritaire et se voir allouer plus de ressources par les organisations opérant dans des secteurs d'importance vitale pour la société. Examiner tous les risques envisageables et élaborer des plans de continuité d'activité en cas d'incident fait une grande différence quant à l'impact de celui-ci. Si les services essentiels à la société ne fonctionnent pas, cela peut entraîner de graves conséquences pour les citoyens, déclare Charlotte Petri Gornitzka, directrice générale du MSB.
Thème sur la cyberguerre contre l'Ukraine
Le rapport comprend un volet thématique consacré à la défense de l'Ukraine contre la cyberguerre menée par la Russie, un conflit cybernétique qui a mis en évidence l'importance d'une cyberdéfense résiliente également pour la Suède.
– Les cyberattaques contre l'Ukraine ont pu être largement contrées et les fonctions sociétales essentielles ont pu être maintenues ou rétablies rapidement, ce qui s'explique en grande partie par une bonne préparation, dans laquelle la coopération avec d'autres États et entreprises a été déterminante. La Suède a beaucoup à apprendre de cela : nous devons coopérer pour que l'infrastructure numérique devienne plus robuste et capable de résister à de graves cyberincidents, déclare Johan Turell, chef d'unité au département de la cybersécurité et des communications sécurisées du MSB.
Mesures pour renforcer la cyberdéfense en Suède
En cartographiant les chaînes d'approvisionnement, en évitant les dépendances envers des services uniques, en renforçant les coopérations pertinentes et en planifiant pour toutes sortes de risques, les organisations peuvent limiter les effets des incidents informatiques. Le MSB présente dans le rapport plusieurs recommandations visant à renforcer la sécurité de l'information et la cybersécurité en Suède. Celles-ci portent principalement sur trois domaines :
- Le MSB doit pouvoir exiger davantage d'informations de la part des activités d'importance vitale pour la société et se voir accorder un mandat élargi pour agir face aux risques et aux vulnérabilités.
- Plusieurs enquêtes doivent être menées afin de clarifier les missions et les compétences des autorités centrales en matière de cyberdéfense.
- Le MSB propose notamment que l'ensemble des activités d'importance vitale pour la société soit soumis à des exigences globales en matière de sécurité de l'information, ce qui pourrait être réalisé en élargissant le champ d'application de la future réglementation NIS2 (directive européenne sur la sécurité des réseaux et des systèmes d'information).
– Malgré un nombre relativement faible de cyberattaques signalées en Suède, les risques ne doivent pas être sous-estimés, en particulier dans le contexte de la grave situation internationale actuelle. La capacité à résister à de graves cyberattaques constitue un élément important de la défense totale (totalförsvar), car les cyberattaques représentent une menace permanente pour l'ensemble de la société. Si le travail en matière de sécurité de l'information et de cybersécurité est priorisé et doté des ressources nécessaires, la Suède a la possibilité d'être bien mieux armée qu'aujourd'hui en peu de temps, déclare Åke Holmgren, chef du département de la cybersécurité et des communications sécurisées du MSB.