La stratégie de transformation numérique

Au fil des dernières décennies, les technologies de l'information ont discrètement fait leur entrée dans le fonctionnement des pouvoirs locaux. Elles ont parfois été perçues comme une contrainte nécessaire plutôt qu'un atout stratégique, ce qui a entravé l'adoption de démarches rigoureuses et organisées.

Cependant, à l'ère actuelle, l'informatique est reconnue comme un élément indispensable permettant aux administrations locales d'accomplir efficacement leurs missions. La transition rapide vers le tout numérique impose aux pouvoirs locaux de relever des défis majeurs tels que la fourniture de services en ligne aux citoyens, le respect des réglementations (notamment le RGPD, l'accessibilité et la sécurité) et la dématérialisation de l'administration.

1. Inventaire des actifs numériques

Avant de faire évoluer l’outil technologique qui permettra de répondre à ces besoins numériques à court et moyen termes, il est utile de dresser un inventaire complet de tous les actifs numériques de la commune.

A. Identification des ressources

L'inventaire permet d'identifier toutes les ressources numériques de la commune, qu'il s'agisse de matériel, de logiciels, d'équipements réseau, de systèmes de sécurité, de contrats avec des prestataires, ou d'autres éléments informatiques.

B. Gestion des actifs

Une fois les ressources identifiées, l'inventaire permet de gérer de manière centralisée et organisée ces actifs numériques. Cela inclut des informations détaillées sur chaque actif, telles que son emplacement, sa configuration, son état, sa date d'acquisition, etc.

C. Suivi des coûts

L'inventaire permet de suivre les coûts associés à chaque actif, que ce soient les coûts d'acquisition, de maintenance, de licences logicielles ou de contrats de service.

D. Gestion des licences et des contrats

L’inventaire facilite la gestion des licences logicielles et des contrats avec les prestataires de services. Cela permet de garantir que la commune est en conformité avec les termes des licences et des contrats, de renouveler les licences à temps et de suivre les échéances contractuelles.

E. Sécurité et conformité

L'inventaire des actifs numériques aide à maintenir un niveau de sécurité élevé en identifiant tous les équipements et logiciels présents sur le réseau de la commune. Cela permet de s'assurer que les systèmes sont mis à jour, que les correctifs de sécurité sont appliqués, et que les vulnérabilités sont traitées rapidement. De plus, cela contribue à garantir la conformité aux réglementations telles que le RGPD.

F. Planification stratégique

L'inventaire fournit une base solide pour la planification stratégique de la transformation numérique de la commune. En comprenant les actifs existants, les décideurs peuvent mieux évaluer les besoins futurs en technologie, prendre des décisions éclairées sur les investissements informatiques, et définir des priorités pour les projets numériques.

G. Optimisation des ressources

En ayant une vue complète de l'ensemble des actifs numériques, la commune peut optimiser l'utilisation de ses ressources. Cela inclut la possibilité de réaffecter des équipements ou des licences sous-utilisés, de consolider les ressources lorsque cela est possible, et d'éliminer les redondances.

H. Gestion des prestataires

En connaissant les équipements et les contrats associés, la commune peut surveiller les niveaux de service, s'assurer que les prestataires respectent leurs engagements et négocier de manière plus efficace en cas de besoin.

2. Les pratiques de mise en œuvre

La mauvaise utilisation des technologies de l'information peut entraîner une perte d'efficacité et accentuer les risques de sécurité. Par exemple, selon les résultats d'audits de sécurité réalisés par iMio auprès d'une centaine de pouvoirs locaux, 94 % d'entre eux ont admis partager un ou plusieurs mots de passe.

La mauvaise gestion des droits d'accès et des mots de passe peut conduire à l'obtention de permissions inappropriées, augmentant ainsi le risque de détournement de données par un utilisateur malveillant ou un hacker.

3. Moderniser l'existant

La richesse de l'informatique réside dans ses applications métier, bien que certaines d'entre elles puissent être anciennes. Il est important de rationaliser ce qui peut l'être en créant, par exemple, une base de données unique pour les documents et/ou les données, ainsi qu'un annuaire des utilisateurs.

Il est essentiel de rester à jour avec les évolutions technologiques, que vous effectuiez vous-même une veille ou que vous la confiiez à des experts. Il convient de distinguer différents types d'outils numériques, tels que les outils collaboratifs (pour le télétravail et l'environnement de travail), les outils métier (pour la gestion de l'activité et des processus) et les outils smart city (pour l'énergie, les interactions avec les citoyens et l'opendata).

Lorsque vous décidez de mettre à jour ou de remplacer des systèmes informatiques existants, il est crucial d'établir des directives spécifiques qui doivent être respectées dans le cadre de la rédaction du cahier des charges. Elles comprennent notamment :

A. Cohérence avec votre stratégie numérique

Les nouveaux systèmes doivent être en harmonie avec les objectifs et la vision de votre stratégie numérique globale. Ils devraient contribuer à la réalisation de ces objectifs plutôt que de les entraver.

B. Preuves de conformité

Exigez des preuves que les systèmes proposés sont conformes aux normes et aux exigences réglementaires en vigueur. Cela peut inclure des certifications, des rapports d'audit, ou d'autres éléments attestant de leur conformité.

C. Interopérabilité

Insistez sur l'utilisation de l'architecture d'API REST (Representational State Transfer) pour permettre une intégration facile avec d'autres systèmes et applications. Les API REST sont conçues pour simplifier l'interopérabilité.

D. Interface web accessible

Exigez une interface utilisateur conviviale via le web respectant les normes d’accessibilité européennes pour rendre l'accès aux systèmes plus simple et plus accessible pour les utilisateurs finaux, qu'il s'agisse de citoyens ou de personnel interne.

E. Portabilité cloud/local avec réversibilité

Assurez-vous que les systèmes peuvent être déployés à la fois dans le cloud et localement, selon vos besoins. La réversibilité signifie que vous pouvez revenir à une configuration précédente si nécessaire, sans perturber les opérations et avec une maîtrise des coûts.

F. Possibilité d'adapter des procédures et le code

Les nouveaux systèmes devraient être suffisamment flexibles pour permettre des ajustements futurs. Vous devriez pouvoir personnaliser (ou faire personnaliser) les procédures et le code source pour répondre aux besoins évolutifs de votre organisation.

G. Indicateurs de résultats

Définissez des indicateurs de performance spécifiques qui permettront d'évaluer le succès des nouveaux systèmes. Ces indicateurs vous aideront à mesurer l'impact positif ou négatif des changements apportés.

4. L’opendata

L'opendata, ou "donnée ouverte", est devenue cruciale dans le cadre des stratégies "smart city". Elle consiste à rendre les données accessibles, échangeables et réutilisables entre différentes entités, notamment commerciales, afin de favoriser le développement du "big data". 

Les autorités publiques sont concernées par l’opendata car elles détiennent de nombreuses données qui peuvent intéresser le secteur privé. La mise à disposition de ces données peut également accroître la transparence des actions publiques.

L’Union européenne a ainsi dans un premier temps encouragé les autorités publiques à partager leurs données dites ouvertes avant de leur imposer puis d’amplifier un tel partage[1].

Il ne s’agit pas pour les autorités publiques de mettre à disposition toutes les données dont elles disposent, mais bien des “données présentées dans des formats ouverts qui peuvent être librement utilisées et partagées par tous, quelle qu’en soit la finalité”[2].

En Wallonie, c’est le décret du 24 novembre 2022 relatif à la diffusion et à la réutilisation des informations du secteur public qui transpose la dernière directive en la matière[3].

5. Assurer la continuité de service

Pour garantir la continuité de service, la pérennité des solutions et la maîtrise des coûts, il est essentiel de faire des choix judicieux, notamment entre le cloud et les solutions locales, la mutualisation des ressources et l'usage de logiciels libres.

La gestion du changement est également un aspect crucial de la transformation numérique. Il est nécessaire de former, sensibiliser et accompagner les équipes pour réussir cette transition.

A. Plan de reprise d'activité (PRA)

Élaborez un plan de reprise d'activité. Ce plan détaille les procédures à suivre en cas de panne majeure ou de catastrophe naturelle. Identifiez les systèmes et les services critiques qui doivent être restaurés en priorité. Déterminez les responsabilités des membres de l'équipe en cas d'incident et assurez-vous qu'ils sont formés pour exécuter ces tâches.

B. Sauvegarde et restauration des données

Mettez en place des politiques de sauvegarde régulières pour toutes les données importantes. Les sauvegardes doivent être stockées de manière sécurisée hors site, si possible hors connexion (cold storage) afin de réduire le risque de cyberattaque.Testez régulièrement la restauration des données pour vous assurer qu'elle fonctionne correctement.

C. Redondance et haute disponibilité

Utilisez des solutions redondantes pour les composants critiques de votre infrastructure, tels que les serveurs, les connexions Internet et les centres de données.
Mettez en place des systèmes haute disponibilité (clusters) pour les applications et bases de données essentielles afin de minimiser les temps d'arrêt.

D. Surveillance et détection d'incidents

Mettez en place des outils de surveillance qui vous permettent de détecter rapidement les problèmes et les menaces de sécurité. Configurez des alertes pour être informé immédiatement en cas de problème.

E. Plan de communication d'urgence

Élaborez un plan de communication d'urgence qui précise comment informer les employés, les citoyens et les parties prenantes en cas d'incident majeur. Assurez-vous que les canaux de communication d'urgence sont opérationnels en tout temps.

F. Tests de simulation

Organisez régulièrement des exercices de simulation pour tester votre plan de reprise d'activité. Cela permettra de mettre en évidence les lacunes et d'ajuster le plan en conséquence.

G. Contrats de service (SLA)

Établissez des accords de niveau de service (SLA) clairs avec les fournisseurs de services externes. Assurez-vous qu'ils disposent également de plans de continuité de service solides.

H. Gestion de la sécurité

La sécurité est essentielle pour maintenir la continuité. Assurez-vous que les politiques de sécurité informatique sont en place et que les systèmes sont protégés contre les menaces.

Mise en valeur depuis l’accélération digitale qui a suivi la pandémie Covid-19, la sécurité informatique est devenue la clé de voûte permettant d’assurer le bon fonctionnement des organisations.

Des référentiels méthodologiques permettent d’aider les responsables des administrations publiques afin de lutter contre la cyber criminalité. Si une démarche de type ISO 2700X peut rebuter, le Centre pour la cybersécurité Belgique (CCB) propose une version simplifiée et adaptée pour les administrations publiques, le “Base security guidelines (BSG)”[4] ainsi que le CyberFundamentals Framework[5].

Destiné à tous les responsables, y compris les non-techniciens, le BSG reprend les principes de base d’une bonne gestion, à savoir :

• la stratégie et le soutien de la direction
• l’inventaire des actifs et l’analyse des risques
• la mise en place des mesures de sécurité
• L’évaluation des mesures de sécurité

Une démarche d’amélioration de la qualité (PDCA, Plan, Do, Check, Act) doit être adoptée afin d’évoluer vers une “culture du risque”, indispensable pour faire face à la digitalisation croissante de l’administration.

Sans entrer dans les détails de cette réglementation complexe, il faut tout de même savoir que l’Europe s’est dotée d’une réglementation visant à renforcer la résilience des infrastructures numériques et à protéger les utilisateurs contre les cybermenaces[6], laquelle réglementation vise les pouvoirs publics. Celle-ci a fait l’objet d’une transposition en droit belge grâce à la loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la cybersécurité publique[7]. La mise en œuvre de cette loi aboutira à la rendre applicable à certaines communes, selon des critères qui doivent encore être précisés. Visée ou non par cette réglementation, chacune commune a intérêt à rehausser de manière significative son niveau de cybersécurité car le niveau général s’améliorant, elle est plus susceptible d’être le maillon faible, plus vulnérable aux cyberattaques.  

I. Documentation complète

Documentez tous les aspects de votre infrastructure, y compris les configurations matérielles et logicielles, les processus opérationnels et les procédures de dépannage.

J. Formation et sensibilisation

Formez le personnel sur les procédures de continuité de service et la gestion des incidents. Sensibilisez-les à l'importance de la continuité.

K. Démarche d’amélioration continue

Révisez et mettez à jour périodiquement votre plan de continuité de service pour tenir compte des évolutions technologiques, des changements organisationnels et des nouveaux risques.

L. Responsabilités et rôles

Identifiez clairement les responsables de la gestion de la continuité de service au sein de l'organisation. Assurez-vous qu'ils sont bien informés et préparés.

Les rôles des gestionnaires de cette problématique doivent être bien identifiés : le responsable de la sécurité de l’information (RSSI), en charge de l’infrastructure IT et de la politique de sécurité, a un domaine de compétences différent du DPO…

M. L’authentification unique (SSO)

Une solution d’authentification unique pour les citoyens et agents permettra un accès sécurisé et pratique à un éventail de services en utilisant un seul ensemble d'identifiants.

N. Simplification administrative 

Simplifiez les procédures administratives en dématérialisant les formulaires et en automatisant les processus. Les citoyens devraient pouvoir effectuer leurs démarches en ligne de manière fluide et intuitive. Intégrez une solution de signature électronique afin de permettre aux utilisateurs de signer les documents en toute sécurité.

O. Souveraineté des données

Veillez à ce que les données sensibles des citoyens soient stockées et traitées de manière sécurisée, conformément aux réglementations en vigueur.