Infrastructure–Governance Asymmetry and Cybersecurity Exposure in Nepal's E-Governance: A South Asian Comparative Study

Imaginez un pays construisant un nouveau réseau autoroutier. Les routes sont larges, les ponts sont solides et le trafic circule plus vite que jamais auparavant. Mais si les feux de signalisation sont en panne, si la police est en sous-effectif et si les conducteurs n'ont pas de carte, la vitesse des voitures devient un danger plutôt qu'un avantage. C'est la tension centrale explorée dans une nouvelle étude sur le monde numérique du Népal. La recherche examine comment les nations utilisent la technologie pour gérer leurs gouvernements — ce que les experts appellent l'e-gouvernance. Elle examine deux choses distinctes : les outils physiques et numériques qu'un pays construit, comme les connexions Internet et les serveurs informatiques, et les systèmes humains et juridiques nécessaires pour les gérer en toute sécurité, tels que les travailleurs qualifiés, les règles claires et la capacité à détecter les problèmes avant qu'ils ne causent de dommages. La question qui motive ce travail est simple : alors que les pays se lancent dans une course pour construire davantage de services numériques, construisent-ils les filets de sécurité assez rapidement pour suivre cette vitesse ?

Un chercheur du Softwarica College à Katmandou, Ganesh Bhusal, a décidé de tester cette idée en examinant de près la propre histoire numérique du Népal. Il a rassemblé des données provenant de deux organisations internationales majeures qui suivent ces tendances à l'échelle mondiale. Un ensemble de chiffres mesure la capacité d'un pays à fournir des services en ligne, tandis que l'autre mesure l'engagement d'un pays à sécuriser ses systèmes numériques. En comparant ces chiffres au cours des deux dernières décennies, et en examinant les brèches de sécurité réelles survenues au Népal, l'étude révèle un écart surprenant. Le pays a réussi de manière incroyable à poser les fondations numériques. Entre 2020 et 2024, la qualité de son infrastructure de télécommunications a progressé de plus de soixante pour cent. Cependant, la capacité à gouverner ces systèmes et à impliquer les citoyens dans le processus n'a pas suivi. En fait, la mesure de la participation des citoyens aux décisions gouvernementales en ligne a en réalité chuté de quarante pour cent au cours de la même période. Les chercheurs appellent ce décalage « asymétrie infrastructure-gouvernance ». Cela signifie que l'autoroute numérique est pavée plus vite que les règles de circulation et les équipes de sécurité ne peuvent être organisées.

L'étude ne s'arrête pas au seul examen du Népal ; elle place le pays côte à côte avec ses voisins d'Asie du Sud pour voir s'il s'agit d'un problème local ou d'un modèle régional. La comparaison montre que, bien que l'Inde et le Bhoutan construisent également rapidement leurs routes numériques, l'écart entre la construction et la gouvernance est plus large au Népal qu'chez eux. Une conclusion particulièrement révélatrice provient de l'examen de la manière dont les pays obtiennent des scores en matière de sécurité. Le Népal possède des lois très solides sur le papier. Son score pour les mesures juridiques concernant la cybersécurité est parmi les plus élevés de la région, se situant juste à côté des meilleurs performeurs. Pourtant, lorsqu'il s'agit des compétences pratiques nécessaires pour utiliser ces lois — comme disposer des outils techniques appropriés et de la coopération internationale pour arrêter les hackers — les scores du Népal sont les plus bas du groupe. Cela suggère que posséder une loi n'est pas la même chose que posséder la capacité de l'appliquer. L'étude a également constaté que d'autres pays, comme le Pakistan et le Bangladesh, ont des scores d'engagement de sécurité très élevés mais des niveaux relativement bas de développement effectif des services numériques. Cela met en garde contre l'idée de supposer qu'un score élevé sur une liste de contrôle de sécurité signifie qu'un pays est réellement sûr ; cela peut simplement signifier qu'ils ont écrit de bonnes règles sans avoir le personnel pour les appliquer.

Pour comprendre à quoi ressemble ce fossé dans la vie réelle, le chercheur a examiné six incidents de sécurité spécifiques survenus au Népal entre 2020 et 2026. Ces événements allaient d'une panne majeure ayant paralysé les sites web gouvernementaux et retardé les vols internationaux à des hackers volant des millions de dossiers de citoyens. Un modèle critique est apparu dans la manière dont ces problèmes ont été découverts. Dans presque tous les cas, le gouvernement n'a pas découvert la brèche lui-même. Au contraire, les problèmes ont été révélés par des groupes extérieurs, tels que des chercheurs en sécurité, des services de surveillance étrangers, ou les hackers eux-mêmes qui ont fait la publicité des données volées. Un cas notable impliquait une agence gouvernementale qui n'a réalisé qu'elle avait été compromise qu'après avoir rejoint un service externe qui suit les mots de passe divulgués. Cela indique que la capacité interne à surveiller les problèmes est faible. Le gouvernement dépend des tiers pour lui dire quand ses propres systèmes sont défaillants.

L'étude examine également une tendance nouvelle et en croissance rapide : l'utilisation de l'intelligence artificielle pour écrire le code informatique des systèmes gouvernementaux. Une entreprise d'État au Népal a commencé à utiliser des outils d'IA pour construire des logiciels fonctionnels en quelques heures, un processus qui prenait autrefois des semaines. Bien que cela accélère le développement, cela introduit un nouveau risque. Le gouvernement affirme que des équipes humaines examinent et testent ce code généré par l'IA, mais il n'existe aucune preuve publique montrant à quoi ressemble ce processus de révision ou qui en est responsable. Le chef du centre national de cybersécurité a admis que cette adoption rapide crée des « angles morts », où les agences construisent des systèmes sans comprendre pleinement la sécurité sous-jacente. La recherche ne prétend pas que l'IA a causé un désastre spécifique pour l'instant, mais elle souligne une réalité inquiétante : la vitesse de construction des logiciels augmente, tandis que la vitesse de vérification de la sécurité de ces logiciels ne suit pas clairement le rythme.

Enfin, l'article soutient que la solution ne consiste pas seulement à écrire plus de lois ou à construire plus de serveurs. Les données montrent que le Népal possède déjà des lois solides et construit son infrastructure à un rythme record. La pièce manquante est la capacité opérationnelle pour gérer ce qui a été construit. Les recommandations suggèrent que le pays doit investir massivement dans la formation de sa propre main-d'œuvre pour détecter et réparer les problèmes de sécurité, plutôt que de compter sur l'aide extérieure pour les trouver. Elle appelle également à un système où la vitesse de construction de nouveaux outils numériques est égalée par un processus vérifié et documenté pour vérifier leur sécurité. L'étude conclut que tant la capacité à gouverner et à sécuriser les systèmes numériques ne croîtra pas au même rythme que les systèmes eux-mêmes, l'expansion rapide de l'e-gouvernance laissera le pays exposé. La route est en train d'être construite, mais l'équipe de sécurité est encore à la traîne.