A Design Science Approach to Zero Trust Cyber Risk Governance in Digital Government Platforms: Development and Evaluation of the CRGMM Framework

Imaginez le gouvernement numérique du Koweït, Sahel, comme une gare de train massive et ultra-rapide. Au lieu d'avoir 433 guichets de billets séparés, chacun avec son propre agent de sécurité et sa propre salle d'attente, le gouvernement a construit un seul terminal géant et de haute technologie où tout le monde entre par une porte unique. C'est brillant en termes de vitesse et de commodité : vous pouvez acheter un billet de train, renouveler un passeport et payer une facture de services publics au même endroit. Mais attention : si un voleur s'introduit dans ce terminal unique, il ne vole pas seulement le billet d'une personne ; il pourrait potentiellement s'emparer des clés de tout le système de transport de la ville.

Ce document, écrit par Abdullah F. Alenezi, soutient que bien que le Koweït ait construit une gare très sophistiquée avec de nouvelles serrures très cool (comme les scanners d'empreintes digitales), le plan de bataille pour les agents de sécurité est manquant. La gare fonctionne sur les principes du « Zero Trust » (une façon élégante de dire « ne faites confiance à personne, vérifiez toujours l'identité »), mais les règles déterminant qui peut vérifier les identités et ce qu'il se passe si les serrures sont forcées n'ont pas encore été inscrites dans la loi.

Le gros problème : Le « Paradoxe de la Concentration »

Le document appelle cela le Paradoxe de la Concentration. C'est comme mettre tous vos œufs dans un seul panier parce qu'il est plus facile à transporter, pour ensuite réaliser que si le panier tombe, vous perdez tous vos œufs d'un coup.

• La bonne nouvelle : La gare est opérationnelle. Plus de 122 millions de trajets ont été effectués, et les scanners d'empreintes digitales (appelés Hawyti) fonctionnent.
• La mauvaise nouvelle : La gare est une Plateforme Gouvernementale Systémiquement Importante (SIGP). Cela signifie qu'elle est si importante que si elle plante, tout le pays en ressent les conséquences. Pourtant, le document constate que le « plan de sortie d'urgence » de la gare et les « lois sur la protection des données » sont encore en phase de rédaction.

L'outil « CRGMM » : Un bulletin de notes pour la sécurité

Pour corriger cela, l'auteur a inventé un nouvel outil appelé le Cyber Risk Governance Maturity Model (CRGMM). Voyez cela comme un bulletin de notes spécialisé conçu spécifiquement pour les géantes gares numériques, et non pour de simples bureaux.

La plupart des bulletins existants (comme CMMI ou NIST CSF) sont comme vérifier si une seule voiture a un frein qui fonctionne. Mais Sahel est toute une flotte de 433 voitures reliées entre elles. Les anciens bulletins ne savent pas comment noter la connexion entre les voitures.

Le nouveau bulletin CRGMM possède six dimensions (comme six matières scolaires différentes) et cinq niveaux (allant de « Échec » à « A+ »). L'auteur a testé ce bulletin auprès d'un panel de 15 experts (un mélange de professeurs d'université, de techniciens gouvernementaux et de professionnels de la sécurité). Les experts se sont accordés sur les notes avec un score de 0,76 (ce qui est un niveau d'accord solide de « B+ » dans le monde de la statistique).

Ce que le bulletin a révélé

Lorsque l'auteur a utilisé ce nouveau bulletin sur la plateforme Sahel du Koweït, les résultats étaient un mélange de « Excellent matériel » et de « Règles manquantes » :

1. Les risques « Critiques » : Le document a identifié deux menaces comme étant Critiques (le niveau de danger le plus élevé, avec un score de 20 sur 25).

   • Fraude à l'identité de la plateforme : Des individus malveillants se faisant passer pour la gare (fausses applications, SMS de phishing). La station possède un bouton « signaler la fraude » (appelé Aman), mais c'est comme avoir une boîte aux lettres pour les plaintes sans force de police pour réellement attraper les criminels.
   • Violation de données inter-agences : Puisque 38 agences gouvernementales différentes sont liées, si une agence possède une serrure faible, les méchants peuvent passer directement aux autres. Le document affirme qu'aucune règle n'oblige ces agences à utiliser un système « Zero Trust » (où l'on vérifie l'identité à chaque porte, et pas seulement à l'entrée principale).

2. Les lois « Manquantes » : Le document souligne une lacune majeure : le Koweït ne possède pas encore de Loi sur la protection des données personnelles (PDPL) ni d'Autorité de protection des données (DPA) indépendante.

   • Analogie : C'est comme construire une chambre forte avec une porte en acier de pointe, mais la banque n'a aucune loi stipulant que la chambre forte doit être verrouillée, et aucun officier de police n'est assigné pour la surveiller. Le document soutient que sans ces lois, la porte sophistiquée n'est que de la décoration.

3. Le piège « Biométrique » : La station utilise des empreintes digitales et des scans faciaux. Le document prévient que, contrairement à un mot de passe, vous ne pouvez pas changer votre empreinte digitale si elle est volée. Si un pirate vole les données d'empreintes, c'est perdu pour toujours. Le document précise qu'il n'existe pas encore de lois spécifiques pour protéger ces données « irréversibles ».

Ce que le document écarte

L'auteur est très clair sur ce qui ne fonctionnera pas :

• Le simple fait de « Cocher la case » : On ne peut pas simplement dire « Nous sommes certifiés ISO 27001 » (une norme de sécurité) et s'arrêter là. Le document soutient qu'une certification sans une véritable loi derrière est une « conformité de surface » : cela semble bien sur le papier, mais cela n'arrête pas réellement les voleurs.
• Attendre que le temps règle le problème : Le document rejette l'idée que les problèmes de sécurité se résoudront d'eux-mêmes à mesure que la plateforme grandit. En fait, plus vous ajoutez de services, plus le risque s'aggrave car le « fossé de gouvernance » (les règles manquantes) s'élargit.
• Copier les modèles d'entreprise : On ne peut pas simplement utiliser des règles de sécurité conçues pour une entreprise classique (comme une banque ou une firme technologique) car une plateforme gouvernementale traite avec des citoyens, pas seulement des employés. Les règles doivent être différentes.

La feuille de route proposée : Un plan en trois phases

Le document suggère un plan étape par étape pour réparer la gare, mais il insiste sur l'ordre des priorités. On ne peut pas construire le toit avant d'avoir coulé les fondations.

• Phase 1 (Les Fondations - 0 à 18 mois) : Avant d'ajouter plus de technologie, vous devez écrire les lois.
  • Adopter une Loi sur la protection des données personnelles.
  • Créer une Autorité de protection des données indépendante (une force de police pour les données).
  • Établir un plan public sur ce qu'il faut faire en cas de violation (incluant l'information des citoyens sous 72 heures).
• Phase 2 (La Structure - 18 à 36 mois) : Maintenant, vous construisez les règles technologiques.
  • Obliger toutes les agences à être certifiées et à utiliser le Zero Trust (vérifier l'identité à chaque porte).
  • Créer un bouclier spécial pour les données d'empreintes digitales.
• Phase 3 (La Culture - 36 à 60 mois) : Éduquer les passagers.
  • Lancer un programme pour apprendre aux citoyens (en plusieurs langues) comment repérer les arnaques.

Quel est notre degré de certitude ?

Le document est très prudent sur ce qu'il sait et ce qu'il suppose.

• Prouvé : L'auteur a mesuré l'état actuel en utilisant des documents publics et un panel d'experts. Le score d'accord de 0,76 parmi les experts est un fait concret.
• Simulé/Calculé : Les « Scores de Risque » (comme le 20 pour la fraude) sont calculés selon une formule (Probabilité × Impact) en utilisant des données connues. Ce ne sont pas des suppositions, mais ils sont basés sur des informations publiquement disponibles, et non sur des tests internes secrets.
• Suggéré : Le « Plan en trois phases » est une recommandation. Le document suggère que c'est la meilleure voie à suivre, mais il n'a pas encore été testé dans le monde réel. L'auteur admet qu'il n'a pas pu mener de « Red Team » (un groupe de hackers tentant une intrusion) car ces données ne sont pas publiques.

L'essentiel

Le document conclut que la station numérique du Koweït est une merveille d'ingénierie, mais qu'elle fonctionne dans un vide juridique. L'outil CRGMM montre que la technologie est prête, mais que la gouvernance (les règles et les lois) est à la traîne. L'auteur soutient que pour garder la station en sécurité, le gouvernement doit cesser de construire de nouveaux services et commencer à écrire les lois qui protègent ceux qu'ils possèdent déjà. C'est un appel à construire les « règles de la route » avant que les « voitures » ne deviennent plus rapides.