Cyber-sécurité : la loi permettra-t-elle aux autorités de surveiller l'internet en temps réel ?

Des amendements à la loi sont proposés par l’agence nationale en charge de la cyber-sécurité. S’ils sont adoptés, ils lui permettront de surveiller le trafic sur internet en temps réel. Un expert en cyber-sécurité s’inquiète d’éventuelles intrusions dans les données personnelles. Mais l’agence rassure.

Une instance gouvernementale pourrait être en mesure de surveiller le trafic internet des Mauriciens en temps réel. Cet organisme est la Mauritian National Computer Security Incident Response Team (CERT-MU). Rappelons que le CERT-MU est l’agence nationale en charge de la cyber-sécurité à Maurice. Il tombe sous l’égide du National Computer Board (NCB) qui dépend, lui, du ministère de la Technologie, de la Communication et de l’Innovation.

Pour mieux lutter contre la cybercriminalité, le CERT-MU souhaite que la loi soit revue pour qu’elle s’aligne sur la convention de Budapest et sur l’African Union Convention on Cybersecurity and Personal Data Protection, dont Maurice est signataire.

C’est dans ce contexte que l’institution a émis une série de propositions d’amendements connue comme ‘Alignment of Computer Misuse and Cybercrime Act 2003’.

Selon les documents relatifs à cette révision de la loi que la CERT-MU a publiés sur son site internet, l’objectif est de « faire de la Computer Misuse and Cybercrime Act 2003 un élément efficace de la législation sur la cybercriminalité et sur les preuves électroniques afin que les poursuites légales et les jugements dans des affaires de cybercrimes soient appropriés ».

Les amendements donneront plus de pouvoirs à la CERT-MU. Par exemple et en temps réel, l’instance pourrait surveiller le trafic internet de certaines personnes ou organisations suspectées de commettre des délits majeurs. Justement, cette proposition ne fait pas l’unanimité parmi les experts en cyber-sécurité.

Craintes pour le secteur prive

« Les communications sur internet sont plus ou moins cryptées et la manière dont la CERT-MU les contrôlera n’est pas clair, s’inquiète Loganaden Velvindron, membre fondateur du groupe Hackers.mu, dans une déclaration au Défi Plus. Selon les amendements proposés, la CERT-MU pourrait infiltrer des systèmes privés comme les réseaux sociaux ainsi que les données bancaires des citoyens et des entreprises en cas de doute sur des activités qui pourraient être liées à de la cybercriminalité. En clair, l’agence pourra venir voir ce que font les Mauriciens sur les réseaux sociaux comme Facebook, Instagram ou Twitter et lire leurs emails et leurs messages. Toujours dans ce contexte, la CERT-MU pourra même saisir des appareils informatiques pour les analyser. Ils doivent clarifier les méthodes qu’ils utiliseront pour décrypter les réseaux. » Il se demande si avec une telle surveillance, le secteur privé sera rassuré sur le niveau de cyber-sécurité du pays.

Loganaden Velvindron a une autre crainte pour le secteur privé. Un amendement lié à l’Alignment of Computer

Misuse and Cybercrime Act 2003 interdirait l’utilisation de certains logiciels d’intrusion. Ces programmes peuvent permettre à des pirates de s’infiltrer dans des systèmes informatiques pour voler des données confidentielles, mais ils servent aussi aux entreprises de cyber-sécurité. Notamment lors des audits des systèmes informatiques de leurs clients. Ainsi, le membre de Hacker.mu redoute que ces derniers ne deviennent à terme vulnérables.

Les autorités se veulent rassurantes

Contacté par Le Défi Plus, Kaleem Ahmed Usmani, directeur de la CERT-MU, indique que la Computer Misuse and Cybercrime Act 2003 doit être alignée sur les conventions dont Maurice est signataire et les normes internationales. Il ajoute que ce texte de loi doit aussi s’adapter aux évolutions de la cyber-sécurité intervenue depuis 2003.

« Le système aura la possibilité de détecter suffisamment tôt de potentielles cyber-attaques dévastatrices. Il pourra également intervenir en temps réel sur des incidents liés à la cyber-sécurité. Cela requiert la surveillance des programmes malveillants au niveau de la bande passante en collaboration avec les fournisseurs d’accès à internet. Cette surveillance se limitera à l’identification des virus informatiques. A aucun moment, la CERT-MU pourra légalement avoir accès à ce qu’il y a dans le trafic et l’agence ne va donc pas surveiller les données privées des Mauriciens », indique Kaleem Ahmed Usmani.

La Convention de Budapest

La Convention de Budapest est le premier traité international qui tente d'aborder les crimes informatiques et les crimes sur internet en harmonisant certaines lois nationales, en améliorant les techniques d'enquête et en augmentant la coopération entre les nations. Il a été rédigé par le Conseil européen avec la participation active d'observateurs délégués du Canada, du Japon et de la Chine. Maurice est signataire de la Convention de Budapest depuis novembre 2013.