Quand les données publiques ouvertes deviennent un risque pour la sécurité

Les villes publient depuis des années des informations sur les transports données, des documents d'urbanisme, des plans des réseaux, des données environnementales et des informations détaillées sur les infrastructures publiques. L'objectif était louable : une plus grande transparence, un meilleur contrôle public et de nouvelles opportunités pour les entreprises, les chercheurs et les associations civiques.

Ces mêmes informations peuvent également révéler le fonctionnement d'une ville, identifier ses points de dépendance critiques et déterminer quels sont les infrastructures dont la défaillance entraînerait les perturbations les plus importantes.

Un ensemble de données pris isolément peut sembler inoffensif. Le risque apparaît lorsque l'on combine des cartes librement accessibles, des documents d'appel d'offres, des demandes de permis d'urbanisme, des calendriers de maintenance et des données de capteurs en temps réel. Ensemble, ces éléments peuvent révéler l'emplacement de sous-stations électriques importantes, le tracé des réseaux de communication, les points d'accès à des installations techniques ou encore les systèmes dont dépendent les hôpitaux, les transports et les services d'urgence.

Les villes ne devraient pas renoncer aux données ouvertes. Elles devraient cesser de considérer leur publication comme une simple formalité administrative.

La prochaine étape de la politique en matière de villes intelligentes nécessite une distinction plus rigoureuse entre les informations qui favorisent le contrôle démocratique et celles qui accroissent la vulnérabilité opérationnelle. Chaque ensemble de données devrait être évalué avant sa publication en fonction de ce qu’il révèle en soi, de ce qu’il révèle lorsqu’il est combiné à d’autres sources et de la rapidité avec laquelle les conséquences pourraient être maîtrisées en cas d’utilisation abusive.

La transparence n'implique pas nécessairement une exposition opérationnelle

Les pouvoirs publics ont des raisons légitimes de divulguer des informations relatives aux infrastructures.

Les habitants doivent savoir comment les deniers publics sont dépensés, où des chantiers sont prévus et si les services sont gérés efficacement. Les journalistes et les organisations de la société civile doivent pouvoir accéder aux documents leur permettant d’examiner les contrats, les impacts environnementaux et les décisions politiques. Les entreprises utilisent les données municipales pour développer des services liés à la navigation, à la mobilité, à l’immobilier et à l’énergie.

Rien de tout cela n'oblige les villes à publier l'ensemble des détails techniques dans un format lisible par machine, sans aucune restriction.

Une collectivité locale peut annoncer qu'une modernisation du réseau est prévue, en expliquer le coût et désigner l'entrepreneur sans pour autant publier le schéma précis des composants critiques. Elle peut fournir des informations agrégées sur les interruptions de service sans révéler les caractéristiques techniques des équipements, les points d'accès pour la maintenance ou les interdépendances entre plusieurs installations.

La distinction pertinente ne porte pas sur l'opposition entre un gouvernement transparent et un gouvernement secret. Elle porte plutôt sur la distinction entre les informations nécessaires pour demander des comptes aux institutions publiques et celles qui n'apportent guère de valeur civique tout en créant un risque pour la sécurité qui pourrait être évité.

Cette distinction fait souvent défaut, car les règles de transparence et les programmes de données ouvertes ont été élaborés indépendamment des procédures de sécurité des infrastructures. Un service prépare les ensembles de données publiques, un autre gère les infrastructures et un troisième supervise la cybersécurité. Aucun service ne se charge d'examiner comment ces informations s'articulent entre elles.

Le risque réside dans le fait de combiner des informations ordinaires

Les infrastructures critiques sont rarement compromises par un seul document qualifié de « confidentiel ».

Le plus souvent, une partie intéressée peut se faire une idée précise de la situation à partir de plusieurs sources courantes. Un portail public dédié à l’aménagement du territoire peut indiquer l’empreinte au sol d’une installation technique. Un avis de marché précise les équipements qui seront installés. Un contrat de maintenance révèle l’identité du prestataire de services. Les données relatives aux travaux routiers indiquent où des tranchées sont creusées, tandis qu’une étude environnementale explique le tracé d’un câble ou d’une canalisation.

Chaque publication peut se justifier prise isolément. Mais, mises bout à bout, elles peuvent révéler bien plus que ce que n'avait prévu aucun service.

Les outils numériques facilitent ce travail de synthèse. Les données peuvent être collectées automatiquement, recoupées par lieu et comparées à des images satellites, aux registres de l'entreprise et aux informations publiées par les sous-traitants ou les salariés. Des informations qui nécessitaient autrefois des semaines d'observation sur le terrain peuvent désormais être rassemblées à distance et mises à jour en continu.

Les villes doivent donc évaluer l'effet cumulatif de la divulgation. Il ne suffit plus de se demander si un document est confidentiel. La question la plus pertinente est de savoir s'il permet de compléter une vision opérationnelle plus large lorsqu'il est associé à des informations déjà disponibles ailleurs.

Cela vaut tout particulièrement pour les données géographiques. Les coordonnées, les tracés de réseaux et les relations spatiales permettent de superposer différents ensembles de données les uns sur les autres. Une carte des bâtiments publics peut devenir plus sensible lorsqu’elle est combinée à des données relatives à l’électricité, aux communications, aux transports et aux interventions d’urgence.

Les jumeaux numériques facilitent la gestion des villes… et leur étude

Les jumeaux numériques occupent désormais une place importante dans l'urbanisme. Ils permettent aux collectivités locales de modéliser la circulation, la consommation d'énergie, les travaux de construction, les risques d'inondation et les conséquences des décisions d'aménagement avant que celles-ci ne soient concrétisées sur le terrain.

Leur valeur réside dans le souci du détail. Un jumeau numérique utile peut contenir des informations sur les bâtiments, les rues, les réseaux de services publics, les capteurs, les réseaux de transport et les équipements collectifs. Il permet de montrer comment un système en influence un autre et où une perturbation pourrait se propager.

Ces mêmes fonctionnalités posent un problème de sécurité lorsque trop d'éléments du modèle sont rendus accessibles au public.

Une version simplifiée peut aider les habitants à comprendre un plan d'aménagement ou à évaluer l'impact environnemental d'un projet. Un accès technique complet pourrait mettre en évidence des interdépendances qui ne sont pas visibles sur les cartes classiques. Il pourrait révéler quels éléments ne disposent d'aucun itinéraire alternatif, où se concentre la capacité ou comment une défaillance sur un réseau affecterait un autre.

Les villes devraient donc éviter de considérer un jumeau numérique comme un produit public indivisible. Différentes versions peuvent répondre aux besoins de différents utilisateurs.

Les habitants peuvent disposer d'une couche visuelle d'urbanisme. Les chercheurs peuvent travailler à partir d'ensembles de données anonymisées ou agrégées. Les entrepreneurs peuvent recevoir les informations nécessaires à un projet précis, tandis que les exploitants d'infrastructures conservent l'accès au modèle opérationnel complet.

L'accès doit être adapté à l'objectif visé. Publier l'intégralité du modèle simplement parce que certaines de ses parties favorisent la participation du public revient à confondre transparence et divulgation technique sans restriction.

Les données en temps réel modifient la nature de la menace

Les informations statiques peuvent devenir obsolètes. Les données en temps réel reflètent la situation actuelle.

Les systèmes de « ville intelligente » peuvent diffuser en temps réel des informations sur les conditions de circulation, la localisation des transports en commun, la disponibilité des places de stationnement, la demande énergétique, les données environnementales et les taux d'occupation. Ces services facilitent les déplacements en ville et permettent à des applications privées d'améliorer la mobilité.

Le risque s'accroît lorsque les retransmissions en direct révèlent les capacités opérationnelles, les routines habituelles ou les conséquences d'un incident au fur et à mesure de son déroulement.

Les informations en temps réel permettent de déterminer si une perturbation a touché un quartier en particulier, à quelle vitesse les services sont rétablis et quels systèmes de secours ont été activés. Les données destinées à informer les habitants peuvent également servir de retour d'expérience à ceux qui évaluent la résilience des infrastructures.

La solution ne consiste pas à supprimer tous les services en ligne. Il s'agit plutôt de se demander si l'on peut obtenir le même bénéfice public en réduisant la précision, en décalant la publication ou en recourant à une agrégation géographique.

Une autorité de transport peut être amenée à démontrer qu'un itinéraire accuse un retard sans pour autant divulguer les données techniques de télémétrie issues du système de contrôle sous-jacent. Un tableau de bord énergétique peut rendre compte de la consommation à l'échelle d'un quartier sans publier de données suffisamment détaillées pour révéler l'activité de chaque installation.

Le niveau de détail des données relève d'un choix en matière de sécurité. Il ne doit pas être déterminé uniquement par ce que la technologie est capable de fournir.

Les documents relatifs aux marchés publics révèlent plus que ce à quoi s'attendent les villes

Les marchés publics constituent une autre source importante de divulgation involontaire.

Les dossiers d'appel d'offres doivent fournir aux soumissionnaires suffisamment d'informations pour leur permettre de bien comprendre les travaux et de concourir dans des conditions équitables. Dans le cadre de projets d'infrastructure et de technologie, ces informations peuvent notamment porter sur l'architecture du système existant, les exigences techniques, les points d'intégration, les fonctions de sécurité et la description des faiblesses actuelles.

Une fois publiées, ces informations peuvent rester en ligne longtemps après la fin de la procédure de passation de marché.

Le problème se pose avec une acuité particulière lorsqu'une collectivité locale décrit ses lacunes actuelles afin de justifier un nouveau contrat. Un appel d'offres en matière de cybersécurité peut par exemple indiquer que les systèmes sont obsolètes, que la surveillance est incomplète ou que certains sites ne disposent pas de redondance. Un projet réseau peut, quant à lui, énumérer les équipements, les versions logicielles et les exigences en matière d'accès à distance.

Les villes devraient distinguer les informations nécessaires à la transparence vis-à-vis du public des documents techniques requis par les soumissionnaires qualifiés. Certains documents peuvent rester accessibles au public, tandis que les cahiers des charges plus sensibles sont communiqués dans le cadre d'une procédure de passation de marché contrôlée, après des vérifications appropriées et la signature d'engagements de confidentialité.

Les prestataires ont également besoin de règles en matière de publication. Les fournisseurs décrivent régulièrement les projets dans des études de cas, des présentations lors de conférences et des supports marketing. Une mise en œuvre de « ville intelligente » impressionnante sur le plan technique peut être présentée à l'aide de schémas, de captures d'écran et de détails opérationnels que la municipalité elle-même n'aurait pas divulgués.

Le contrat doit préciser ce que les fournisseurs sont autorisés à divulguer, qui approuve les communications externes et comment les informations sensibles sont supprimées à la fin d'un projet.

La classification des données doit être effectuée avant leur publication.

De nombreuses collectivités locales comptent sur leurs agents pour identifier les informations sensibles lors de la préparation des documents destinés à être rendus publics. Cette approche manque de cohérence et fait peser une responsabilité trop importante sur le jugement individuel.

Les villes ont besoin d'un système de classification applicable aux ensembles de données, aux documents, aux cartes et aux services numériques avant leur publication.

Un cadre pratique devrait prendre en compte plusieurs questions. Ces informations permettent-elles d’identifier un bien essentiel ? Révèlent-elles la capacité, l’état ou les dépendances de ce bien ? Pourraient-elles aider quelqu’un à y accéder, que ce soit physiquement ou numériquement ? Ces informations sont-elles disponibles ailleurs, et leur publication faciliterait-elle considérablement leur utilisation ? Leur recoupement avec d’autres sources pourrait-il accroître le risque ? En combien de temps la ville serait-elle en mesure de détecter et de contenir toute utilisation abusive ?

La réponse doit déboucher sur un traitement bien défini. Les informations peuvent être publiées dans leur intégralité, sous forme agrégée, avec un délai de diffusion, expurgées, réservées à des utilisateurs autorisés ou non divulguées.

La classification ne doit pas servir de prétexte commode au secret. Les décisions doivent reposer sur des critères clairs, un raisonnement documenté et faire l'objet d'un réexamen périodique. Les informations non divulguées pendant la phase de construction, par exemple, peuvent perdre de leur caractère sensible une fois le projet achevé. D'autres données peuvent, à l'inverse, devenir plus sensibles à mesure que les systèmes s'interconnectent.

Ce processus doit également s'accompagner d'un mécanisme de recours ou de réexamen. Le contrôle démocratique s'en trouve affaibli lorsque les classifications de sécurité ne peuvent être contestées. L'objectif est d'assurer une protection proportionnée, et non de dissimuler des informations à des fins administratives.

Supprimer des informations a posteriori ne constitue pas une stratégie de sécurité

Les villes réagissent parfois à une nouvelle menace en supprimant des documents de leurs sites Internet. Cela peut limiter l'accès fortuit à ces informations, mais ne garantit pas pour autant qu'elles ne soient plus disponibles.

Les documents publics sont copiés, indexés, archivés et rediffusés. Les ensembles de données ouverts ont peut-être déjà été téléchargés par des entreprises, des chercheurs et des particuliers. Les cartes peuvent apparaître dans des rapports, des demandes de permis d'urbanisme ou sur des plateformes tierces échappant au contrôle de la municipalité.

La publication doit donc être considérée comme pratiquement permanente.

Cela modifie le processus décisionnel. Une ville ne doit pas partir du principe que des informations sensibles peuvent être rendues publiques à titre temporaire, puis retirées si la situation évolue. Une fois divulguées, on en perd en grande partie le contrôle.

Lorsqu'il existe un besoin public légitime mais que les informations risquent de devenir sensibles par la suite, la commune peut envisager un accès contrôlé et limité dans le temps plutôt qu'une publication sans restriction. Les utilisateurs peuvent être tenus de s'inscrire, d'accepter certaines conditions ou d'accéder aux documents via un portail qui enregistre leur utilisation.

À eux seuls, ces contrôles n'empêcheront pas les utilisations abusives délibérées. Ils peuvent toutefois dissuader la redistribution inconsidérée, faciliter les enquêtes et permettre de restreindre l'accès sans prétendre que la suppression des pages web résout le problème.

Les portails de données ouvertes nécessitent une gouvernance en matière de sécurité

Les équipes chargées des données ouvertes sont souvent évaluées en fonction du nombre de jeux de données publiés, de leur qualité technique et de la fréquence de leur mise à jour. Ces critères encouragent la publication, mais ne permettent guère de déterminer si ces informations devraient être rendues publiques.

La sécurité devrait faire partie intégrante du processus de gouvernance des données, plutôt que de faire l'objet d'un examen externe mené uniquement après l'apparition de problèmes.

Chaque ensemble de données doit avoir un responsable qui en comprenne à la fois la valeur publique et le contexte opérationnel. Ce responsable doit savoir d'où proviennent les données, comment elles sont mises à jour, quels champs présentent des risques et avec quels autres ensembles de données elles pourraient être combinées.

Les publications présentant un risque plus élevé doivent être examinées par des spécialistes des infrastructures, de la cybersécurité, du droit et de la protection des données. Ce processus doit être suffisamment rapide pour permettre la publication régulière ; sinon, les services le contourneront ou cesseront de fournir des informations utiles.

Les outils automatisés peuvent aider à identifier des coordonnées, des identifiants techniques, des données à caractère personnel ou des références à des installations critiques. Ils ne peuvent toutefois pas déterminer si l'ensemble de ces informations constitue une menace inacceptable. Cette évaluation nécessite une bonne connaissance du fonctionnement de la ville.

Tous les utilisateurs n'ont pas besoin du même niveau d'accès

Le modèle initial des données ouvertes partait souvent du principe que l'information devait être accessible à tous dans les mêmes conditions. Une approche plus aboutie permet de distinguer les utilisateurs publics, professionnels et opérationnels.

Un habitant peut avoir besoin d'informations synthétiques sur la qualité de l'air, tandis qu'une équipe de recherche universitaire a besoin de mesures historiques plus détaillées. Un prestataire chargé de la maintenance du réseau de capteurs a besoin des emplacements exacts et des identifiants techniques. Les exploitants d'infrastructures ont besoin d'un accès opérationnel en temps réel.

Ces utilisateurs n'ont pas besoin de jeux de données identiques.

Un accès à plusieurs niveaux permet de préserver les utilisations à forte valeur ajoutée sans publier ouvertement la version la plus sensible. Les chercheurs ou les entreprises peuvent obtenir des informations détaillées dans le cadre d'accords précisant la finalité, les mesures de sécurité et les conditions de redistribution. Les versions publiques peuvent être agrégées ou anonymisées.

Cela ne doit pas donner lieu à la création d'un marché privé de l'information publique ni conférer un avantage indu à certaines entreprises. Les critères d'accès doivent être transparents, cohérents et liés à un risque réel.

Le principe est simple : l'intérêt général peut justifier l'accès à ces informations sans pour autant exiger une publication universelle, anonyme et illimitée.

Les collaborateurs et les fournisseurs font partie du périmètre d'information

Les risques liés aux données municipales ne se limitent pas au portail de données ouvertes.

Les employés publient des cartes dans leurs présentations, partagent des informations sur l'avancement des projets sur des réseaux professionnels et répondent à des demandes d'informations individuelles. Les fournisseurs mettent en avant leurs équipements et leurs installations dans des photos promotionnelles. Les responsables politiques peuvent dévoiler des détails techniques lorsqu'ils expliquent pourquoi un investissement était nécessaire.

La plupart de ces divulgations partent d'une bonne intention. Prises dans leur ensemble, elles peuvent toutefois remettre en cause le système officiel de classification.

Les villes ont besoin de recommandations concrètes sur ce qui peut être rendu public, en particulier pour les agents travaillant dans les secteurs de l'énergie, des transports, de l'eau, des communications et des services d'urgence. Ces règles devraient porter notamment sur les photographies, les documents de conférence, les réseaux sociaux et les réponses aux demandes de renseignements externes.

La formation devrait s'appuyer sur des exemples concrets plutôt que sur des mises en garde génériques. Les employés doivent comprendre pourquoi une simple photo d'une salle de contrôle, d'un point d'accès ou d'un site de maintenance peut révéler plus d'informations que prévu.

Les prestataires et les consultants doivent respecter les mêmes normes. Le fait d'externaliser un service ne décharge pas la ville de sa responsabilité quant aux informations le concernant.

La transparence et la sécurité doivent se renforcer mutuellement

Un secret excessif peut nuire à la protection des infrastructures.

Lorsque les citoyens, les journalistes et les experts indépendants ne peuvent pas examiner les projets publics, les défaillances dans les marchés publics et le manque de résilience risquent de passer inaperçus. La transparence permet de mettre en lumière un entretien négligé, une planification insuffisante et des contrats qui ne prévoient pas de redondance suffisante. Le contrôle public peut donc contribuer à renforcer la sécurité.

L'objectif n'est pas de dissimuler le degré de résilience des infrastructures. Les villes devraient publier leurs évaluations des risques, leurs priorités d'investissement, leurs indicateurs de performance et des explications sur la manière dont elles gèrent les perturbations. Elles devraient permettre de vérifier si les fonds publics sont utilisés à bon escient.

Ce qu'ils n'ont pas besoin de divulguer, ce sont les détails opérationnels qui faciliteraient les perturbations.

Une collectivité locale peut indiquer qu'un réseau manque de redondance sans préciser quel composant, en cas de défaillance, entraînerait la coupure d'un quartier. Elle peut expliquer que les mesures de cybersécurité sont en cours d'amélioration sans énumérer les systèmes vulnérables ni les lacunes de configuration.

Une bonne transparence permet d'expliquer les décisions, les responsabilités et les résultats. Elle ne nécessite pas de manuel d'utilisation.

Les villes ont besoin d'un modèle de menace lié à la publication

Avant de publier des données relatives aux infrastructures, les communes devraient se demander comment celles-ci pourraient être utilisées à mauvais escient et par qui.

L'utilisateur potentiel n'est pas nécessairement un acteur étranger expérimenté. Il peut s'agir d'un groupe criminel cherchant à accéder à des installations, d'un vandale à la recherche d'une cible facile, d'un maître chanteur évaluant les points de dépendance ou d'un individu souhaitant provoquer des perturbations et ne disposant que de connaissances techniques limitées.

Cela est important car l'accès libre à l'information réduit le niveau d'expertise requis. Un ensemble de données n'a pas besoin de permettre directement une attaque pour être dangereux. Il peut permettre de gagner du temps, d'identifier une cible ou de confirmer qu'un actif particulier revêt une importance stratégique.

Le modèle de menace doit également tenir compte des conséquences. Les données relatives à une petite installation municipale peuvent être moins sensibles que celles concernant un infrastructure desservant des hôpitaux, les communications d'urgence ou les transports régionaux. Un même élément technique peut présenter des risques très différents selon ce qui en dépend.

Les décisions de publication doivent tenir compte à la fois de la probabilité et de l'impact.

La ville intelligente doit savoir quand ne pas publier d'informations

Les données ouvertes restent essentielles à une gouvernance responsable et à des services numériques utiles. La réponse aux menaces pesant sur les infrastructures ne doit pas se traduire par un retour à des administrations fermées et à des archives publiques inaccessibles. Les villes doivent toutefois abandonner l’idée selon laquelle une quantité accrue de données est toujours le signe d’une plus grande maturité numérique. Une ville intelligente mature sait quelles informations créent de la valeur publique, quel niveau de détail est nécessaire et quels publics doivent y avoir accès. Elle comprend que des ensembles de données distincts peuvent révéler des relations sensibles lorsqu’ils sont combinés, que les flux en temps réel modifient les risques et que les informations techniques ne peuvent être retirées une fois publiées.

Cela nécessite une classification, un accès à plusieurs niveaux, des contrôles des fournisseurs et une coopération entre les équipes chargées de la transparence, des infrastructures et de la sécurité. Cela exige également une discipline politique. La publication de cartes détaillées et de tableaux de bord peut mettre en évidence des progrès visibles, tandis qu’une gouvernance rigoureuse des données est moins spectaculaire à mettre en avant. Cette distinction prendra de l’importance à mesure que les villes connecteront davantage de capteurs, de systèmes et de services. Chaque nouvelle couche numérique améliore la capacité à comprendre et à gérer les infrastructures urbaines. Elle peut également permettre à d’autres de mieux cerner ses faiblesses. Les données municipales ouvertes devraient aider les habitants à comprendre comment leur municipalité est gérée. Elles ne devraient pas fournir de mode d’emploi permettant de perturber ses systèmes essentiels.