Cybersécurité : qu’est-ce qu’un système de «bug bounty», que l’État veut utiliser contre les piratages ?

# Cybersécurité : le «bug bounty», l'arme que l’État veut déployer face aux cyberattaques Face à la multiplication des fuites de données touchant les administrations publiques, l’exécutif envisage de recourir plus massivement aux «hackings éthiques». Cette stratégie, évoquée cette semaine par le ministre de l’Action et des Comptes publics, David Amiel, s’inscrit dans un contexte où la Direction générale des finances publiques (DGFIP) a subi trois fuites de données significatives. Le dispositif, connu sous le nom de «bug bounty», constitue déjà un outil privilégié par les géants de la technologie. ## Un dispositif éprouvé dans le secteur privé Le terme «bug bounty», littéralement «prime à la faille», désigne un système dans lequel des organisations – entreprises ou institutions – rémunèrent des hackers éthiques pour qu’ils identifient et signalent des vulnérabilités dans leurs systèmes informatiques. Selon des informations rapportées par Le Figaro, cette pratique est largement répandue au sein des grandes entreprises technologiques, qui l’utilisent comme complément à leurs équipes internes de sécurité. Le principe repose sur une logique de coût-efficacité : plutôt que de subir une attaque malveillante exploitant une faille non détectée, l’organisation préfère payer des experts indépendants pour découvrir ces failles en amont. Les montants versés varient selon la gravité de la vulnérabilité identifiée, allant de quelques centaines à plusieurs dizaines de milliers d’euros pour les failles les plus critiques. ## Une réponse aux fuites de données de la DGFIP C’est lors d’une conférence de presse tenue ce mardi que David Amiel a présenté les «mesures d’urgence» envisagées par le gouvernement. Le ministre a notamment cité la généralisation de la double authentification, l’utilisation de l’intelligence artificielle pour renforcer les défenses, et l’intensification du recours aux «hackings éthiques pour détecter nos vulnérabilités plus vite». Cette annonce intervient dans un climat de vigilance accrue concernant la sécurité des données publiques. Les trois fuites subies par la DGFIP ont exposé des informations sensibles de contribuables, soulevant des interrogations sur la robustesse des infrastructures numériques de l’administration. Le recours systématisé au bug bounty représenterait un changement d’approche significatif, passant d’une logique purement défensive à une logique proactive de détection. ## Un cadre juridique et éthique à préciser Le déploiement de ce dispositif dans le secteur public soulève toutefois des questions juridiques et éthiques. Contrairement aux entreprises privées qui peuvent définir librement les périmètres de leurs programmes de bug bounty, l’administration doit composer avec des contraintes réglementaires spécifiques concernant la protection des données et la souveraineté numérique. Selon des sources proches du dossier, le ministère travaillait, avant même ces incidents, sur un cadre permettant d’encadrer ces pratiques. Les modalités précises – plateforme dédiée, périmètres autorisés, statut des hackers participants – resteraient toutefois à définir. Le précédent de la plateforme YesWeHack, utilisée par certaines collectivités territoriales, pourrait servir de modèle, mais aucune confirmation officielle n’a été apportée à ce stade. ## Un enjeu de confiance et de réactivité L’efficacité du bug bounty repose sur la capacité des organisations à traiter rapidement les signalements et à déployer des correctifs. Or, les administrations publiques sont souvent critiquées pour leur lenteur dans la gestion des mises à jour de sécurité. L’intensification du recours à ces programmes ne produirait donc ses effets qu’à condition d’être accompagnée d’une réorganisation des processus internes. Par ailleurs, la question de la confiance entre l’État et les hackers éthiques demeure centrale. Si certains experts en cybersécurité saluent cette orientation, d’autres s’interrogent sur les garanties offertes aux chercheurs en sécurité qui signaleraient une faille, notamment en termes de protection juridique. Le gouvernement devra trancher ces arbitrages pour que ce dispositif, présenté comme une réponse pragmatique aux cyberattaques, puisse se déployer dans des conditions satisfaisantes pour l’ensemble des parties prenantes.