Le pays a enregistré plus de 52 millions de tentatives de cyberattaques en 2025, un bond de 68 % par rapport à l’année précédente selon la DGSSI, et les pertes financières associées frôlent les 2,3 milliards de dirhams. Ce n’est plus un sujet de spécialistes en costume-cravate qui parlent de “posture de sécurité” dans des conférences fermées. C’est un sujet de trésorerie, de réputation et, parfois, de survie pure et simple pour une structure qui n’a ni RSSI ni budget dédié.
J’ai suivi ce dossier pendant des années à observer comment les entreprises technologiques, marocaines ou occidentales, réagissent face à l’explosion des volumes de données. Et le constat est toujours le même : la majorité des dirigeants pensent encore en termes de murs et de pare-feu, alors que la vraie bataille se joue ailleurs, sur une donnée devenue mobile, dupliquée, difficile à tracer.
Pourquoi la donnée d’entreprise est devenue une cible prioritaire au Maroc
Le Maroc traverse une phase de digitalisation accélérée. Administrations, banques, cabinets comptables, cliniques, tout le monde bascule ses process vers le numérique, souvent plus vite que sa capacité à sécuriser ce basculement. Résultat : le pays figure parmi les cibles privilégiées du continent africain, et les TPE-PME concentrent à elles seules près de 60 % des attaques identifiées d’après les chiffres de la DGSSI, tout simplement parce qu’elles constituent le maillon le plus faible d’une chaîne économique de plus en plus interconnectée.
L’épisode qui a marqué les esprits reste la fuite touchant la Caisse Nationale de Sécurité Sociale en avril 2025 : un groupe se revendiquant sous le nom de Jabaroot DZ a exfiltré plus de 53 000 fichiers contenant identités, coordonnées bancaires et bulletins de salaire de près de deux millions de salariés. Les données d’environ 500 000 entreprises marocaines se sont retrouvées exposées au passage — fichiers RH, RIB, informations sur les dirigeants. Cet incident a rappelé une évidence trop souvent oubliée : votre périmètre de sécurité ne s’arrête pas à votre propre système d’information, il inclut tous les tiers avec qui vous partagez de la donnée.
Le phishing reste le vecteur d’entrée numéro un, représentant près de 40 % des incidents signalés, et les attaques par ransomware ciblant spécifiquement les PME ont progressé de 35 % sur un an. Le coût moyen d’une attaque réussie sur une petite structure marocaine tourne autour de 1,2 million de dirhams, rançon, remédiation et arrêt d’activité compris. Et près de 43 % des PME victimes d’un incident grave ne parviennent jamais à retrouver leur niveau d’activité initial dans les six mois qui suivent.
Le cadre légal marocain, entre loi 09-08 et loi 05-20
Contrairement à une idée reçue, le Maroc dispose déjà d’un arsenal juridique solide. La loi 09-08, promulguée en 2009 et supervisée par la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel), impose à toute organisation traitant des données personnelles — CRM client, fichiers RH, vidéosurveillance, listes de prospects — de déclarer ses traitements et de garantir leur sécurité. Elle s’inspire de la directive européenne de 1995, antérieure au RGPD, ce qui explique certaines spécificités locales : une formalité préalable quasi systématique auprès de la CNDP, et l’absence d’obligation générale de nommer un délégué à la protection des données.
À côté de ce texte, la loi 05-20 encadre spécifiquement la cybersécurité des infrastructures sensibles et des entreprises publiques, en imposant la désignation d’un responsable de la sécurité des systèmes d’information et une notification obligatoire des incidents à la DGSSI. Les sanctions pour non-respect de la loi 09-08 peuvent grimper jusqu’à 300 000 dirhams et un an d’emprisonnement dans les cas les plus graves, même si le pouvoir de sanction final appartient aux tribunaux et non à la CNDP elle-même.
Un point mérite d’être souligné pour toute entreprise qui travaille avec du cloud étranger : le transfert de données personnelles hors du territoire marocain est interdit par défaut, sauf vers un pays reconnu comme offrant un niveau de protection adéquat, ou moyennant une autorisation spécifique appuyée sur des clauses contractuelles types. Beaucoup de PME l’ignorent complètement quand elles migrent leur ERP ou leur CRM vers un fournisseur SaaS basé en Europe ou aux États-Unis.
Connaître sa donnée avant de la protéger
C’est ici que je rejoins une conviction que j’ai vue partagée par plusieurs experts en gouvernance documentaire : on ne peut pas sécuriser ce qu’on ne connaît pas. Or dans la plupart des organisations, environ 90 % du patrimoine numérique est constitué de données dites non structurées — des fichiers Excel, des PDF, des emails, des documents qui circulent d’un poste de travail à un espace cloud puis à une pièce jointe, sans jamais rester au même endroit.
Cette volatilité rend la notion même de “périmètre” obsolète au sens traditionnel. Un audit récent souligne d’ailleurs que 74 % des causes d’incidents relèvent de failles humaines et procédurales, pas de vulnérabilités purement techniques. Autrement dit, le problème n’est pas seulement votre pare-feu, c’est votre incapacité à savoir où se trouve réellement votre information sensible.
Voici les questions à se poser en priorité avant d’investir un seul dirham dans un outil de sécurité :
- Où sont physiquement stockées mes données les plus critiques (contrats, RIB, dossiers RH, propriété intellectuelle) ?
- Qui y a accès aujourd’hui, et cet accès est-il encore justifié ?
- Quelles données quittent l’entreprise chaque jour, et vers quels outils grand public (messagerie personnelle, IA conversationnelle, clé USB) ?
- Mes prestataires et sous-traitants appliquent-ils un niveau de sécurité comparable au mien ?
Le piège classique du “tout sur le cloud”
Beaucoup de PME marocaines ont suivi le mouvement en basculant tous leurs documents vers des outils comme Google Drive ou OneDrive sans distinction entre brouillon personnel et donnée de valeur pour l’entreprise. Le résultat, c’est un mélange permanent entre un fichier de travail sans importance et un contrat en cours de négociation avec un client stratégique, le tout accessible aux mêmes personnes avec les mêmes droits. C’est exactement ce type de confusion que les attaquants exploitent lors d’une intrusion, car ils n’ont besoin que d’un seul point d’accès pour remonter jusqu’à l’information qui a réellement de la valeur.
Six réflexes qui bloquent la majorité des attaques
D’après les retours d’expérience du terrain marocain, une poignée de mesures suffit à neutraliser une large part des tentatives d’intrusion, sans nécessiter un budget de multinationale.
- Authentification multifacteur sur tous les accès sensibles, messagerie professionnelle en tête
- Sauvegardes 3-2-1 (trois copies, deux supports différents, une hors site) testées réellement tous les trimestres, pas seulement configurées puis oubliées
- Mise à jour et patching mensuel des systèmes et logiciels métier
- Un EDR managé pour détecter les comportements anormaux sur les postes de travail
- Formation régulière des équipes au phishing, avec des simulations concrètes
- Un plan d’incident écrit, connu de tous, pour éviter l’improvisation le jour où ça arrive
Ces six actions à elles seules neutralisent la grande majorité des attaques visant les structures marocaines de taille moyenne. Le reste, pentest approfondi, certification ISO 27001, SOC interne, reste utile mais vient dans un second temps, une fois que les fondamentaux sont solidement posés.
Le vrai danger de l’intelligence artificielle mal encadrée
Il faut aborder ce sujet avec honnêteté, parce que je le vois se répéter chez énormément de mes interlocuteurs : l’arrivée massive des outils d’intelligence artificielle générative change la donne, et pas toujours dans le bon sens. Quand un collaborateur copie un contrat client ou un fichier RH dans un chatbot grand public pour gagner du temps, il exfiltre potentiellement une information stratégique vers une base de connaissance dont il ne contrôlera plus jamais le devenir.
Le vrai risque, ce n’est pas l’IA en tant que technologie. C’est de brancher ces outils sur une masse de données déjà mal gouvernée en interne. Si personne ne sait précisément qui a accès à quoi, un assistant conversationnel connecté aux fichiers de l’entreprise va simplement révéler, à une vitesse redoutable, tous les dysfonctionnements de gestion des droits qui existaient déjà en silence depuis des années. La bonne pratique, adoptée par les organisations les plus matures, consiste à connecter ces agents uniquement à des canaux sécurisés et documentés, jamais par un simple glisser-déposer dans un outil public.
Mon regard sur la suite
Ce que je retiens après avoir observé ce dossier de près, c’est que la sécurité des données au Maroc ne va plus se jouer uniquement sur le terrain technique. Elle va se jouer sur la gouvernance : savoir précisément ce que l’on possède, qui peut y accéder, et pourquoi. Les entreprises qui prendront de l’avance en 2026 ne seront pas forcément celles qui auront le plus gros budget cybersécurité, mais celles qui auront pris le temps de cartographier leur patrimoine documentaire avant d’empiler des outils dessus. Le marché marocain de la cybersécurité croît d’ailleurs à plus de 15 % par an sur le segment PME, signe que la prise de conscience est réelle, même si elle reste encore trop souvent réactive plutôt qu’anticipée.
FAQ
Une PME marocaine est-elle obligée de déclarer ses fichiers clients à la CNDP ?
Oui, dès qu’un traitement de données personnelles existe — CRM, fichier RH, liste de prospects — une déclaration préalable est requise auprès de la CNDP, sauf pour certains traitements sensibles qui exigent une autorisation formelle.
Quel est le risque réel de stocker ses données sur un cloud étranger ?
La loi 09-08 interdit par défaut le transfert de données personnelles hors du Maroc, sauf vers des pays reconnus comme offrant une protection adéquate ou via des garanties contractuelles validées par la CNDP. Beaucoup d’entreprises l’ignorent en migrant vers un SaaS étranger.
Faut-il un responsable cybersécurité dédié même pour une petite structure ?
Pas nécessairement un poste à temps plein, mais désigner un référent interne, même externalisé, permet de centraliser les décisions et d’appliquer un plan d’incident cohérent plutôt que de gérer l’urgence dans la panique.
Les outils d’IA générative sont-ils dangereux pour la confidentialité des données d’entreprise ?
Ils ne sont pas dangereux en soi, mais leur usage non encadré l’est. Le vrai risque survient quand un collaborateur y copie des documents sensibles sans passer par un canal sécurisé validé par l’entreprise.
