B)  Éducation à la cybersécurité

La création d’une culture de cybersécurité mature est un processus à long terme. C’est un changement. Il est absolument essentiel que les gouvernements des pays africains intègrent l’éducation à la cybersécurité, ainsi que les compétences numériques nécessaires pour naviguer en toute sécurité dans le cyberespace, dans les programmes scolaires nationaux, dès l’école primaire.

Les cybercompétences sont des compétences numériques spécialisées, mais dans de nombreux pays, le système éducatif n’est pas totalement équipé pour permettre aux élèves d’acquérir les compétences numériques nécessaires de manière suffisamment approfondie et étendue. Certains pays visent à financer des initiatives qui créent et développent un vivier durable de talents en matière de cybersécurité, aujourd’hui et à l’avenir, afin de répondre au besoin croissant en cybercompétences à l’échelle du globe. De nombreux pays s’efforcent de développer les cybercompétences chez les jeunes. Toutefois, ils ne savent pas ce que font les autres pays dans ce domaine et ne sont pas en mesure de s’inspirer des meilleures pratiques. En savoir plus  sur ces déficits de connaissances identifiés.

Le GFCE a pleinement conscience qu’il est nécessaire d’examiner les bonnes pratiques en matière d’éducation des jeunes à la cybersécurité. Le GT D a commandé à l’Université du Kent un projet de recherche sur l’éducation préuniversitaire à la cybersécurité : rapport sur le développement des cybercompétences chez les enfants et les jeunes. Le rapport résume les résultats des recherches menées pour cartographier l’enseignement préuniversitaire de la cybersécurité dans un contexte mondial. Les résultats de la recherche ont conduit aux principales conclusions et recommandations suivantes, qui, nous l’espérons, pourront aider les parties prenantes du monde entier à améliorer l’enseignement de la cybersécurité dans un cadre préuniversitaire. L’Afrique du Sud figure parmi les pays cartographiés.

Le Programme de recherche est un nouvel outil développé pour et par la communauté du GFCE. L’objectif principal du Programme de recherche est d’aider la communauté du renforcement des capacités à concevoir et à mener des projets plus efficaces en identifiant les lacunes dans les connaissances et en les comblant par la recherche.

Ces compétences sont d’autant plus nécessaires aujourd’hui que la pandémie de Covid-19 a obligé un plus grand nombre d’enfants à aller en ligne pour suivre un enseignement à distance. Les enfants utilisent de plus en plus le web à des fins éducatives. Si la ludification présente certains avantages, l’augmentation rapide de l’exposition aux TIC entraîne de nombreux inconvénients et risques liés au cyberespace, en raison du manque de sensibilisation des enfants à l’utilisation sûre et appropriée du cyberespace.

Le Norton Group a dressé la liste des principales cybermenaces auxquelles les enfants sont confrontés lorsqu’ils sont en ligne : contenus inappropriés, « amis » dans les salons de discussion, cyberharcèlement et escroqueries en ligne. En outre, Kaspersky cite d’autres menaces telles que la publication d’informations privées, l’hameçonnage (phishing), le téléchargement accidentel de logiciels malveillants et les messages qui reviendront hanter l’enfant au cours de sa vie. Il est donc essentiel d’introduire dans les programmes scolaires des compétences spécifiques en matière de cybersécurité afin de contrer ces menaces et d’assurer la cybersécurité des enfants.

En ce qui concerne la méthodologie d’enseignement, les enfants sont plus motivés et se concentrent davantage sur l’activité d’apprentissage lorsque le matériel pédagogique utilisé est interactif et stimulant. Cela peut passer par la conception d’un jeu éducatif sur la cybersécurité, comme l’a noté Kritzinger A (2017). Il est toutefois important de créer des jeux adaptés, qui permettent aux apprenants d’atteindre les résultats d’apprentissage souhaités, et de combiner les jeux avec d’autres supports.

Voici quelques exemples :

➔     L’initiative CyberPatriot Elementary School Cyber Education Initiative (ESCEI) propose trois modules d’apprentissage sur la cybersécurité, distrayants et interactifs, destinés aux élèves de la maternelle à la 6e.

➔     Webrangers est une initiative sud-africaine menée par Media Monitoring Africa. Ce programme de culture numérique doit permettre aux jeunes d’acquérir des compétences et des connaissances essentielles en matière de sécurité en ligne, qu’ils utiliseront pour créer des campagnes innovantes visant à promouvoir une utilisation en toute sécurité d’Internet et à défendre leurs droits dans le monde numérique.

➔     Enfants avertis est le programme interactif d’éducation à la sécurité du Centre canadien de protection de l’enfance, conçu pour les élèves de la maternelle à la 3e. Ce programme est également disponible en français.

L’internet pouvant être lent dans certaines régions d’Afrique, les jeux et les programmes éducatifs doivent comporter des éléments hors ligne en plus des éléments en ligne.

Pour garantir une mise en œuvre réussie de la formation à la cybersécurité dans les écoles, il faut souligner l’importance de la formation des enseignants. Par exemple, une initiative du Département de la sécurité intérieure des États-Unis équipe les enseignants de la maternelle à la terminale de programmes et d’outils pédagogiques en matière de cybersécurité (Cybersecurity Education Training Assistance Program). Kids for Cyber est un kit prêt à l’emploi permettant aux éducateurs de créer un atelier et d’explorer le cyberespace avec les générations futures.

Les parents doivent être impliqués dans le processus d’éducation à la cybersécurité de leurs enfants. En sa qualité de parent, Corbin Roof partage quelques conseils et bonnes pratiques sur la manière d’enseigner les bases de la cybersécurité aux enfants. D’après son expérience personnelle, les parents devraient souligner qu’il est important de protéger leur identité, évaluer régulièrement les progrès réalisés par l’enfant, entamer les conversations sans attendre, s’impliquer régulièrement auprès de leurs enfants, encourager leur curiosité, être l’administrateur de leur foyer, apprendre aux enfants qu’ils sont responsables de leurs actes.

Le GFCE a conscience de ce besoin et, dans le cadre de son programme de recherche, a fourni un espace et un financement pour un projet de cartographie de l’éducation à la cybersécurité destiné aux jeunes dans plusieurs pays/régions.Voir le rapport sur le portail Cybil.

Si les éléments interactifs dans l’apprentissage et la formation sont importants pour les enfants, ils ne doivent pas être éludés par les professionnels. Par exemple, Kaspersky a préparé un jeu de simulation en ligne à l’intention des diplomates et des professionnels, pour les amener à mieux comprendre les aspects techniques du comment et du pourquoi des cyberattaques, sans pour autant survivre à une telle attaque.  

Conseils pratiques pour développer les capacités nationales en matière de cybersécurité, par le renforcement des compétences

Les activités malveillantes sont en augmentation dans le cyberespace. Il est donc nécessaire de pouvoir compter sur des professionnels qualifiés pour pouvoir faire face à cette situation. Selon le livre blanc de l’Organisation des États américains intitulé Cybersecurity Education: Planning for the Future Through Workforce Development, les compétences requises pour ces professionnels comprennent, entre autres, la capacité « de concevoir et d’exploiter de manière optimale des applications et des systèmes, avec la capacité d’identifier les cybermenaces et d’y répondre ».

Le déficit de compétences en matière de cybersécurité en Afrique et au Moyen-Orient est estimé à 142 000 personnes, selon le rapport Addressing the cybersecurity skills gap through cooperation, education and emerging technologies. Un rapport produit par l’équipe Serianu Cyber Intelligence 2018 Africa Cyber Security Report – Kenya indique que 60 % des entreprises surveillées sont confrontées à une pénurie de professionnels de la cybersécurité. Cette pénurie existe aussi bien dans le secteur public que dans le secteur des entreprises.

En plus de la pénurie, les professionnels formés doivent continuer à se perfectionner et à se recycler afin de s’adapter aux menaces émergentes, et cette exigence a un coût. Malheureusement, les entreprises considèrent souvent que cette dépense n’offre aucun retour sur investissement évident, comme l’indique le rapport Serianu ci-dessus.

Différents gouvernements africains s’efforcent de mettre en place des services d’administration en ligne, et les institutions financières africaines ont déployé des services financiers mobiles. Malheureusement, la pénurie de personnel qualifié en matière de cybersécurité en Afrique expose ces projets à un risque élevé de cyberattaques.

Les mesures concrètes suivantes peuvent être envisagées :

➔     Les secteurs public et privé disposent déjà de personnel informatique. Ce personnel peut recevoir une formation ponctuelle supplémentaire sur la cybersécurité.

➔     Les établissements d’enseignement supérieur doivent mettre en place des sections de cybersécurité au sein de leurs départements d’informatique, en vue de combler l’écart entre les besoins et la main-d’œuvre de demain.

➔     La création de partenariats, qu’il s’agisse de partenariats public-privé ou d’autres types de partenariats, afin de surmonter les différents obstacles à la formation d’une main-d’œuvre en matière de cybersécurité. À cet égard, l’Afrique peut s’inspirer d’autres initiatives telles que :

a)    NICE (National Initiative for Cybersecurity Education) – voir ci-dessus.

b)    Le Royaume d’Arabie saoudite a mis en place une initiative gouvernementale résultant d’une collaboration entre différents ministères/départements. Il s’agit de l’Autorité nationale de cybersécurité (NCA). Entre autres missions, la NCA vise à développer la main-d’œuvre nationale en matière de cybersécurité. Pour cette tâche spécifique, la NCA a mis en place une initiative appelée The Saudi Cybersecurity Higher Education Framework (SCyber-Edu), fruit de la collaboration et de la coordination entre la NCA, le ministère de l’éducation et la commission d’évaluation de l’éducation et de la formation. Les objectifs de l’initiative SCyber-Edu sont : l’élaboration de programmes d’éducation et de formation, la préparation de normes et de cadres professionnels et de tests d’évaluation professionnelle liés à la cybersécurité.

c)     L’École Nationale à Vocation Régionale a été créée à Dakar grâce à la coopération entre la France et le Sénégal. Elle devrait constituer un pôle régional dans lequel les apprenants d’autres pays africains peuvent s’inscrire pour renforcer leurs capacités.

Étude de cas : Comment développer un programme d’enseignement de la cybersécurité à l’intention des professionnels ?

Plusieurs membres du GFCE ont élaboré des cours de formation en matière de cybersécurité et nous les encourageons à explorer la fonction de centre d’échange d’informations du GFCE pour trouver la bonne solution.

Plusieurs parties prenantes africaines ont élaboré et dispensé des programmes de développement des capacités. La communauté technique africaine est remarquablement active dans le domaine du renforcement des capacités à l’échelle régionale. Ce groupe de parties prenantes présente également un degré de coordination élevé par rapport aux autres groupes. Le renforcement des capacités ne relève pas du mandat principal de la plupart des organisations de la société civile, mais bon nombre d’entre elles présentent des activités dans le cadre de leurs projets, visant à renforcer les capacités. Les publics ciblés par les initiatives de la société civile varient.

Les recherches documentaires ne permettent guère d’identifier les initiatives de renforcement des capacités proposées par les universités, mais il existe plusieurs programmes comportant des éléments de cybersécurité. Certaines universités tentent d’établir un lien solide avec le marché du travail en diversifiant les types de cours qu’elles proposent. C’est le cas, par exemple, de l’Université du Witwatersrand Johannesburg, qui propose des cours sanctionnés par un certificat, des cours abrégés, d’une durée d’environ une semaine, destinés aux professionnels.

Le secteur privé contribue au renforcement des capacités principalement selon deux axes : a) indirectement, en soutenant les efforts d’autres groupes de parties prenantes ; b) directement, en tant que principal fournisseur de renforcement des capacités. Dans le premier cas, le soutien du secteur privé aux initiatives visant à renforcer les capacités dans le domaine spécifique de la GI est clair. Dans le second cas, la motivation principale semble être le renforcement des compétences recherchées sur le marché du travail et la valorisation des talents locaux. La relation avec la GI est donc moins claire. Cette section a pour but de fournir quelques exemples choisis des deux modalités de soutien fournies par le secteur privé.

Rapport : « Sustainable Capacity Building : Internet Governance in Africa » (2021)

Développement durable des compétences : Gouvernance de l’internet en Afrique

Pourtant, il n’existe pas de guide universel sur la marche à suivre pour élaborer un programme de cybersécurité. Un programme de formation réussi doit prendre en compte les objectifs du programme, le groupe cible, la durée, ainsi que les ressources disponibles et le mode de prestation (en ligne, hybride, en personne). En termes d’approche méthodologique, les initiatives en face-à-face étaient largement prédominantes en Afrique avant la pandémie de COVID-19.