<figure><img src="image_1.png" /></figure>

HAL
open science

# Enquête sur le niveau de sensibilisation en cybersécurité dans les entreprises sénégalaises

Mountaga Sall

<figure><img src="image_2.png" /></figure>

## To cite this version:

Mountaga Sall. Enquête sur le niveau de sensibilisation en cybersécurité dans les entreprises sénégalaises. 2024. hal-04776722

HAL Id: hal-04776722

https://hal.science/hal-04776722v1

Preprint submitted on 11 Nov 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_3.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# Enquête sur le niveau de sensibilisation en cybersécurité dans les entreprises sénégalaises

## Mountaga sall

Doctorant à l'université Gaston Berger de Saint Louis

Laboratoire d'Algèbre, de Cryptographie, Codes et Applications (LACCA)

Dept, Informatique, UFR Sciences Appliquées et Technologie (UFR SAT)

E-mail : sallbaboye@gmail.com

**Résumé** : En 2019 le monde est frappé par une pandémie qui a fait des ravages importants, le corona virus (Covid-19), sur ordre du ministère de la santé les Sénégalaises et les Sénégalais étaient confinés et pour assurer la continuité des services, les entreprises ont adopté le télétravail sans prendre à compte la sécurité nécessaire. Selon les études la courbe d'évolution de la cyberattaque a connu une hausse importante dans le monde entier, les attaquants ont profités de cette opportunité pour une exploitation maximal des failles de sécurité. Ce passage rapide du travail physique en télétravail a exposé les entreprises à un risque accru de cyberattaque. Malgré le niveau élevé des firewalls, les entreprises sont toujours confrontées à des attaques informatiques et selon les études antérieurs 80% des attaques sont liés au facteur humain. C'est ce qui a incité les chercheurs à étudier le niveau de sensibilisation en cybersécurité dans les entreprises. Dans ce document nous allons étudier le niveau de sensibilisation sur la sécurité dans les entreprises sénégalaises. Pour une étude large, une enquête a été mené au près d'un échantillon d'employés dans différente entreprise.

Les résultats nous montrent que la plupart des employés sont faiblement sensibilisés à la cybersécurité et estiment que des formations en cybersécurité devrait avoir lieu dans les entreprises. Par ailleurs les employés évoluant dans le privé sont plus informés sur la cybersécurité et par conséquent ils sont plus flexibles sur la sensibilisation.

**Mots clés** : Sensibilisation, Sénégal, cybersécurité, cyberattaque, cyberespace
# I. Introduction

Aujourd'hui nous vivons dans l'ère du numérique où internet fait partie de notre environnement professionnel, social et éducatif. Les entreprises ont vite migré vers la digitalisation pour résoudre les problèmes de lenteur administrative et avoir plus de visibilité, cet engouement massif vers le net est accompagné de lourde conséquence pour les utilisateurs et les entreprises. Depuis sa naissance, internet est sollicité pour extorquer, saboter le fonctionnement des services, hacker les utilisateurs et les entreprises.

Au Sénégal bon nombre d'entreprise n'ont pas de firewall, du moins un bon firewall avec des règles de filtrage adéquats. Depuis l'avènement de la Covid-19, Mimcast a constaté qu'en Afrique le nombre de cyberattaques de tout type a augmenté de plus de 33%. Cette hausse des attaques n'épargne pas le Sénégal. Le 26 mai 2023 des dizaines de sites officiel sénégalais, dont celui de la présidence de la République, sont mis hors service par une attaque de déni de service distribué.

La cybercriminalité affecte quasiment tous les aspects de la vie en Afrique. Selon le rapport de Serianu [1], la principale société de conseil en cybersécurité d'Afrique, les banques et les services financiers africains ont été touchés. Les nations africaines en général et le Sénégal en particulier ne peuvent pas prospérer sans prendre en compte les risques liés au cyberespace. Cependant, la grande majorité des employés dans les entreprises n'est pas assez formée à l'utilisation sûr du cyberespace, ce qui expose les entreprises aux risques liées à internet. Pour un cyberespace de confiance, sécurisé et resillant pour tous, les entreprises sénégalaises doivent promouvoir une culture de la cybersécurité, renforcer les capacités et les connaissances technique en cybersécurité dans tous les secteurs.

Selon Hamadoun Touré, ancien secrétaire général de l'Union international des télécommunication (UIT), les hackers considèrent l'Afrique comme un havre de paix où ils peuvent dérouler leurs attaques tranquillement et en toute impunité. L'augmentation des cyberattaques sur le continent peut être attribuée à des systèmes vulnérables et à des pratiques de cybersécurité laxistes.

La cybersécurité est considérée comme un luxe et non une nécessité dans de nombreuses entreprises sénégalaises. Son importance n'est pas encore suffisamment appréciée ou
reconnue à sa juste valeur. Dans la plupart des entreprises à l'exception des banques le budget alloué à la cybersécurité serait nul. Même les institutions financières, qui sont les plus exposés aux cybermenaces, n'ont pas de pratique adéquate en matière de cybersécurité.

Ce document de recherche vise à mettre en lumière le niveau de sensibilisation à la cybersécurité dans les entreprises et d'apporter des solutions pour palier à ce problème afin de promouvoir la culture de la cybersécurité.

## 1. Définition de la cybersécurité

Selon une définition donnée par le national Institute of Standards and Technologie des Etats-Unis : la cybersécurité est la capacité de protéger ou de défendre l'utilisation du cyberespace contre les cyberattaques [2]. Selon Kaspersky la cybersécurité consiste à protéger les ordinateurs, les serveurs, les appareils mobiles, les systèmes électronique, les réseaux et les données contre les attaques malveillantes. Elle peut être classer en plusieurs catégorie :

* La sécurité des réseaux

* La sécurité des applications

* La sécurité des informations

* La sécurité opérationnelle

* La reprise après sinistre et la continuité après service

* La formation des utilisateurs finaux

La protection des réseaux et la sécurité des applications cherchent ont pour but de protéger les réseaux informatiques et à garantir que les logiciel et le matériel n'ont pas de menace ou de vulnérabilité.

## 2. Type de menaces pour la cybersécurité

Il existe quatre types courants de menace pour la cybersécurité

**Phishing** : cette attaque consiste à envoyer de faux courriel dans le but de voler des informations confidentielles telle que des numéros de carte crédit, et des identifiant de connexion. On peut se protéger de cette attaque en traitant avec prudence les courriels de source inconnue.

**Les logiciels malveillants** : conçu pour avoir un accès non autorisé ou endommager un ordinateur
**Ransomware** : Le ransomware est une sorte de logiciel malveillant qui vise à extorquer en bloquant la session de l'ordinateur ou crypter les fichiers de l'ordinateur de la victime jusqu'à le payement de la rançon.

**Ingénierie sociale** : c'est une technique utilisé par les attaquants pour inciter les utilisateurs à divulguer des informations ou d'autoriser l'accès à l'ordinateur. Cette méthode peut être utilisé pour la réussite des attaques susmentionnées notamment le clique sur des liens ou le téléchargement d'un logiciel.

A cela s'ajoute les attaques zéro clic et des zéro-clic malware qui se démarquent totalement des attaques traditionnelles et créent leurs propres modes de fonctionnement et de propagande. Selon [4], avec une attaque sans clic, le logiciel peut être installé sans que la victime ne clic sur un lien. En conséquence, les logiciels malveillants sans clic (zéro clic malware) sont beaucoup plus dangereux. Vu que les attaques ne nécessitent aucune interaction avec la victime, il n'existe pas une solution pour contrer cette attaque à nos jours.

# I. Revue scientifique

Les études ont fini de montrer que le facteur humain est la principale cause des cyberattaques, c'est pourquoi les chercheurs donnent une importance capitale à la sensibilisation sur la cybersécurité. Selon Letho [5] sur sa thèse formulée en 2015 : [Alors que] le monde est de plus en plus connecté grâce au cybermonde, le plan le plus efficace pour accroitre la sensibilisation à la cybersécurité est l'amélioration du savoir-faire des citoyens et des acteurs de la vie économique et de l'administration publique. Cette amélioration pourrait être efficace si les raisons du manque de sensibilisation à la cybersécurité pouvaient être comprises.

Une étude réalisée par albarashdi [6] a montré que la plupart des actes de cybercriminalité sont liés à l'utilisation des médias sociaux, en particulier de Facebook. L'étude a utilisé une approche quantitative en analysant les statistiques sur la cybercriminalité publiées par le centre pour la sécurité de l'information du Sultanat et en interrogeant 30 experts en cybersécurité.

Touhami Lardi Marini Sara [7] dans une revue affirme que : Les bases de la cybersécurité au sein de l'administration publique marocaine englobent un ensemble de stratégies visant à garantir la sécurité des opérations électroniques. Ces piliers reposent sur une compréhension approfondie des défis liés à la transformation numérique, avec un accent particulier sur la préservation des données sensibles, la gestion proactive des menaces, la formation du
personnel et la résilience des systèmes informatiques. Ils ont développé beaucoup de méthode pour contrer les cyberattaques, ils ont également insisté sur l'importance de la cybersécurité dans l'ère vertigineuse de la transformation numérique où le Maroc se distingue en tant qu'acteur ambitieux, déployant une vision novatrice pour moderniser son paysage administratif à travers l'intégration des technologies de l'information et de la communication. Néanmoins les acteurs n'ont pas fait focus sur la sensibilisation de l'utilisation du cyberespace.

M. Eltahir et O. S Ahmed [8] ont mené une étude de sensibilisation sur les étudiants de l'enseignement supérieur en Afrique dans le but d'apporter la lumière sur le niveau de connaissance en cybersécurité des étudiants. Ses recherches se sont basées sur une enquête de 1200 étudiants de premier cycle dans six universités. Néanmoins l'étude n'est pas exhaustive, ils auraient pu élargir les recherches sur les corps professoral et l'administration et d'élargir les recherches dans d'autre pays.

Dans sa stratégie national SNC 2022, le Sénégal a mis en place 49 actions spécifique qui concourent à la lutte contre la cybersécurité pour les entreprises. Promouvoir une culture en cybersécurité et le renforcement des connaissances en cybersécurité font partie des cinq objectifs visés. En revanche les efforts cités n'ont pas d'impact positive sur les entreprises car la plupart des employés n'ont toujours pas une culture en cybersécurité [9].

## II. Méthodologie

Dans cette étude nous avons utilisé une recherche exploratoire dans le but d'atteindre l'objectif recherché. Pour une réussite du projet, un questionnaire a été conçu et distribué aux acteurs de l'écosystème web dans différentes entreprises. Nous avons créé deux versions de questionnaires une version en ligne créée sous google forme distribuée aux participants par courriel tout en expliquant l'objectif de l'étude et que les réponses aux questions resteraient confidentielles, nous avons également distribué une version papier à certains participants. Des professionnels dans le publique comme dans le privé ont bien voulu répondre à l'enquête. Trois aspects essentiels ont été pris en compte lors de la conception du questionnaire : les connaissances des participants en matière de cybersécurité, la pratique de la cybersécurité et la formation en cybersécurité.
<table><caption>Tableau 1 : information démographie</caption><thead><tr><th></th><th></th><th>Privé</th><th>Publique</th></tr></thead><tbody><tr><td></td><td>Homme</td><td>60</td><td>80</td></tr><tr><td></td><td>Femme</td><td>75</td><td>50</td></tr><tr><td rowspan="3">AGE</td><td>-25</td><td>28</td><td>10</td></tr><tr><td>25-40</td><td>40</td><td>85</td></tr><tr><td>+40</td><td>67</td><td>35</td></tr><tr><td rowspan="2">Niveau professionnel</td><td>Non cadre</td><td>63</td><td>53</td></tr><tr><td>Cadre</td><td>72</td><td>77</td></tr></tbody></table>

### III. Résultat et discussions

#### I. Connaissance en cybersécurité

<table><caption>Tableau 2 : réponses des participants sur la connaissance en cybersécurité</caption><thead><tr><th rowspan="2">Questions</th><th colspan="2">Dans le privé</th><th colspan="2">Dans le publique</th></tr><tr><th>OUI</th><th>NON</th><th>OUI</th><th>NON</th></tr></thead><tbody><tr><td>Je connais le terme cybersécurité</td><td>130</td><td>5</td><td>130</td><td>0</td></tr><tr><td>Je connais les risques liés à l'utilisation d'internet</td><td>50</td><td>85</td><td>30</td><td>100</td></tr><tr><td>Je pense que le cyberespace est sur</td><td>95</td><td>40</td><td>121</td><td>9</td></tr><tr><td>Je pense que je ne serai pas attaqué sur internet</td><td>98</td><td>37</td><td>125</td><td>5</td></tr></tbody></table>
<table><tr><td>Tu connais un antivirus</td><td>125</td><td>10</td><td>60</td><td>70</td></tr><tr><td>Peux-tu utiliser un ordinateur sur lequel aucun logiciel antivirus n'est installé</td><td>132</td><td>3</td><td>130</td><td>0</td></tr><tr><td>Tu connais les risques liés à l'utilisation de l'internet</td><td>127</td><td>8</td><td>2</td><td>128</td></tr><tr><td>Tu connais les risques liés à l'utilisation d'un logiciel non authentique</td><td>60</td><td>75</td><td>2</td><td>128</td></tr><tr><td>Tu connais les risques qu'il y'a à cliquer sur un lien inconnu dans un courrier électronique</td><td>100</td><td>35</td><td>5</td><td>125</td></tr><tr><td>Tu penses qu'il est plus sûr d'utiliser internet sur ton téléphone que sur ton ordinateur</td><td>130</td><td>5</td><td>128</td><td>2</td></tr><tr><td>Tu penses que les mesures de sécurité incombent à l'entreprise</td><td>134</td><td>1</td><td>129</td><td>1</td></tr><tr><td>Tu connais les mesures à prendre en matière de cybersécurité</td><td>10</td><td>125</td><td>1</td><td>129</td></tr><tr><td>Tu penses que la cybersécurité doit une priorité au sein de votre entreprise</td><td>128</td><td>7</td><td>0</td><td>130</td></tr><tr><td>Tu connais les politiques d'utilisation de l'internet de votre entreprise</td><td>5</td><td>130</td><td>2</td><td>128</td></tr><tr><td>Tu reçois les documentations de cybersécurité de ton</td><td>2</td><td>133</td><td>0</td><td>130</td></tr></table>
<table><tr><td>entreprise</td><td></td><td></td><td></td><td></td></tr><tr><td>Tu sais quoi faire si vous êtes confronté à des problèmes de cybersécurité</td><td>10</td><td>125</td><td>2</td><td>128</td></tr><tr><td>Tu connais les attaques de types zéro-clic ou zéro-clic malware</td><td>0</td><td>135</td><td>0</td><td>130</td></tr></table>

## II. Pratique de la cybersécurité

<table><caption>**Tableau 3 :** réponses des participants sur la pratique en cybersécurité</caption><thead><tr><th rowspan="2">Questions</th><th colspan="2">Dans le privé</th><th colspan="2">Dans le publique</th></tr><tr><th>OUI</th><th>NON</th><th>OUI</th><th>NON</th></tr></thead><tbody><tr><td>Tu utilises un antivirus et un pare-feu pour protéger votre sécurité</td><td>130</td><td>5</td><td>5</td><td>125</td></tr><tr><td>Tu scannes régulièrement ton ordinateur et tes périphériques de stockage</td><td>125</td><td>10</td><td>1</td><td>129</td></tr><tr><td>Tu connais les caractéristiques d'un mot de passe fort</td><td>60</td><td>75</td><td>45</td><td>85</td></tr><tr><td>Tu utilises un mot de passe fort</td><td>10</td><td>125</td><td>2</td><td>128</td></tr><tr><td>Tu connais les attaques de type hameçonnage</td><td>5</td><td>130</td><td>5</td><td>125</td></tr><tr><td>Tu utilises des sauvegardes externes de ton disque dure</td><td>8</td><td>127</td><td>1</td><td>129</td></tr><tr><td>Tu utilises un logiciel de filtrage pour restreindre les sites nuisible</td><td>1</td><td>134</td><td>20</td><td>110</td></tr></tbody></table>
<table><tr><td>Tu ouvres les courriels de source inconnu</td><td>134</td><td>1</td><td>110</td><td>20</td></tr><tr><td>Tu quittes ton post de travail sans verrouiller ta machine</td><td>130</td><td>5</td><td>128</td><td>2</td></tr><tr><td>Tu enregistres tes mots de passe dans tes navigateurs</td><td>134</td><td>1</td><td>129</td><td>1</td></tr></table>

### III. Education à la cybersécurité

<table><caption>**Tableau 4 :** réponses des participants sur la pratique en cybersécurité</caption><thead><tr><th rowspan="2">Questions</th><th colspan="2">Dans le privé</th><th colspan="2">Dans le publique</th></tr><tr><th>OUI</th><th>NON</th><th>OUI</th><th>NON</th></tr></thead><tbody><tr><td>Tu penses qu'on doit former tous les travailleurs en cybersécurité</td><td>135</td><td>0</td><td>130</td><td>5</td></tr><tr><td>Les travailleurs en finances et informatique doivent avoir des études approfondies en cybersécurité plus que les autres</td><td>125</td><td>10</td><td>40</td><td>95</td></tr><tr><td>La cybersécurité devrait-elle être enseigné dans toutes les facultés à la fac</td><td>135</td><td>0</td><td>135</td><td>0</td></tr><tr><td>Tu as une fois subie une formation en cybersécurité</td><td>10</td><td>125</td><td>5</td><td>130</td></tr></tbody></table>
D'après le tableau 2 la plupart des répondants dans le publique ont une connaissance moyenne de la cybersécurité et pense que le cyberespace peut être un danger. Néanmoins ils n'ont pas de de problème à utiliser un ordinateur qui n'a aucun antivirus ou de firewall et ne savent pas quoi faire s'ils sont confrontés à des problèmes de cybersécurité.

Dans le privé on note également que tous les répondants connaissent le mots cybersécurité ; contrairement à ceux qui sont dans le publique, les répondant du privé ont une connaissance plus élevée en cybersécurité par exemple la plupart savent les risques liés à cliquer sur un lien dont ils ne connaissent pas la source et pensent que la cybersécurité doit être une priorité pour l'entreprise. Cependant le niveau reste bas par rapport à la normal car la plupart d'entre eux ignorent les politiques de sécurité de leurs entreprises et ne reçoivent pas des documentations sur la sécurité.

Pour la question relative à la connaissance des attaques du type zéro-clique ou zéro-clic malware, tous les répondants ignorent l'existence de cette attaque. Cela peut être expliqué que ces attaques viennent de faire leurs apparitions sous le feu des projecteurs.

En ce qui concerne le tableau 3 relatif à la pratique de la cybersécurité, la majeure partie des répondants dans le publique ont un niveau très faible sur la pratique de la cybersécurité. Les acteurs dans le privé ont un niveau moyen sur les bonnes pratiques dans le cyberespace. On note une négligence énorme des répondants car la plupart d'entre eux savent ce qu'est un mot de passe fort, ses caractéristiques mais utilisent des mots passes faible pour leurs sessions et peuvent quitter leurs postes de travailleurs sans verrouiller la session. Seule une minorité dans le privé s'engage dans des activités de protection plus sophistiquées qui requièrent une connaissance plus approfondie de la cybersécurité comme l'utilisation d'un logiciel de filtrage pour restreindre les sites nuisibles, ignorer les liens provenant de source inconnue...

Les résultats des réponses concernant l'éducation à la cybersécurité, présenté dans le tableau 4 indiquent que tous les répondants ont une opinion positive de l'éducation à la cybersécurité. La plupart des personnes interrogées sont d'avis pour dire que la cybersécurité devrait être enseigné dans toutes les facultés. A la question de savoir si les travailleurs en finances ou en informatique doivent avoir des études approfondies en cybersécurité plus que les autres, les participant pensent qu'ils sont plus exposés aux attaques informatiques et qu'une attaque contre un DAF (Directeur Administrative et financier) n'a pas le même impact qu'une attaque contre quelqu'un qui travaille à l'accueil et par conséquent ils doivent avoir une meilleure formation.
#### IV. Conclusions et limites

Au terme de l'enquête, la majeure partie des répondants connaissent l'expression « cybersécurité ». Les gens comprennent alors que l'utilisation de l'internet les exposent à divers risques comme l'atteinte à la vie privée, la perte d'argent ou de prestige etc... Seulement les gens qui sont dans le publique sont moins informé du danger de la cybersécurité. Cependant on note un paradoxe entre les connaissances et les pratiques des personnes enquêtées, ce qui est conforme aux études antérieures, d'après [10] dans son enquête, les personnes interrogées ne prenaient que des mesures de sécurité élémentaires et inadéquates, telles que la protection par mot de passe et l'installation d'un antivirus.

L'étude s'appuie sur la littérature relative à la sensibilisation, aux connaissances, à la pratique, l'éducation de la cybersécurité et son impact sur les entreprises sénégalaises. A notre connaissance, sa nouveauté réside dans le fait qu'elle est la première à s'intéresser du niveau de connaissance en cybersécurité des Sénégalais dans les entreprises. En effet l'étude a comparé le niveau de connaissance en cybersécurité, la pratique et l'éducation entre le secteur public et le secteur privé. Etant une première étude, nous nous sommes focalisés sur une approche comparative pour évaluer les différences culturelles dans la sensibilisation. Néanmoins il existe encore quelques limites qui doivent être prises en compte dans les études futures. Les études futures devraient développer des instruments spécifiques pour mesurer la sensibilisation et les connaissances en matière de cybersécurité. En résumé l'internet est profondément ancré dans notre vie professionnelle et notre dépendance ne fera qu'augmenter. Cependant cette dépendance exponentielle s'accompagne d'un risque élevé de cyberattaque.
[1] Kaimba, B. (Ed.). Africa Cyber Security Report: 100 Demystifying Africa's Cyber Security Poverty Line. SERIANU, (2017). [Online]. Available: https://www.serianu.com/downloads/AfricaCyberSecurityReport2017.pdf

[2] Ross, R., et al., Security and Privacy Controls for Federal Information Systems and Organizations, NIST Special Publication (SP) 800-53 Revision 4, National Institute of Standards and Technology, Gaithersburg, Maryland. http://doi.org/10.6028/NIST.SP.800-53r4

[3]CISCO. What is cybersecurity? (2020) [Online]. Available: https://www.cisco.com/c/en_ae/products/security/what-is-cybersecurity.html

[4] Pr Chérif DIALLO, CISSP, Qu'est-ce qu'un malware sans clic et comment fonctionnent les attaques zéro-clic ? Bulletin Mensuel de Sécurité, n°2024-07, juillet 2024

[5] Lehto M. Cyber security competencies: cyber security education and research in Finnish universities. ECCWS2015-Proceedings of the 14th European Conference on Cyber Warfare & Security: ECCWS 2015; 2015 Jul 1; Hatfield (UK): University of Hertfordshire, Academic Conferences and Publishing International Limited. p. 179-88.

[6] Albarashdi H. Facebook and the cybercrimes in Oman: Is there a relationship?]. Journal of Information Studies and Technology, 2019(2), 2-7, (2019), [Online]. Available: https://doi.org/10.5339/jist.2019.7

[7] Touhami Lardi Marini Sara : Sentinelles numériques : la cyber-sécurité au cœur de la transformation des administrations publiques marocaines ; 29 décembre 2023 ; DOI 10.5281/zenodo.10443059

[8] Mohd. Elmagzoub Eltahir ; Osman Sirajeldeen Ahmed : Cybersecurity Awareness in African Higher Education Institutions: A Case Study of Sudan Janvier 2023 ;
Doi :10.18576/isl/120113

[9] L'évolution de la cybersécurité au Sénégal : Défis, réalisations et perspectives futures |
Africa Cybersecurity Magazine 22 février 2024
[10] Zwilling, M., Klien, G., Lesjak, D., Wiechetek, Ł., Cetin, F., & Basim, H. N. Cyber security awareness, knowledge and behavior: A comparative study. Journal of Computer Information Systems, 62(1), 82-97, (2020).