La plupart des directeurs SI marocains peuvent citer de mémoire le prix de leur firewall nouvelle génération, le SLA de leur hébergeur, la volumétrie de leur sauvegarde quotidienne. Peu peuvent dire combien de leurs collaborateurs ont cliqué sur le dernier test de phishing interne (quand ce test existe). C'est là que se joue la faille. Pas dans la baie serveur. Dans la boîte mail. Le rapport Verizon sur les violations de données, référence mondiale du secteur, le confirme année après année : l'erreur humaine intervient dans une écrasante majorité des incidents recensés, bien avant les failles techniques pures. Un mot de passe réutilisé. Une pièce jointe ouverte sans réfléchir un vendredi après-midi. Un virement validé parce que l'email du « DG » semblait urgent. Rien de sophistiqué. C'est justement ce qui rend ces attaques efficaces : elles ne visent pas le système, elles visent la personne qui l'utilise. Au Maroc, le sujet reste traité comme un chapitre technique alors que c'est d'abord un chapitre managérial. Les entreprises qui investissent dans la cybersécurité achètent des outils avant d'organiser des habitudes. Un antivirus se configure une fois. Une culture de vigilance se construit chaque mois, avec des rappels, des exercices, parfois des erreurs assumées en interne plutôt que cachées. La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI) publie régulièrement des recommandations à destination des entreprises marocaines, la plupart tiennent en une page et ne coûtent rien à appliquer : authentification à deux facteurs sur les comptes sensibles, sauvegardes déconnectées du réseau principal, procédure claire de validation pour tout virement bancaire au-delà d'un certain montant. Ce ne sont pas des mesures de grande entreprise. Ce sont des mesures de bon sens qu'une PME de vingt salariés peut mettre en place en une semaine. Le vrai obstacle n'est pas le budget. C'est l'absence de pilotage. Sans quelqu'un qui porte ce sujet en continu, qui rappelle, qui teste, qui ajuste, les bonnes pratiques s'écrivent dans une charte informatique que personne ne relit après sa signature. La question à se poser n'est pas « sommes-nous protégés contre les hackers ? ». Elle est plus précise, et plus inconfortable : si un collaborateur reçoit aujourd'hui un email piégé bien fait, que se passe-t-il dans les cinq minutes qui suivent ? Si la réponse est « je ne sais pas », le problème n'est pas technique.