Cybersécurité des écoles et universités privées au Maroc : menaces, données des élèves et mesures prioritaires

La réponse courte : une école, un lycée ou une université privée n’a pas besoin d’un dispositif de grande entreprise, mais elle doit traiter d’abord ce qui fait tomber ce type d’établissement : les comptes de messagerie piratés, le réseau élèves mal séparé, les comptes jamais supprimés et les sauvegardes jamais testées. Ce guide présente les menaces documentées, ce que la loi marocaine implique pour les données d’élèves, et les mesures à prendre dans l’ordre, sans perturber les cours.

Nous n’avons pas trouvé de statistique publique sur les établissements marocains. Les chiffres ci-dessous viennent de France et d’une enquête internationale, et nous indiquons leurs limites. Les bonnes pratiques, elles, s’appliquent directement ici.

Ce que montrent les données disponibles

Source	Constat	À garder en tête
ANSSI, Panorama de la cybermenace 2025	L’éducation et la recherche regroupent 34 % des 1 366 incidents portés à sa connaissance	L’ANSSI précise que ces secteurs comptent beaucoup d’entités publiques, plus enclines à signaler, même un incident mineur
ANSSI, même rapport	Les établissements scolaires, notamment du primaire et du secondaire, ont été particulièrement touchés par les rançongiciels en 2025	Situation française
Sophos, State of Ransomware in Education 2026	Vecteurs liés à l’identité (e-mails malveillants, hameçonnage, identifiants volés, force brute) à l’origine de 85 % des attaques	Enquête d’un éditeur auprès de 226 responsables d’établissements déjà touchés, dans 17 pays
Sophos, même enquête	58 % des attaques ont abouti au chiffrement des données ; dans le supérieur, 53 % des répondants disent avoir manqué de compétences pour détecter et stopper l’attaque à temps	Les répondants sont des victimes : ce n’est pas un taux de risque pour tous les établissements

Deux enseignements nous semblent utiles. D’abord, la plupart des attaques n’ont rien de sophistiqué : l’ANSSI parle d’attaques largement opportunistes et, dans le secondaire, d’attaquants d’un niveau technique limité qui tirent parti d’une sécurité faible. Ensuite, l’arrêt peut être long : l’ANSSI évoque un fonctionnement dégradé pendant plusieurs semaines dans des établissements scolaires, et un établissement supérieur contraint de passer ses cours à distance après la perte de tout son système d’information. Sophos signale aussi que les établissements d’enseignement sont presque deux fois plus exposés que l’ensemble de son panel à une reprise d’un mois ou plus.

Pourquoi un établissement est plus difficile à protéger qu’un bureau

• Des comptes par milliers, renouvelés chaque année. Élèves, étudiants, enseignants vacataires, anciens diplômés : sans procédure de sortie, les comptes dormants s’accumulent.
• Un réseau ouvert. WiFi élèves, salles informatiques partagées, appareils personnels, vidéoprojecteurs, caméras et administration se croisent parfois sur le même réseau.
• Des utilisateurs curieux. Un élève qui teste les limites du système n’a pas besoin d’être un expert pour accéder à ce qui est mal protégé, y compris aux notes.
• Des données qui intéressent tout le monde. Identités d’enfants, coordonnées des parents, CIN, dossiers médicaux de l’infirmerie, paiements des frais de scolarité.
• Un calendrier sans marge. Une panne à la rentrée ou pendant les examens se voit aussitôt, et les parents l’apprennent très vite.
• Une équipe informatique réduite, souvent une seule personne, parfois un enseignant qui s’en occupe en plus de ses cours.

Les menaces, et ce qu’elles donnent concrètement

Menace	Ce qui se passe	Parade prioritaire
Compte de messagerie piraté	Le compte d’un enseignant ou d’un étudiant sert à envoyer du hameçonnage à toute l’école, un cas fréquent selon l’ANSSI dans le supérieur	Double authentification, blocage des protocoles anciens, alertes de connexion
Rançongiciel	Serveurs, partages et logiciel scolaire chiffrés, cours et administration à l’arrêt	Sauvegarde hors ligne testée, segmentation, correctifs, EDR
Site web défiguré	Un compte administrateur ou une faille permet de modifier le site, cas relevé par l’ANSSI	Mises à jour, double authentification, peu de comptes administrateurs
Fraude aux frais de scolarité	Un faux message aux parents annonce un nouveau RIB	Règle publiée : aucun changement de RIB par e-mail, rappel au numéro connu de l’école
Modification de notes	Mot de passe d’un enseignant deviné, ou session restée ouverte en salle	Comptes nominatifs, journal des modifications, double validation des notes finales
Fuite de données	Fichier d’élèves partagé par lien public, export oublié, prestataire compromis	Droits d’accès par rôle, revue des partages, contrat avec le prestataire

Dans le supérieur, un cas de plus : les laboratoires et les travaux menés avec des industriels. L’ANSSI y voit un intérêt possible à des fins d’espionnage ou de pré-positionnement. Une université qui mène ce type de projets doit isoler ces données du reste du campus.

Ce que la loi 09-08 implique pour les données d’élèves

Un établissement privé est responsable de traitement au sens de la loi 09-08 et des obligations devant la CNDP. Cinq points méritent une attention particulière :

1. Déclarer ou demander l’autorisation. Dossiers scolaires, paie et vidéosurveillance relèvent des formalités auprès de la CNDP. L’article 12 prévoit une autorisation préalable notamment pour les données de santé, comme un dossier d’infirmerie, et pour les fichiers comportant le numéro de CIN.
2. Sécuriser. L’article 23 impose des mesures techniques et organisationnelles appropriées contre la perte, la diffusion ou l’accès non autorisé.
3. Encadrer les prestataires. Éditeur du logiciel scolaire, plateforme de cours, hébergeur et infogérant doivent offrir des garanties suffisantes, avec un contrat écrit.
4. Vérifier les transferts. Stocker des données hors du Maroc constitue un transfert, encadré par les articles 43 et 44. C’est à instruire pour toute plateforme cloud.
5. Informer les familles. L’article 5 impose d’informer les personnes lors de la collecte, et les parents doivent savoir à qui s’adresser pour exercer leurs droits.

Nous n’avons trouvé dans le texte publié au Bulletin officiel aucune disposition propre aux mineurs. Par prudence, recueillez l’accord des parents pour les usages non indispensables, comme les photos publiées sur le site, et faites valider vos formulaires par votre conseil ou auprès de la CNDP.

Quant à la loi 05-20 sur la cybersécurité, elle vise d’abord les organismes publics, les infrastructures d’importance vitale et certains opérateurs. Un établissement privé y est rarement soumis directement, mais peut l’être par contrat s’il travaille pour ces acteurs.

Les mesures, dans l’ordre

Dans ses recommandations aux établissements américains du primaire et du secondaire, l’agence CISA conseille de commencer par un petit nombre d’investissements : double authentification, correction des failles activement exploitées, sauvegardes testées, plan de réponse exercé et formation. Nous suivons la même logique, adaptée à un établissement marocain.

1. Protéger les identités

Activez d’abord la double authentification sur l’administration, la direction, les comptables et les enseignants, puis sur les étudiants majeurs. Notre guide de déploiement de la MFA détaille la méthode. Selon Sophos, presque toutes les victimes d’attaques par identifiants déclaraient une MFA activée : ce résultat ne la rend pas inutile, mais une MFA partielle ou mal réglée ne suffit pas. Vérifiez donc la couverture réelle, les comptes exclus et les protocoles anciens.

Faites aussi le ménage : comptes des élèves partis, des vacataires et des anciens salariés supprimés à date fixe, à chaque fin d’année scolaire au minimum.

2. Régler correctement la plateforme

Plateforme	Ce que dit l’éditeur	À faire
Microsoft 365 Education	Sécurité définie par la licence : A1 pour la base, A3 avec Entra ID P1 et Defender, A5 avec Entra ID Plan 2 et une sécurité complète	Paramètres de sécurité par défaut, sans licence requise, ou accès conditionnel à partir de P1 pour cibler les groupes
Google Workspace for Education	Édition Fundamentals sans frais pour les établissements reconnus et accrédités, édition Plus pour la sécurité et l’analyse avancées	Réglage de l’âge : en primaire et secondaire, un utilisateur non désigné est traité comme mineur ; dans le supérieur, l’administrateur doit identifier les moins de 18 ans

Côté Google, placez le personnel dans une unité d’organisation réglée sur 18 ans et plus. Pour choisir entre les deux suites, lisez Microsoft 365 ou Google Workspace. Dans les deux cas, ajoutez une sauvegarde indépendante de Microsoft 365 ou de son équivalent Google.

3. Séparer les réseaux

Quatre zones au minimum : administration, pédagogie, élèves et invités, équipements (caméras, téléphones, imprimantes). Elles reposent sur des VLAN correctement filtrés et sur un pare-feu, et non sur un simple mot de passe WiFi différent. Le réseau sans fil doit supporter un pic de connexions simultanées, voir notre guide du WiFi haute densité. Pour les mineurs, ajoutez un filtrage DNS adapté, et conservez le pare-feu à jour, car il est le premier équipement exposé. Selon Sophos, les pare-feu ont repéré 65 % des attaques avant le déclenchement du rançongiciel, et 51 % de ces établissements ont tout de même vu leurs données chiffrées : à notre sens, une alerte n’a de valeur que si quelqu’un la traite.

4. Sauvegarder pour pouvoir repartir

Appliquez la règle 3-2-1 avec une copie immuable sur le logiciel scolaire, les notes, la comptabilité et les fichiers de l’administration. Puis testez réellement la restauration, avant la rentrée et avant les examens. Une sauvegarde jamais restaurée reste une supposition.

5. Gérer les postes et les salles informatiques

Comptes sans droits d’administrateur pour les élèves, postes partagés remis à zéro entre deux sessions, session fermée automatiquement, correctifs centralisés, antivirus ou EDR supervisé sur les postes de l’administration. Les tablettes et téléphones de l’établissement passent par un outil de gestion de flotte.

6. Prévoir le mode dégradé et former

Écrivez une page simple : qui décide, qui appelle qui, comment informer les parents sans la messagerie, où se trouvent les sujets d’examen et les notes si le système tombe. Notre article sur la première heure d’un incident sert de base. Exercez ce plan une fois par an. Ajoutez une charte informatique signée et un programme de sensibilisation au hameçonnage, à commencer par le personnel administratif.

École ou université : ce qui change

Sujet	École, collège, lycée	Université, école supérieure
Public	Surtout des mineurs, comptes à droits réduits	Surtout des majeurs, double authentification généralisable
Point faible fréquent	Sécurité minimale, informatique tenue par une seule personne	Grand nombre de comptes, appareils personnels, services multiples
Données à part	Santé, situation des familles	Recherche, partenariats, dossiers de candidature
Priorité de réseau	Filtrage et séparation stricte élèves / administration	Accès par profil sur tout le campus, serveurs exposés recensés
Période critique	Inscriptions, rentrée, examens, bulletins	Inscriptions, examens, soutenances

Les erreurs que nous rencontrons

1. Un seul mot de passe WiFi, connu de tous depuis des années, qui donne accès au réseau de l’administration.
2. Un compte administrateur partagé entre la direction et l’informaticien, sans double authentification.
3. Un fichier d’élèves ouvert par lien public sur un espace partagé, jamais revu.
4. Le logiciel scolaire sans contrat de sous-traitance ni information sur la localisation des données.
5. Une sauvegarde sur un disque resté branché au serveur, chiffrée avec le reste lors d’une attaque.
6. Aucune procédure de sortie pour les enseignants vacataires et les élèves partis.

Checklist pour démarrer

• Double authentification active sur la direction, l’administration et les enseignants.
• Comptes dormants supprimés et date de revue annuelle fixée.
• Réseaux administration, élèves et équipements séparés par un pare-feu à jour.
• Sauvegarde hors ligne ou immuable, restauration testée avant les examens.
• Traitements recensés, formalités CNDP vérifiées, contrats des prestataires relus.
• Règle sur les changements de RIB communiquée aux parents.
• Mode dégradé d’une page, imprimé et connu de la direction.

Comment nous procédons

Nous commençons par un audit initial offert : comptes, réseau, sauvegardes, équipements exposés et prestataires. Nous vous remettons un plan classé par priorité, à déployer pendant les vacances ou sans interrompre les cours. Nous pouvons ensuite le mettre en œuvre, en lien avec notre offre de cybersécurité des entreprises au Maroc, avec Fortinet pour le pare-feu et Veeam pour la sauvegarde. Après la mise en place, l’infrastructure est supervisée 24/7, et un incident critique est pris en charge en moins de 15 minutes. Nos interventions sur site se font depuis Casablanca.

Découvrez notre approche pour le secteur de l’éducation et de la formation, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.