Maroc Telecom promet un guichet, pas une cybersécurité industrialisée

Le front se déplace vers le tissu économique

Les annonces faites à l'Africa Cybersecurity Forum 2026 par Maroc Telecom ne portent pas sur une rupture technologique. Elles portent sur un déplacement de cible: étendre la protection au-delà des administrations et des grandes infrastructures, vers les TPE et les PME. Nour El Ansari, chief business officer de l'opérateur, a explicitement rattaché cette priorité à la fragilité des petites structures: «Nous avons des PME qui sont toujours fragiles et c'est là que les problèmes commencent» [1]. L'argument tient à la progression des menaces par les chaînes d'approvisionnement: une petite structure faiblement défendue devient un point d'entrée vers des donneurs d'ordres mieux protégés [2]. Ce n'est donc pas un simple enjeu de solidarité numérique. C'est un problème d'architecture de risque: la surface d'attaque d'une économie se joue aussi à son maillon le plus faible.

Ce que l'opérateur met réellement sur la table

Maroc Telecom structure son discours autour de trois composantes. Les communications critiques s'appuient sur des liens dédiés et une infrastructure spécifique pour les clients ayant de fortes exigences de disponibilité et de sécurité. Le cloud souverain vise à héberger au Maroc les ressources des acteurs sensibles, avec un centre de données certifié Tier III. La cybersécurité managée, portée notamment par Casanet, couvre les centres opérationnels de sécurité et la supervision continue [3]. En complément, Aziz Safwan, directeur des nouveaux services et projets chez Maroc Telecom, parle d'agrégateur de confiance et décrit des offres MSSP: SOC managé, anti-DDoS, SD-WAN avec surveillance [3]. Le groupe s'appuie aussi sur ses filiales Moov Africa pour la gestion des vulnérabilités et la protection DDoS [4].

La demande existe, mais elle est doublement contrainte

Côté demande, les chiffres disponibles justifient l'intérêt pour des services accessibles. En 2025, 26% des TPE-PME françaises utilisaient des solutions d'intelligence artificielle, un doublement en un an, et l'hameçonnage reste la première cause d'incident déclaré avec 43% des cas. Le règlement européen sur l'IA (AI Act) impose depuis février 2025 de former les salariés aux systèmes d'IA utilisés, y compris dans les petites structures [5]. La cybersécurité ne se réduit donc pas à un antivirus: elle croise la formation, la gouvernance des usages et la maîtrise des données. Or une TPE n'a ni RSSI, ni équipe NOC, ni capacité d'assembler ces briques. Le guichet managé a du sens s'il réduit cette charge d'intégration. Il rencontre cependant une autre contrainte, économique: Bank of Africa a lancé une tournée nationale pour réunir banque et organismes d'accompagnement, car les TPE ont besoin de plusieurs interlocuteurs pour passer d'une idée à un projet finançable [6]. L'achat de cybersécurité managée suivra la même logique: sans accompagnement, l'offre risque de rester théorique.

Le point d'architecture que les décideurs doivent creuser

Pour un CTO, la question n'est pas de savoir si Maroc Telecom est légitime. Elle est de savoir quelle architecture de confiance se cache derrière l'offre agrégée. Un opérateur qui combine connectivité, hébergement souverain et supervision SOC crée une interdépendance nouvelle. Les SLAs devront préciser le partage de responsabilité en cas d'incident, les modalités d'escalade, la localisation des journaux et l'accès aux données par les équipes de supervision. Le cloud souverain ne garantit pas à lui seul la souveraineté opérationnelle: encore faut-il que la chaîne de traitement des alertes, les sauvegardes et les chemins de restauration soient définis contractuellement. Un centre de données Tier III et un SOC 24/7 sont des prérequis, pas des preuves de résilience. Les annonces de forum ne constituent pas une base d'évaluation: il manque des données publiques sur les tarifs, les délais d'onboarding, les taux de faux positifs ou les temps de réponse. Un CTO doit les exiger avant de généraliser.

Ce que je recommande aux décideurs

D'abord, intégrer la cybersécurité des TPE-PME dans l'analyse de risque de la chaîne d'approvisionnement. Si vos fournisseurs ou clients appartiennent à ce segment, le recours à un agrégateur managé peut réduire le risque systémique plus efficacement qu'une simple exigence documentaire. Ensuite, tester l'offre sur un périmètre restreint: quelques sites, un flux de facturation, un accès distant. Mesurer le délai d'onboarding, la charge résiduelle pour l'entreprise, la lisibilité des tableaux de bord. Enfin, ne pas confondre partenariat public-privé et externalisation de la responsabilité. L'État garde la définition des règles et la protection des services critiques; l'opérateur étend la distribution des dispositifs à un plus grand nombre d'entreprises. La résilience collective se jouera sur la capacité à industrialiser ces services pour des milliers de petites structures, pas sur la communication d'un forum.