Les questions d’examens étaient sur Internet : sanctionner et/ou prévenir ?
Publié le 22/06/2015 par
Etienne Wery 
La Belgique et la France ont en commun l’organisation d’épreuves de fin d’année identiques pour tous les élèves d’un même niveau : le Bac en France, et le CESS notamment en Belgique. Cette année, plusieurs épreuves ont été annulées à cause de fuites sur Internet. La ministre est furieuse et le Parlement s’en mêle.
Etat des lieux
La France fait partie des précurseurs. Le baccalauréat est, depuis très longtemps, une épreuve centralisée. Les questions sont établies par un groupe limité de personnes, sur la base du programme officiel. Les mêmes questions sont donc posées à tous les élèves d’un même degré.
La Belgique a suivi il y a quelques années pour certaines épreuves, à l’instar d’autres Etats.
Pourquoi une épreuve centralisée ? Le but est essentiellement de disposer d’éléments comparatifs objectifs qui permettent ensuite de dresser une cartographie plus précise de l’enseignement. Comment en effet comparer le niveau de mathématiques dans deux régions d’un même pays si les questions sont faites par chaque professeur ? Selon que ce professeur est plus ou moins exigeant, les résultats peuvent varier grandement. D’où l’idée de l’épreuve centralisée, à certaines étapes clés du parcours de l’élève.
Les risques
Une épreuve centralisée crée un risque supplémentaire de divulgation. Les spécialistes de la sécurité des données connaissent bien le problème. Ce risque accru découle de deux facteurs :
1. La centralisation elle-même. Si une fraude ou une faille a lieu au niveau du comité restreint chargé de rédiger de façon centralisée la question, c’est l’ensemble du système qui est affecté. Il est donc crucial de protéger ce centre ;
2. Le circuit d’acheminement. Dans la mesure où les épreuves se déroulent sur papier, il faut acheminer les questions jusque dans chaque école. Cela prend du temps, nécessite de la manutention et du stockage temporaire d’informations sensibles. Si une faille de sécurité a lieu à ce niveau, c’est en principe ce circuit là qui est violé, mais pas le reste du système. Sauf bien entendu si les questions interceptées se retrouvent sur Internet…
On fera observer le parallèle avec les règles de protection des données des cartes de crédit :
Il y a une première zone de risque qui découle de la centralisation des données au sein des serveurs des sites marchands : si ce serveur est piraté, ce sont toutes les données qui sont atteintes. Les mesures de lutte sont techniques et organisationnelles : cryptage, firewall, morcellement des informations en plusieurs fichiers, etc.
Il y a une seconde zone de risque au niveau de la communication entre le site marchand et le client, au moment où les informations de paiement sont communiquées (lors de l’achat). Les mesures de lutte sont essentiellement techniques, notamment via le cryptage SSL très répandu.
Les faits en Belgique
En Belgique, on ne parle que de ça : plusieurs épreuves ont dû être annulées car les questions étaient sur l’Internet. Cela a commencé de façon isolée (quelques questions, pour une épreuve) avant de se transformer en scandale lorsque les réponses de plusieurs épreuves se sont retrouvées largement disponibles en ligne, quand elle n’était pas tout simplement vendues à la sortie des écoles…
Un "Milquetgate", du nom de la ministre Milquet en charge de l’enseignement et qui assume politiquement un fameux couac dont elle se serait bien passée.
Ladite ministre a pris en urgence la seule décision qui s’imposait : l’annulation des épreuves.
Vient à présent le temps des poursuites et de la réflexion.
Des poursuites ?
Une plainte pénale a été déposée par la ministre, et les enquêteurs font à présent leur travail.
On ne s’étonnera pas d’apercevoir les cyberflics en première ligne, puisque c’est à partir des sites et réseaux sociaux ayant proposé les épreuves que la police va remonter la filière jusqu’à la source de la fraude.
Première hypothèse – la plus probable si l’on en croit les déclarations de la ministre. Ce sont des enseignants ayant accès aux questions qui auraient eux-mêmes provoqué la fuite. L’ont-ils fait volontairement, ou par maladresse ? Ont-ils agi à des fins politiques ? Au-delà d’incriminations spécifiques éventuelles, ces personnes ont à tout le moins enfreint le secret professionnel et/ou le secret spécifique auquel les fonctionnaires sont tenus.
Deuxième hypothèse : il s’agit d’une fraude informatique. Des pirates auraient eu accès au serveur ou aux ordinateurs de certains fonctionnaires, et auraient acquis de cette façon les épreuves. On se retrouverait alors devant une hypothèse plus classique de criminalité informatique pour laquelle la loi prévoit de façon expresse plusieurs incriminations.
Troisième hypothèse. La fraude provient d’élèves. On peut par exemple imaginer le fils d’un directeur d’école tombant par hasard sur les épreuves stockées dans le bureau de son papa ou de sa maman, et trouvant amusant de les diffuser sans nécessairement se rendre compte des conséquences de ses actes. En ce cas, il n’y a pas ici de secret professionnel. Il n’y a par ailleurs, à notre connaissance, aucune incrimination spécifique.
Des poursuites contre les élèves ?
Inutile de dire que dès que les questions ont été sur Internet, un grand nombre d’élèves ont pris un malin plaisir à relayer l’information. Les réseaux sociaux aidant, il n’a pas fallu longtemps avant que les questions inondent le Web.
Plusieurs directeurs d’école ont annoncé des sanctions contre ces élèves, pouvant aller jusqu’à l’exclusion.
Il n’y a, par rapport à ce cas de figure, aucune disposition légale ou réglementaire spécifique.
Le seul cadre juridique pouvant justifier une sanction contre ces élèves, réside donc dans le règlement propre à chaque école.
Il faudra donc aller dans chaque règlement vérifier ce qu’il en est, mais il est peu probable que l’on trouve des dispositions permettant de sanctionner les élèves dont le rôle s’est limité à diffuser une information qui était déjà disponible sur l’Internet.
À l’exception de contenus extrêmement spécifiques ayant nécessité une règle spéciale, il n’y a en effet aucune norme juridique qui interdit à un citoyen de relayer une information disponible en ligne.
La réflexion
On a entendu beaucoup de commentaires, mais très peu d’experts en sécurité des données.
C’est surprenant, car la technologie est une piste intéressante, si pas la plus prometteuse.
Qu’il s’agisse de cryptage, d’horodatage, de fichiers encapsulés dont l’ouverture n’est possible que par certaines personnes à un certain moment, de signature électronique, d’imprimante générant les impressions moyennant un code à un moment prédéfini, de tatouage électronique, etc., la technologie disponible regorge d’outils parfaitement à même de limiter le risque.
Certes, tout ceci à un coût … le prix de l’enseignement destiné à former les cerveaux de demain.
