Le Nigeria renforce sa stratégie de souveraineté numérique en affirmant garder sur son territoire les données biométriques de millions de citoyens. Cette orientation vise à mieux contrôler les informations sensibles, à réduire certaines dépendances technologiques étrangères et à consolider les infrastructures nationales. Mais héberger les données dans le pays ne suffit pas à garantir leur confidentialité : les accès accordés aux partenaires, les interfaces informatiques et les pratiques de gouvernance constituent autant de points de vulnérabilité.
Le Nigeria veut reprendre le contrôle de ses données stratégiques
La maîtrise des données est devenue un enjeu central pour les États qui accélèrent leur transformation numérique. Identité nationale, services bancaires, santé et administration reposent sur des systèmes qui concentrent des volumes croissants d’informations personnelles et sensibles.
Au Nigeria, la Commission nationale de gestion de l’identité (National Identity Management Commission, NIMC) affirme que la base de données biométriques associée au numéro national d’identification (NIN) est hébergée sur le territoire national et gérée par ses propres équipes. Selon l’article publié par Afrique IT News, cette base concerne environ 142 millions de personnes enregistrées.
Cette localisation répond à un objectif stratégique : conserver une maîtrise nationale des données utilisées pour identifier les citoyens et leur donner accès aux services publics ou privés. Elle peut également faciliter le contrôle des infrastructures, la supervision des opérations et l’application des règles nationales de protection des données.
Toutefois, la souveraineté numérique ne se résume pas à la propriété d’un centre de données ou à l’emplacement physique de ses serveurs. Elle suppose également de contrôler les systèmes qui traitent les informations, les personnes qui peuvent les consulter et les organisations auxquelles leur accès est accordé.
Localisation des données : une politique qui s’étend au secteur financier
La stratégie nigériane ne concerne pas uniquement les données d’identité. Le secteur financier fait lui aussi l’objet de nouvelles exigences de localisation.
Le 15 juin 2026, la Banque centrale du Nigeria (CBN) a annoncé une directive demandant aux banques, aux entreprises de technologie financière et aux prestataires de paiement concernés de stocker et de gérer au Nigeria les données de transactions générées dans le pays, avec une échéance fixée au 1er janvier 2027. Cette mesure est rapportée par The Punch dans son article sur l’obligation d’hébergement local des données de paiement.
L’objectif est notamment de renforcer la supervision réglementaire et de faciliter l’accès aux informations nécessaires aux contrôles et aux enquêtes financières. Cette orientation devrait aussi stimuler la demande en centres de données, en services cloud locaux et en compétences techniques nationales.
La mise en œuvre reste néanmoins un défi important. Les établissements concernés doivent évaluer leurs systèmes existants, examiner les contrats avec leurs fournisseurs et organiser la migration des données sans compromettre la continuité des services. Comme le souligne un autre article de The Punch sur le maintien de l’échéance de janvier 2027, la conformité ne se limite pas à déplacer des fichiers : elle implique également les journaux de transactions, les traces d’audit, les métadonnées et les systèmes qui soutiennent les opérations financières.
En parallèle, le Nigeria poursuit le développement d’une infrastructure de cloud souverain. La création d’une équipe nationale chargée de coordonner cette initiative a été annoncée en août 2026, selon Afrique IT News. L’ambition est de renforcer les capacités d’hébergement nationales et de donner davantage de contrôle au pays sur ses infrastructures numériques stratégiques.
Pourquoi un hébergement local ne garantit-il pas la sécurité ?
La localisation des données permet de mieux maîtriser leur environnement d’hébergement, mais elle ne neutralise pas les risques liés aux accès numériques. Une base installée dans un centre de données national peut toujours être exposée si les comptes utilisateurs sont mal protégés, si les autorisations sont trop larges ou si les systèmes connectés présentent des failles.
Il faut donc distinguer deux notions :
- La résidence des données : le lieu où les données sont stockées et, selon les règles applicables, traitées.
- La sécurité des données : l’ensemble des mesures techniques, organisationnelles et humaines qui empêchent leur consultation, leur modification ou leur divulgation non autorisées.
Un État peut contrôler physiquement ses infrastructures tout en restant vulnérable aux attaques visant les applications, les identifiants, les interfaces de programmation ou les prestataires qui utilisent ses services.
C’est particulièrement important pour les bases d’identité nationales, car elles contiennent des informations qui peuvent être exploitées pour l’usurpation d’identité, la fraude documentaire, l’ouverture de comptes frauduleux ou d’autres formes de cybercriminalité.
Le cas XpressVerify : les risques liés aux partenaires et aux accès
Les controverses survenues au Nigeria en mars 2024 illustrent les difficultés de sécurisation des écosystèmes connectés aux systèmes d’identité.
Des enquêtes journalistiques ont rapporté que des plateformes de vérification non autorisées, dont XpressVerify, auraient permis de consulter des informations personnelles de citoyens. Dans un article publié le 19 mars 2024, le média nigérian TheCable a décrit des risques liés à l’accès aux données par des entités de vérification et à la gestion des autorisations : l’enquête sur l’exposition de données par des agents de vérification.
La NIMC a, de son côté, déclaré que XpressVerify ne figurait pas parmi ses partenaires agréés et a annoncé une enquête sur les circonstances de l’affaire. La commission a contesté l’existence d’une compromission de sa base centrale, assurant que les données des citoyens demeuraient protégées dans le système national. Cette réponse officielle est consultable dans le communiqué relayé par Dateline Nigeria.
Cette distinction est essentielle : les informations disponibles ne permettent pas de conclure que la base centrale a elle-même été directement piratée. En revanche, l’affaire met en évidence les risques que peuvent représenter les intermédiaires, les services de vérification et les autorisations accordées aux acteurs externes.
Lorsqu’une organisation accède à un système national par l’intermédiaire d’une interface de programmation (Application Programming Interface, ou API), la sécurité dépend de plusieurs facteurs : l’identité du demandeur, la légitimité de sa requête, les données qu’il est autorisé à obtenir et la capacité de détecter les usages anormaux.
Un partenaire mal contrôlé ou un accès trop permissif peut ainsi créer une voie d’exposition, même si les serveurs centraux sont hébergés localement et bénéficient de protections solides.
Les API gouvernementales, un enjeu majeur de cybersécurité
Les API jouent un rôle déterminant dans les services numériques modernes. Elles permettent aux administrations et aux entreprises autorisées d’interroger des systèmes distants, de vérifier une identité ou d’échanger des informations sans devoir copier l’intégralité d’une base de données.
Mais chaque connexion supplémentaire élargit potentiellement la surface d’attaque. Si plusieurs agences gouvernementales, institutions financières ou organismes privés sont reliés à un système national, la sécurité globale dépend aussi de la robustesse de chacun de ces points d’accès.
Les risques peuvent notamment provenir :
- d’identifiants compromis ou insuffisamment protégés ;
- d’autorisations trop étendues par rapport aux besoins réels ;
- de clés d’API exposées ou rarement renouvelées ;
- d’un manque de journalisation des consultations ;
- de contrôles insuffisants sur les prestataires et sous-traitants ;
- de l’absence de révocation rapide des accès devenus inutiles.
La réponse ne consiste donc pas à interdire toute interconnexion, puisque celle-ci est indispensable au fonctionnement de nombreux services. Elle consiste à instaurer une gouvernance précise des accès et à vérifier en continu que chaque connexion reste légitime et sécurisée.
Quelles mesures pour rendre la souveraineté numérique réellement efficace ?
Pour transformer l’hébergement local en véritable protection, le Nigeria doit associer ses investissements en infrastructures à des contrôles techniques et organisationnels couvrant l’ensemble du cycle de vie des données.
1. Appliquer le principe du moindre privilège
Chaque utilisateur, application ou partenaire devrait disposer uniquement des droits nécessaires à ses missions. Une agence chargée de vérifier une identité ne devrait pas pouvoir consulter davantage d’informations que ce que son service exige.
Les autorisations doivent être limitées, réévaluées périodiquement et supprimées dès qu’elles ne sont plus nécessaires.
2. Auditer régulièrement les partenaires connectés
Les administrations qui donnent accès à des données sensibles doivent vérifier l’identité de leurs partenaires, leur statut d’autorisation, leurs pratiques de sécurité et le respect des conditions d’utilisation.
Ces contrôles ne doivent pas se limiter à la signature initiale d’un contrat. Des audits périodiques, des tests de sécurité et des mécanismes de suspension rapide des accès sont nécessaires pour réduire les risques.
3. Renforcer l’authentification et la surveillance des API
Les interfaces de programmation doivent intégrer des mécanismes robustes d’authentification, de limitation des requêtes et de contrôle des autorisations. Les échanges sensibles peuvent également nécessiter un chiffrement renforcé et une gestion rigoureuse des secrets techniques.
Les journaux d’accès doivent permettre de détecter des comportements inhabituels : consultations massives, demandes répétées, utilisation depuis des environnements inattendus ou tentatives de contournement des restrictions.
4. Détecter rapidement les abus et organiser la réponse aux incidents
Même les systèmes les mieux protégés ne peuvent garantir un risque nul. Il est donc indispensable de disposer de mécanismes permettant d’identifier les incidents, d’en mesurer l’impact, de bloquer les accès concernés et de prévenir les personnes ou autorités compétentes lorsque la situation l’exige.
Des procédures de réponse aux incidents régulièrement testées permettent de limiter les conséquences d’une fuite et d’accélérer le rétablissement des services.
5. Investir dans les compétences et la redevabilité
La cybersécurité ne dépend pas uniquement des équipements. Elle exige des équipes formées, des responsabilités clairement attribuées et des contrôles indépendants.
Les organismes publics doivent pouvoir démontrer qui a accédé aux données, pour quelle raison, dans quel cadre et avec quelles autorisations. Cette traçabilité est essentielle pour enquêter sur les abus et renforcer la confiance des citoyens.
Un enjeu continental pour l’Afrique
L’expérience nigériane concerne bien d’autres pays africains qui développent des systèmes d’identité numérique, des services publics en ligne et des infrastructures locales de cloud.
L’hébergement national peut réduire certaines dépendances extérieures et faciliter la supervision des données stratégiques. Mais les bénéfices dépendent aussi de la qualité des infrastructures, de la disponibilité de compétences spécialisées, de la gouvernance des prestataires et de l’efficacité des autorités de protection des données.
La souveraineté numérique doit ainsi être comprise comme une capacité globale à contrôler les données et leurs usages, et non comme une simple obligation de stockage géographique. Un centre de données local peut constituer un élément important de cette stratégie, mais il ne compense ni une mauvaise gestion des accès ni des contrôles insuffisants sur les systèmes connectés.
Pour les gouvernements africains, l’enjeu est donc double : développer des capacités nationales d’hébergement et renforcer simultanément les mécanismes qui encadrent la collecte, le traitement, la consultation et le partage des informations.
Conclusion : contrôler les accès autant que les infrastructures
Le Nigeria fait de la localisation des données un axe important de sa stratégie numérique. L’hébergement annoncé de la base biométrique nationale, la directive de la Banque centrale sur les données de paiement et les efforts en faveur d’un cloud souverain témoignent d’une volonté de renforcer le contrôle national sur les infrastructures critiques.
Mais les controverses autour de XpressVerify rappellent une réalité fondamentale : la sécurité d’une base de données dépend aussi des organisations et des applications autorisées à y accéder. La résidence locale ne garantit pas, à elle seule, la confidentialité des informations.
Pour bâtir une souveraineté numérique durable, les États africains doivent donc combiner infrastructures nationales, contrôle strict des accès, audits réguliers, surveillance des API, protection des données et responsabilité des acteurs connectés. La question essentielle n’est pas seulement de savoir où les données sont hébergées, mais aussi qui peut les consulter, dans quelles conditions et avec quels mécanismes de contrôle.
SOURCE : Afrique IT
