Résumé

  • Le retour d'un catalogue consultable, la remise en service des applications et l'accès effectif aux documents sont des étapes différentes. Les vieux logiciels ont compliqué le rétablissement malgré la présence de sauvegardes.
  • ICO a renoncé à poursuivre son enquête en avril 2025. Des audits internes ont bien évalué certains dispositifs de reprise, sans pour autant certifier l'ensemble du système reconstruit.

Un document peut être conservé sans être consultable. Pour une bibliothèque, cette différence est immense : elle sépare une collection qui existe d'un service que l'on peut utiliser.

L'attaque par rançongiciel découverte le 28 octobre 2023 à la British Library a rendu cette distinction très concrète. Des copies sûres des collections numériques et des données qui les décrivent avaient survécu. En revanche, des serveurs étaient chiffrés ou détruits. Certains logiciels ne pouvaient plus être réinstallés tels quels, faute de support du fournisseur ou de compatibilité avec la nouvelle infrastructure sécurisée.

Le problème n'était donc pas seulement de récupérer des fichiers. Il fallait retrouver un moyen de les exploiter.

La bibliothèque ouverte, le service entravé

Dans son retour d'expérience du 8 mars 2024, l'institution précise que ses bâtiments sont restés ouverts, tout comme les salles de lecture. Les expositions et les événements ont continué. Les services de recherche, eux, ont été fortement restreints. La remise en ligne d'un catalogue interrogeable le 15 janvier 2024 n'a pas tout rétabli.

Entre repérer une référence et recevoir le document demandé, il y a des applications, des droits d'accès, des opérations de magasinage et du travail humain. Une seule étape manquante peut interrompre le parcours. C'est ce qui rend les infrastructures anciennes si difficiles à remettre en état : elles ne vieillissent pas toutes au même rythme.

Le rapport, rédigé par la bibliothèque avec l'apport de ses conseillers spécialisés, décrit aussi une couverture incomplète de l'authentification multifacteur. Déployée pour les applications en nuage, elle n'avait pas été étendue aux accès au domaine et aux serveurs locaux, dans l'attente du renouvellement de l'infrastructure. Le point d'entrée exact de l'attaque n'a pas pu être établi avec certitude.

Un audit qui suit le trajet du document

La reprise n'a pourtant pas échappé à tout examen. Le rapport annuel 2024/25, pages 75 et 76, décrit deux audits des procédures de communication des documents mises en place après la perte du système de gestion de bibliothèque.

La première procédure, manuelle, avait obtenu une assurance partielle, avec des améliorations nécessaires. Une application et des formulaires numériques ont ensuite été introduits en septembre 2024. L'audit de suivi, portant sur leur conception et leur fonctionnement, a relevé le niveau d'assurance à « significatif », avec des possibilités d'amélioration mineures.

Ce résultat a un mérite : on sait à quoi il se rapporte. Il atteste d'un progrès dans une procédure précise, encore provisoire dans l'attente du nouveau système de gestion. Il ne dit pas que toute l'infrastructure informatique résisterait à une nouvelle attaque.

L'opinion annuelle globale de l'audit interne restait une assurance partielle, avec des améliorations requises, sur la gouvernance, la gestion des risques et les contrôles. Quatre examens fondamentaux avaient néanmoins obtenu une assurance significative. Une amélioration locale et des réserves plus larges peuvent donc être vraies en même temps.

Ce que la décision d'ICO ne remplace pas

Dans sa déclaration du 30 avril 2025, ICO a indiqué que ses priorités ne justifiaient pas de consacrer davantage de ressources à l'enquête. L'autorité a salué la transparence de la bibliothèque et lui a fourni des orientations. Elle a également relevé que l'absence d'authentification multifacteur sur un compte administrateur avait aggravé l'attaque.

Il ne s'agissait pas du blâme formel de juillet 2024 mentionné dans une ancienne version de cet article. Ce n'était pas davantage un certificat de solidité des systèmes reconstruits. Une décision de poursuivre ou non une enquête ne remplace pas un essai de reprise.

Le rapport annuel faisait état du rétablissement de l'accès aux collections physiques et des demandes à distance, mais aussi de retards de catalogage et de lacunes dans la collecte numérique. Il décrit l'exercice 2024/25. La presse professionnelle de septembre 2026 a remis la reconstruction au premier plan ; cela ne transforme pas les données de l'exercice précédent en état des lieux instantané de tous les services.

La nomination annoncée de Paul Bate, le 22 septembre, prévoit une prise de fonctions le 4 novembre 2026. Au moment de la publication de cet article, cette date était encore à venir. La passation sera l'occasion de demander quels outils provisoires restent nécessaires et quels résultats ont été vérifiés, non la preuve que ces questions sont réglées.

Pour les usagers de la British Library Réservé au Cercle stratégique, le progrès se mesure finalement dans une suite d'actions ordinaires : trouver, demander, consulter. Préserver les fichiers a rendu ce retour possible. Encore faut-il que toute la suite fonctionne.

Rectification du 20 octobre 2026 : Nous retirons l'affirmation d'un blâme formel d'ICO en juillet 2024 ainsi qu'une référence parlementaire sans rapport avec l'affaire. Le retour d'expérience date de mars, et non de juin 2024. Le montant non vérifié de 7 millions de livres a été supprimé ; l'article reconnaît désormais les travaux d'audit consacrés à certains aspects de la reprise.