LA CYBERDEFENSE EST L'AFFAIRE DE TOUS

OPINION. La France est encore insuffisamment préparée au cinquième domaine de la guerre. Informer, former et s'équiper sont des priorités stratégiques. (*) Par Nicolas Sironneau et Jean-Benoît Arvis, Experts Numériques de la Fondation Concorde

Septembre 2010. Dans les sous-sols de l'hypersécurisée centrale nucléaire de Natanz, les turbines cessent de fonctionner. Les officiels Iraniens soupçonnent une attaque - mais personne ne s'est introduit dans le complexe, pas plus qu'il n'a été bombardé. La vérité se fait jour quelques semaines plus tard. Il s'agit du résultat d'une cyberattaque, baptisée Stuxnet. Depuis lors, pas moins de 200 cyberattaques entre États souverains ont été répertoriées (Financial Times - "Top general lifts lid on Britain's cyber attack capability", 25 septembre 2020).Infrastructures militaires dégradées, réseaux électriques mis hors service, vol de secrets d'État... leur récurrence alimente les craintes et les fantasmes d'une guerre qui ne dit pas son nom, mais qui semble pourtant bien engagée.

Les cyberattaques ne sont pas que le fait des États, et peuvent répondre à des objectifs variés : rançon, espionnage industriel, militantisme politique. Elles vont de l'anecdotique à des actes qui mettent en danger la sécurité nationale, et parfois les deux. En 2017, le ransomware ("logiciel rançon") WannaCry infectait des centaines de milliers de systèmes à travers près de 150 pays (Le Monde, « Une cyberattaque massive bloque des ordinateurs dans des dizaines de pays », 19 mai 2017), allant de PME au ministère de l'intérieur russe, en passant par des hôpitaux britanniques. Toute aussi inquiétante, la vitesse d'évolution de ces techniques est très grande, s'adaptant chaque jour dans un jeu du chat et de la souris permanent entre défenseurs et assaillants.

Et le nombre d'attaques explose : SonicWall rapportait une augmentation de 20 % des attaques ransomware en 2020 par rapport à l'année précédente (sonicwall.com/2020-cyber-threat-report). D'où une course contre la montre des États souverains pour s'armer face à cette menace.

Pour relever ces défis, les états-majors et les gouvernements développent ainsi leurs capacités cyber, comme l'a rappelé Florence Parly à Rennes le 7 septembre (Discours de Florence Parly, Commandement de la cyberdéfense à Rennes, le 7 septembre 2020).

LE CYBERESPACE : CINQUIÈME DOMAINE DE LA GUERRE

Dans son livre The Perfect Weapon, David Sanger note que pas moins de 30 États ont développé des cyber-capacités offensives. Le rapport NCPI 2020 classe les États-Unis, la Chine, le RoyaumeUni et la Russie en tête pour les capacités militaires, la France étant en sixième position. La première question pour les États est celle des responsabilités en cas d'attaque.

Aux États-Unis, le département de la Défense est chargé de la sécurité de ses propres systèmes et des attaques contre des cibles étrangères, via la National Security Agency, tandis que le puissant DHS (Department of Homeland Security, sorte de ministère de l'Intérieur) est responsable de la sécurité de tous les autres réseaux gouvernementaux. Israéliens et Britanniques ont une organisation proche.

En France, une certaine confusion demeure autour des prérogatives de cyberdéfense, qui concernent trois ministères : Le Premier ministre a sous sa tutelle l'Agence nationale de la sécurité des systèmes informatiques (ANSSI), créée en 2009, qui a une mission d'information, de supervision et est en charge la réponse en cas d'attaque contre les systèmes de l'État. Le ministère de la Défense protège ses propres réseaux et entreprend des opérations offensives. Enfin, le ministère de l'Intérieur se concentre sur la lutte contre la cybercriminalité, via la police et la gendarmerie.

Vient s'ajouter un grand nombre d'instances de coordination : le Comité directeur cyber, le Comité de pilotage cyber, le Centre de coordination des crises cyber, lui-même scindé en 4 branches distinctes... Pourtant, face à une menace aussi vaste, toute entité étatique opérant seule prend le risque, comme le veut Sun Tzu, qu'"à vouloir défendre partout on ne gagne nulle part".

De plus, une bonne défense ne se suffit pas toujours : la France a ainsi détaillé en 2018 la notion de « lutte informatique offensive ». Mais celle-ci ne saurait suffire à définir une doctrine.

VERS UNE CYBER DISSUASION FRANÇAISE ?

Les réflexions sur l'arme nucléaire au milieu du XXe siècle ont abouti à une idée centrale : la dissuasion. Celle-ci vise à décourager l'adversaire de frapper en lui faisant savoir que son attaque sera suivie d'une contre-attaque au moins aussi dévastatrice. Une « cyber-dissuasion » à la française, explicite et vigoureuse, sans être agressive, pourrait contraindre les assaillants potentiels à y réfléchir à deux fois.

Cette cyber-dissuasion gagnerait à s'appuyer sur des synergies européennes. À ce titre, le Cyber Defense Pledge signé en 2016 par les membres de l'OTAN ouvre des perspectives prometteuses, mais gagnerait à être complété par l'émergence de groupes européens de lutte offensive informatique.

La dissuasion n'arrêtera toutefois pas tous les attaquants. Comme le rappelle le Général Sanders de l'armée britannique, dans une interview le 25 septembre 2020, les forces armées britanniques sont attaquées... plus de 60 fois par jour ("Top general lifts lid on Britain's cyber attack capability", Financial Times) ! Si c'est bien une guerre totale à laquelle nous faisons face, il faut également assurer la mobilisation à l'arrière.

MOBILISER L'ARRIÈRE

Un système de défense n'est aussi fort que le plus faible de ses maillons. Les pirates le savent bien. C'est pourquoi ils profitent du défaut de culture cyber des citoyens ordinaires pour menacer la souveraineté nationale.

Ces derniers mois, des centres de recherche contre le Covid au Royaume-Uni (AFP, Le Parisien, « Vaccin contre le coronavirus : des hackers russes accusés de ciblés les recherches britanniques », 16 juillet 2020)et en Espagne ont ainsi fait l'objet d'attaques informatiques, qui auraient respectivement été menées par des hackers russes et chinois (El Pais, « Hackers chinos robaron informacion de la vacuna espanola para la Covid », 18 septembre 2020). Il apparaît bien que les frontières entre cyberdéfense de l'État et de la société civile sont souvent floues, et qu'il importe de protéger celle-ci pour défendre celui-là.

Dans ce cadre-là, la meilleure des préventions est l'information des citoyens. De la même manière qu'il est nécessaire de porter un manteau par grand froid pour ne pas tomber malade, il est désormais indispensable d'adopter de bons réflexes sur le Net afin de protéger individus et organisations. L'ANSSI a déjà initié plusieurs actions qui vont dans ce sens à travers ses publications et ses recommandations, offrant un solide support pour se renseigner. La RGPD oblige aujourd'hui les entreprises à notifier à leurs clients le vol de leurs données, leur permettant de prendre conscience de la menace et de réagir en conséquence.

C'est un très bon début, mais il reste encore un long chemin avant que la société civile n'appréhende le Net comme un espace de vie à part entière, avec ses risques propres. Ce n'est qu'en garantissant cette transparence, et en amplifiant le travail de pédagogie sur ces sujets, que les mentalités pourront changer et les bons réflexes se perpétuer.

Dans cette perspective, trois objectifs cardinaux pourraient être poursuivis :

Mettre en place une politique de cyber-dissuasion. D'abord faire connaître l'étendue des cyber-capacités françaises avec des attaques contre des cibles indiscutables (« Étatsvoyous », groupes criminels ou terroristes). Puis, rendre publique la doctrine de dissuasion, en précisant le périmètre soumis à la cyber-dissuasion française, ainsi qu'une gradation des réponses du pays selon les cibles et la gravité de l'attaque. Ceci pourrait inclure l'ensemble des entités de l'État français, ainsi que certaines grandes entreprises industrielles et énergétiques stratégiques.

Aider les entreprises à s'adapter au nouveau paradigme. Les grands groupes comme les TPE/PME doivent tous prendre à bras le corps les problématiques cyber, et les pouvoirs publics doivent les y aider. Au-delà des campagnes de prévention, le "Diag Cyber", le dispositif d'aide à la cyber sécurisation des PME et ETI de l'industrie de défense, est une initiative à élargir. Des crédits d'impôts ciblés pourraient faciliter la mise à niveau.

Faire émerger un écosystème de pointe autour du cyber campus. On a pu regretter le manque de coopération entre monde de la recherche, entreprises et acteurs publics. Or seule la mise en commun des compétences au sein d'un écosystème, s'inspirant du modèle du Technion israélien, permettra de résoudre les défis de demain. Dans cette perspective, l'inauguration du campus cyber constitue une opportunité unique (et à ne pas manquer) pour la France de prendre le leadership et d'affirmer son rayonnement.

La double priorité est donc de former et d'informer : sensibiliser les élèves dès le collège aux métiers de la cybersécurité ; répéter encore et encore les mesures de conclusion qui protection de base. Peut-être qu'à la longue ces petits mantras finiront par pénétrer nos habitudes, comme la pensée de regarder avant de traverser. Mais d'ici là, nous ne serons jamais trop nombreux à porter de la voix.