NA­TO Cy­ber De­fence Pledge : l’heure du pre­mier bi­lan

DSI - - SOMMAIRE - Par Ro­main Miel­ca­rek, doc­teur en sciences de l’in­for­ma­tion et de la com­mu­ni­ca­tion, spé­cia­liste des ques­tions de dé­fense et de re­la­tions in­ter­na­tio­nales. Son blog : www.guer­re­sin­fluences.com

En 2016, les Al­liés si­gnaient le Cy­ber De­fence Pledge : un en­ga­ge­ment à tous se do­ter de moyens cy­ber as­su­rant la sé­cu­ri­té col­lec­tive. Face à des me­naces tou­jours plus im­por­tantes, il n’est pas ques­tion que cha­cun se re­trouve vul­né­rable parce qu’un ou plu­sieurs membres de L’OTAN n’au­raient pas consen­ti les ef­forts né­ces­saires. Les in­ves­tis­se­ments et les choix or­ga­ni­sa­tion­nels res­tent pour­tant in­égaux et dif­fi­ci­le­ment com­pa­rables. La no­tion de coo­pé­ra­tion, dans ce do­maine, en est d’au­tant plus dif­fi­cile à ap­pré­hen­der. Deux ans plus tard, plu­sieurs res­pon­sables opé­ra­tion­nels et po­li­tiques ont pour­tant dé­ci­dé de dres­ser un pre­mier bi­lan alors que la France cherche à se po­si­tion­ner en na­tion exem­plaire.

« Re­con­nais­sant les nou­velles réa­li­tés à pro­pos de me­naces sé­cu­ri­taires en­vers L’OTAN, nous, di­ri­geants des États et gou­ver­ne­ments de l’al­liance, nous en­ga­geons à faire en sorte que l’al­liance suive l’évo­lu­tion ra­pide des cy­ber­me­naces et que nos na­tions se dotent des moyens de se dé­fendre dans le cy­be­res­pace comme elles le font dans les airs, sur terre et sur mer. » C’est ain­si que com­men­çait le texte si­gné par les membres de L’OTAN le 8 juillet 2016, pre­nant acte d’une si­tua­tion nou­velle qui de­man­dait des ef­forts adap­tés. Le

« NA­TO Cy­ber De­fence Pledge » de­vait donc «en­ga­ger» les si­gna­taires dans toute une sé­rie de pro­messes.

Cet en­ga­ge­ment est d’abord na­tio­nal, comme le rap­pe­lait l’ar­ticle 2 de ce texte. Cha­cun doit se do­ter de struc­tures propres et as­su­rer une ré­ponse au­to­nome à la me­nace. Avoir une or­ga­ni­sa­tion et des ré­seaux qui soient « so­lides » et « ré­si­lients » est in­dis­pen­sable pour que l’al­liance puisse rem­plir son rôle, le ni­veau de connexion entre Al­liés fai­sant que « nous sommes aus­si forts que notre maillon le plus faible ». Le do­cu­ment sa­lue les par­te­na­riats avec la so­cié­té ci­vile, no­tam­ment l’in­dus­trie et l’uni­ver­si­té (ar­ticle 3), en­cou­rage des co­opé­ra­tions in­ter­na­tio­nales à tra­vers des exer­cices com­muns ou des moyens de for­ma­tion (ar­ticle 4), as­sure que chaque pays met­tra en oeuvre tous les moyens né­ces­saires à sa propre cy­ber­dé­fense (ar­ticle 5).

L’ar­ticle 6, en­fin, pro­po­sait de suivre les ef­forts liés à ce pledge, cet en­ga­ge­ment. Ce qui a pu être fait le 15 mai der­nier à Pa­ris avec une pre­mière confé­rence an­nuelle in­ter­na­tio­nale, deux ans après la si­gna­ture du texte. Inau­gu­rée par la mi­nistre des Ar­mées fran­çaise, Flo­rence Par­ly, et le se­cré­taire gé­né­ral de L’OTAN, Jens Stol­ten­berg, celle-ci a per­mis de po­ser quelques ja­lons d’une ré­flexion plus large. Sur scène, des élus, des opé­ra­tion­nels et des chefs d’agences de plu­sieurs pays ont pu échan­ger leurs points de vue. Mais c’est sur­tout l’après­mi­di, à huis clos, que les ren­contres les plus in­té­res­santes ont eu lieu : là, des ex­perts de dif­fé­rents mé­tiers ont pu confron­ter leurs ex­pé­riences et par­ta­ger des so­lu­tions dans des ate­liers plus confi­den­tiels.

Sur le diag­nos­tic, les ac­teurs semblent re­la­ti­ve­ment una­nimes. Tous confirment que l’ur­gence est à la dé­fense, en dé­ve­lop­pant de vraies lo­giques de ré­si­lience face aux at­taques. Tous ré­pètent, en­core et tou­jours, à quel point un nombre beau­coup trop im­por­tant d’or­ga­ni­sa­tions, pu­bliques comme pri­vées, reste in­suf­fi­sam­ment sen­si­bi­li­sé et ou­tillé pour se pro­té­ger. La cri­mi­na­li­té et l’es­pion­nage conti­nuent d’être des pré­oc­cu­pa­tions ma­jeures, fai­sant des en­tre­prises, no­tam­ment les PME les plus stra­té­giques, des cibles de choix. Les prin­ci­paux ef­fets ne sont pas nou­veaux et ne sont même pas propres au cy­ber : sa­bo­tage, es­pion­nage et dés­in­for­ma­tion. Les pros­pec­tives font tout de même tou­jours état de risques ac­crus liés à la vi­tesse de dé­ploie­ment des of­fen­sives et à une pro­li­fé­ra­tion mas­sive des com­pé­tences et des lo­gi­ciels hos­tiles. C’est face à ce contexte que L’OTAN et ses membres doivent s’ar­mer.

Co­opé­rer dans le cy­ber : une lo­gique com­plexe

Le prin­ci­pal dé­fi sou­le­vé par cette pre­mière confé­rence an­nuelle du Cy­ber De­fence Pledge est ce­lui de la coo­pé­ra­tion : coo­pé­ra­tion entre al­liés, coo­pé­ra­tion entre OTAN et Union eu­ro­péenne, co­opé­ra­tions bi- ou mul­ti­la­té­rales, coo­pé­ra­tion entre agences d’un même État… Au­tant de chan­tiers qui res­tent très lar­ge­ment ou­verts. Au-de­là des dif­fi­cul­tés à trou­ver com­ment bien ar­ti­cu­ler ces dia­logues entre pays, entre ac­teurs et entre spé­cia­listes, se pose la ques­tion de la part d’ef­forts à réa­li­ser en au­to­no­mie, au ni­veau na­tio­nal, ain­si que celle qui re­lève jus­te­ment du col­lec­tif.

Guillaume Pou­pard, le di­rec­teur de l’agence Na­tio­nale de la Sé­cu­ri­té des Sys­tèmes d’in­for­ma­tion (ANSSI), sug­gère de faire feu de tout bois : « Nous nous per­dons vite dans les que­relles d’ex­perts. Nous sommes tous res­pon­sables à tous les ni­veaux. » La coo­pé­ra­tion dans le cy­ber se veut donc lo­gique de ré­seaux. Pour ré­pondre à un be­soin, un ser­vice tou­ché par des pro­blé­ma­tiques cy­ber doit pou­voir iden­ti­fier chez les autres ac­teurs le bon in­ter­lo­cu­teur, ses forces et ses fai­blesses, que ce­lui-ci tra­vaille dans un autre or­ga­nisme pu­blic, dans une autre en­tre­prise ou dans un pays al­lié. Pour ce­la, rap­pellent plu­sieurs ex­perts et res­pon­sables, en­core faut-il dé­ve­lop­per un lan­gage et des com­pé­tences com­munes afin que tous puissent se com­prendre.

L’eu­rope et L’OTAN, com­bien de di­vi­sions cy­ber ? C’est la grande ques­tion. D’un pays à l’autre, les cri­tères de me­sure et de cal­cul ne sont pas les mêmes. Dif­fi­cile donc d’éva­luer les rap­ports de force. Cer­tains ont concen­tré les ef­forts sur un mi­nis­tère, que ce soit la Dé­fense ou l’in­té­rieur. D’autres, comme la France, ont ré­par­ti les res­sources entre plu­sieurs en­ti­tés, dis­tin­guant les mis­sions qui re­lèvent de la lutte contre la cri­mi­na­li­té de celles qui re­lèvent du do­maine mi­li­taire. Des dis­tinc­tions qui ne fa­ci­litent d’ailleurs

pas tou­jours la coo­pé­ra­tion. Du cô­té fran­çais, on confie mieux tra­vailler avec ceux qui font des ef­forts com­pa­rables avec des lo­giques si­mi­laires, comme l’al­le­magne, l’es­pagne ou l’es­to­nie.

Mais L’OTAN est-elle l’or­ga­ni­sa­tion la mieux pla­cée pour co­or­don­ner ces ef­forts ? Guillaume Pou­pard rap­pelle qu’il y a vingt ans, l’al­liance or­ga­ni­sait des réunions consa­crées à la car­to­gra­phie. Elle pré­ten­dait alors ne pas im­po­ser d’ou­tils aux Al­liés. Il s’agis­sait d’un es­pace d’échanges où chaque pays dé­cri­vait les so­lu­tions qu’il avait dé­ve­lop­pées dans ce do­maine bien pré­cis. Ceux qui étaient en pointe pou­vaient ain­si faire ga­gner du temps aux autres et cha­cun pro­gres­sait, évi­tant des failles par­ti­cu­lières qui pour­raient pro­fi­ter à l’en­ne­mi et nuire au col­lec­tif. « Per­sonne ne peut as­su­rer votre cy­ber­dé­fense mieux que vous, ré­sume Uku Sä­re­kan­no, di­rec­teur de la cy­ber­sé­cu­ri­té de l’au­to­ri­té es­to­nienne des sys­tèmes d’in­for­ma­tion. Mais on peut ap­prendre les uns des autres. »

C’est bien là que L’OTAN en­tend se po­si­tion­ner : en «hub d’ex­per­tise », pour re­prendre l’ex­pres­sion du se­cré­taire gé­né­ral, Jens Stol­ten­berg. Pour le Nor­vé­gien, il n’y a pas de rai­sons d’en­vi­sa­ger dif­fé­rem­ment une at­taque nu­mé­rique et une at­taque de chars ou d’avions. Il évoque d’ailleurs des forces de ré­ac­tion ra­pide (QRF) af­fec­tées au cy­ber, sans s’épan­cher sur le su­jet. Jus­qu’où le cy­ber est-il un moyen mi­li­taire comme un autre et jus­qu’à quel point doit-il être trai­té sur le même plan ? C’est la ques­tion de l’im­pli­ca­tion du cha­pitre 5 du Trai­té. En 2015, il avait dé­jà lais­sé en­tendre que ce­lui-ci pou­vait être in­vo­qué pour ré­cla­mer une ri­poste contre une agres­sion étran­gère tou­chant un membre de L’OTAN. Au­jourd’hui, il se montre un poil plus nuan­cé en op­tant pour une non-ré­ponse. Ques­tion­né sur cette hy­po­thèse, il élude : « Nous ver­rons bien, en fonc­tion de l’am­pleur de l’at­taque. »

Des ef­forts qui se mul­ti­plient

Pour les spé­cia­listes, y com­pris au plus haut ni­veau, L’OTAN peut donc être un mo­teur d’ef­fer­ves­cence. L’es­to­nie est en­core et tou­jours ci­tée en exemple dès lors que l’on parle de cy­ber. Alors que plu­sieurs in­ter­ve­nants y font ré­fé­rence, le gé­né­ral de di­vi­sion Oli­vier Bon­net de Paille­rets, com­man­dant de la cy­ber­dé­fense au mi­nis­tère des Ar­mées, nous confie qu’il pour­rait être pos­sible de mieux pro­fi­ter des ex­per­tises qui s’y croisent : « Je prends pour moi de ne pas as­sez l’ex­ploi­ter. J’ai été vrai­ment bluf­fé par le ni­veau de com­plexi­té tech­nique du scé­na­rio de l’exer­cice “Lo­cked Shields 2018” au­quel nous avons par­ti­ci­pé. C’est l’éma­na­tion la plus concrète de ce que fait le centre d’ex­cel­lence de Tal­linn. Par­ti­ci­per à ce type d’exer­cices crée les condi­tions d’un par­tage de cul­ture opé­ra­tion­nelle. Il y a éga­le­ment la for­ma­tion et je crois que ce centre est très en avance dans ce do­maine. »

La pra­tique d’exer­cices com­muns peut ain­si contri­buer à nour­rir les ré­seaux et les échanges d’ex­pé­rience entre opé­ra­tion­nels. « Lo­cked Shields » semble s’être im­po­sé dans le pay­sage de l’al­liance comme un ren­dez-vous à ne pas man­quer. Réa­li­sé à Tal­linn, au centre d’ex­per­tise de L’OTAN jus­te­ment, il consiste en une si­mu­la­tion de cy­be­rat­taques face aux­quelles les

pays par­ti­ci­pants jouent une dé­fense col­lec­tive. Une cin­quan­taine de spé­cia­listes sont ain­si éva­lués sur leur ca­pa­ci­té à dé­jouer les of­fen­sives. Pour l’édi­tion 2018, jus­qu’à 4 000 sys­tèmes fic­tifs ont ain­si été pro­té­gés contre 2 500 at­taques, avec une fo­ca­li­sa­tion sur les in­fra­struc­tures de té­lé­com­mu­ni­ca­tions et d’éner­gie. Les Al­liés sont éva­lués sur leurs per­for­mances et leur ca­pa­ci­té à faire face à des pro­blèmes di­vers : sé­cu­ri­sa­tion de sys­tèmes, rap­ports d’in­ci­dents, ges­tion des en­jeux mé­dia­tiques et ju­di­ciaires. L’équipe de L’OTAN s’est clas­sée pre­mière, de­vant la France et la Ré­pu­blique tchèque.

En réa­li­té, les prises de conscience semblent s’être mul­ti­pliées en Eu­rope. Le Pledge de L’OTAN y a-t-il contri­bué ? Dif­fi­cile à dire. Aux cô­tés des Es­to­niens, no­tam­ment dans le cadre de « Lo­cked Shields », ce sont les Bri­tan­niques, les Amé­ri­cains, mais aus­si les Sué­dois et les Fin­lan­dais qui se sont le plus in­ves­tis. Ces der­niers mul­ti­plient les échanges avec les membres de l’al­liance. Les Sud-co­réens aus­si se sont rap­pro­chés. Chez les Eu­ro­péens, des di­plo­mates de plu­sieurs pays ont ma­ni­fes­té leur in­té­rêt. Le Por­tu­gais, par exemple, at­tire l’at­ten­tion sur l’aca­dé­mie en cours de dé­ve­lop­pe­ment dans son pays pour tra­vailler sur les nou­velles tech­no­lo­gies de l’in­for­ma­tion.

Les ef­forts portent éga­le­ment sur les ré­flexions doc­tri­nales et po­li­tiques liées aux en­jeux cy­ber. L’un des dé­bats les plus ré­cur­rents est ce­lui de l’at­tri­bu­tion des at­taques in­for­ma­tiques : doit-on ac­cu­ser un État ? Doit-on don­ner une na­tio­na­li­té à l’agres­sion? La dif­fi­cul­té de tra­çage n’est plus la prin­ci­pale rai­son des si­lences ré­cur­rents sur le su­jet. Cha­cun cherche en réa­li­té à ca­mou­fler ses ca­pa­ci­tés réelles d’iden­ti­fi­ca­tion. Flo­rian Es­cu­dié, sous-di­rec­teur des Af­faires stra­té­giques au mi­nis­tère des Af­faires étran­gères, ex­plique ain­si que la France, comme d’autres, dis­tingue deux ac­tions qui font of­fice de mes­sages : il est pos­sible d’op­ter pour une lo­gique de dé­voi­le­ment, qui consiste à dire que le pays a fait l’ob­jet d’une at­taque; et/ou d’une lo­gique d’at­tri­bu­tion, qui vise à dire qui a at­ta­qué. Le pro­blème de cette se­conde dé­marche est qu’elle risque d’en­traî­ner une es­ca­lade en in­ci­tant l’ad­ver­saire à ré­tor­quer ou à nier, la dif­fi­cul­té de four­nir des preuves res­tant im­por­tante.

La France se po­si­tionne en me­neuse

La France a vou­lu se po­si­tion­ner en pi­lier sur ce su­jet, en ac­cueillant cette pre­mière ren­contre an­nuelle du 15 mai. En hôte exem­plaire, la mi­nistre des Ar­mées, Flo­rence Par­ly, a ou­vert les dé­bats en re­ve­nant sur ce qui a pous­sé à cet en­ga­ge­ment des Al­liés en 2016 : « Nous ne sommes en­core que des co­losses aux pieds d’ar­gile en ma­tière de cy­ber. Nos en­ne­mis évo­luent. Il n’est plus une jour­née sans ces conflits, face à d’in­nom­brables en­ne­mis sans vi­sages. Le maillon le plus faible nous ex­pose tous. » Face à cette me­nace, la France s’en­gage. La mi­nistre se montre d’ailleurs par­ti­cu­liè­re­ment dé­ter­mi­née et ferme, es­ti­mant qu’il faut «être craints» : « Nous de­vons en­voyer un si­gnal clair à tous ceux qui en­vi­sa­ge­raient de nous at­ta­quer. » His­toire d’être cré­dible, la France a dé­ployé au­tour des deux tables rondes trois res­pon­sables de haut ni­veau char­gés d’ex­po­ser les ef­forts tri­co­lores : le gé­né­ral de di­vi­sion

Oli­vier Bon­net de Paille­rets, Flo­rian Es­cu­dié ain­si que Guillaume Pou­pard. En clô­ture, la toute nou­velle Se­cré­taire Gé­né­rale de la Dé­fense et de la Sé­cu­ri­té na­tio­nale (SGDSN), Claire Lan­dais, a même gra­ti­fié l’au­di­toire de l’une de ses toutes pre­mières ap­pa­ri­tions pu­bliques.

Après avoir long­temps été soup­çon­née d’être à la traîne, la France veut en ef­fet mon­trer qu’elle se donne les moyens d’être en pointe dans les do­maines liés au cy­ber. Le mi­nis­tère des Ar­mées s’est ain­si do­té d’une force de 3 000 « com­bat­tants nu­mé­riques », dont les ef­fec­tifs doivent être ren­for­cés se­lon la Loi de Pro­gram­ma­tion Mi­li­taire (LPM) de 1123 per­son­nels sup­plé­men­taires d’ici à 2025. Sur la même pé­riode, le bud­get al­loué passe de 500 mil­lions d’eu­ros à 1,6 mil­liard. « Je me sens ex­trê­me­ment res­pon­sable du bon em­ploi de ces res­sources, nous as­sure le gé­né­ral Bon­net de Paille­rets. La pos­ture per­ma­nente dans le cy­ber, c’est une ca­pa­ci­té à pou­voir dé­tec­ter des at­taques 24 heures sur 24 et sept jours sur sept. C’est mettre en place une or­ga­ni­sa­tion cen­tra­li­sée au ni­veau du com­man­de­ment cy­ber, qui per­met de su­per­vi­ser l’en­semble des chaînes de lutte in­for­ma­tique dé­fen­sive des Ar­mées et du mi­nis­tère. C’est aus­si or­ga­ni­ser les condi­tions pour fé­dé­rer ces chaînes au plus bas ni­veau jus­qu’au sys­tème d’arme ( la fré­gate dans la Ma­rine, l’avion dans l’ar­mée de l’air…) et de faire en sorte qu’un in­ci­dent chez l’un soit connu chez l’autre, que toutes ces in­for­ma­tions re­montent sur cette fonc­tion cen­tra­li­sée. »

Pledge oblige, la mi­nistre des Ar­mées in­siste pour si­tuer l’ef­fort fran­çais dans un cadre de coo­pé­ra­tion au sein de l’union eu­ro­péenne et de L’OTAN. Pour Flo­rence Par­ly, les deux vont for­cé­ment de pair. Il faut une coo­pé­ra­tion entre les deux, ré­clame-t-elle en écho aux dé­cla­ra­tions du pré­sident de la Ré­pu­blique, Em­ma­nuel Ma­cron. Elle le ré­pète : « L’OTAN est et reste un pi­lier de notre dé­fense col­lec­tive. » Y com­pris en ce qui concerne le cy­ber. Pour elle, L’OTAN ap­porte des élé­ments qui peuvent être utiles à la France : une ré­flexion sur la ré­si­lience, des op­por­tu­ni­tés d’en­traî­ne­ment et de for­ma­tion, mais aus­si un cadre d’in­ter­opé­ra­bi­li­té dans les opé­ra­tions.

La mi­nistre des Ar­mées évoque ain­si l’idée de pou­voir four­nir des « ef­fets cy­ber » lors des opé­ra­tions de L’OTAN. La France sou­tient un mé­ca­nisme pour que les na­tions puissent ap­por­ter sur vo­lon­ta­riat ces fa­meux « ef­fets cy­ber » lors de dé­ploie­ments me­nés dans le cadre de l’al­liance. Nous ne par­vien­drons fi­na­le­ment pas à sa­voir ce qu’elle en­tend par là. Le gé­né­ral Bon­net de Paille­rets en dit un pe­tit peu plus, flir­tant avec l’ha­bi­tuelle dif­fi­cul­té d’évo­quer des as­pects plus coer­ci­tifs : « Le cy­ber est d’abord un en­jeu de ré­si­lience. L’OTAN doit ré­soudre le pro­blème de la dé­fense de ses sys­tèmes col­lec­tifs. Il y a des in­ves­tis­se­ments co­los­saux à faire pour ob­te­nir la ma­tu­ri­té dans ce do­maine. Les ef­fets cy­ber, c’est in­tro­duire l’idée que quand il y a une at­taque, L’OTAN peut se tour­ner vers un membre per­ma­nent et dire : “ai­dez-moi, je suis at­ta­qué”. Y com­pris avec des as­pects cy­ber of­fen­sifs de na­ture très dif­fé­rente qui vont ai­der à neu­tra­li­ser l’at­taque sur le pays concer­né, jus­qu’à al­ler vers l’at­ta­quant lui-même. » La no­tion de ri­poste, sou­vent ta­boue, est ici clai­re­ment évo­quée… Fai­sant de la France une force d’avant-garde ?

(© Dé­lé­ga­tion fran­çaise à L’OTAN)

Flo­rence Par­ly ou­vrant le NA­TO Cy­ber De­fence Pledge.

Conclu­sion de l’exer­cice « Cy­ber Coa­li­tion 2014 ». (© OTAN)

Vi­site du Centre d’ex­cel­lence en cy­ber­dé­fense de L’OTAN à Tal­linn par le Conseil de l’at­lan­tique nord. (© OTAN)

Le cy­ber ne se ré­sume pas qu’au co­dage : les com­mu­ni­ca­tions y sont éga­le­ment es­sen­tielles. (© DOD)

Le cy­ber se dif­fuse dans les ar­mées, avec des consé­quences no­tam­ment sur la struc­tu­ra­tion des exer­cices his­to­ri­que­ment clas­siques, comme « Red Flag ». (© US Air Force)

Newspapers in French

Newspapers from France

© PressReader. All rights reserved.