Auteurs : CEPS

Le cyberespace a été créé et favorisé par l’émergence des technologies numériques. C’est un espace de liberté par excellence. Cependant il n’y a pas de territoire où la liberté est absolue, car lorsque c’est le cas, cette liberté se transforme rapidement en loi du plus fort.

Sur Internet, comme n’importe où ailleurs, la nécessité d’un « ordre public » s’est imposée : un équilibre entre la liberté et les contraintes, devant notamment permettre de faire face aux menaces nouvelles ; les agresseurs ayant évidemment compris qu’ils pouvaient sur ou via le cyberespace porter atteinte aux intérêts de la nation, des entreprises, des collectivités et des personnes privées. Internet est donc aujourd’hui un enjeu majeur pour la sécurité intérieure et pour la défense nationale. Il n’est pas sûr que les élites politiques en aient d’ailleurs pris la parfaite mesure.


IDÉES CLÉS

L’étendue de la menace

Cybercriminalité, cyberterrorisme ou cyberguerre… toutes confondues les cybermenaces s’appuient sur deux éléments :
1. Les tuyaux
Il s’agit de se mettre en capacité d’espionner, de prendre le contrôle, d’altérer, d’interrompre ou de suspendre les systèmes d’information d’une cible ;
2. Les contenus   
Il s’agit dans ce cas de manipuler ou d’affecter les informations stockées sur des serveurs.

Comme il y été énoncé en introduction, ces menaces visent tous les acteurs. Par ailleurs, elles ne demandent pas forcément beaucoup de moyens à l’attaquant et offrent des capacités de nuisance à des acteurs jusque-là inconnus.

C’est l’exemple du jeune homme de 24 ans, habitant chez ses parents dans le Massif Central, capable d’entrer dans les systèmes de Barack Obama ou de Britney Spears. C’est l’exemple encore de ce collégien d’Amiens, incapable de modifier son bulletin scolaire dans l’informatique de son établissement scolaire, qui va finalement mettre en panne tout le système de l’établissement. 

Le collégien culotté, l’ancien salarié plein de rancœur ou le concurrent envieux deviennent ainsi des cybercriminels.

Une juxtaposition de systèmes nationaux ou régionaux soumis à aucun droit international

Hormis les ententes régionales, un seul texte de dimension international existe : il s’agit de la Convention sur la cybercriminalité adoptée par le Conseil de l’Europe le 23 novembre 2001. Dix ans après son adoption, seule la moitié des États membres a intégré les dispositions de la convention dans son droit national.

Une juxtaposition passablement baroque de structures de gouvernance

Que ce soit l’OTAN, l’Union Européenne ou les États, chacun se dote progressivement d’une structure de lutte contre la cybercriminalité. Au G8, celle-ci se résume en un point de contact. La parade est empirique et les plus grandes organisations ne sont pas forcément les plus réactives.

La gouvernance de l’architecture Internet – qui pourrait contribuer à sa sécurisation, tient dans un seul organisme, l’ICANN – Internet Corporation for Assigned Names and Numbers, association de droit californien, créée en 1998, placée sous l’autorité du seul gouvernement des États-Unis en vertu d’une convention triennale (renouvelée par Barack Obama avec seulement quelques aménagement le 30 septembre 2009).

Il est à noter que les États-Unis ont classé Secret Défense les négociations commerciales sur l’Anti-Counterfeiting Trade Agreement – ACTA, traité international multilatéral concernant les droits de propriété intellectuelle, la lutte contre les produits contrefaits et les échanges illicites de fichiers. Dans le même temps, personne n’avait été désigné en France pour suivre ces négociations.

L’État, acteur parmi d’autres

Dans ce cyberunivers, l’État n’est plus qu’un acteur parmi d’autres, sans beaucoup plus de pouvoirs et avec moins de capacités d’embauche et d’attractivité que les grandes entreprises ou entreprises spécialisées.

La situation plaide pour un accroissement des synergies public-privé.
En France, un nouveau cursus Sécurité numérique sera inauguré dans le cadre de l’Institut National des Hautes Etudes de la Sécurité et de la Justice (INHESJ), dès octobre 2010, qui facilitera ces échanges, sans barrière.

Que fait l'Etat?

Comment l’État organise-t-il sa défense contre les cyberattaques ?

Notre protection contre la cybercriminalité pose quatre défis :

1. Un défi technique
Ce défi technique est lié à la forte dépendance de notre société aux systèmes de communication. Quel que soit le domaine ou le sujet traité – public ou privé, civil ou militaire – se pose la question de la sécurité des systèmes d’information. Le cyberespace est par ailleurs un domaine « à front renversé », dans lequel les armes prolifèrent, laissant l’État démuni. C’est un domaine enfin dans lequel l’échelle de temps se calcule en heures. C’est en quelques heures seulement qu’apparaissent de nouvelles attaques, de nouvelles vulnérabilités et de nouveaux systèmes de défense.

2. Un défi juridique et stratégique
Alors que l’ensemble de notre corpus juridique est fondé sur les États et les frontières, le cyberespace ne connait ni les frontières, ni les distances. S’ajoutent à cette première difficulté l’absence de régulation – une multitude d’acteurs, mais aucun interlocuteur clairement identifié –, et un problème d’attribution : À qui attribuer une attaque en particulier ?

3. Un défi culturel
Porté par les usages sans cesse renouvelés et améliorés, le cyberespace n’a que faire de la sécurité. Pour les grands développeurs – Apple, Microsoft ou Google – l’enjeu est d’aller vite pour ne pas se faire distancer sur l’une ou l’autre des nouvelles applications.

4. Un défi géopolitique
Les États, même l’État américain, perdent la main : ils n’ont plus aucune maîtrise même du trafic Internet. En revanche, ils sont obligés de coopérer et d’échanger sur des sujets jusqu’alors considérés comme des sujets de souveraineté.

Le Livre blanc sur la défense et la sécurité nationale consacre les attaques contre les systèmes d’information parmi les menaces majeures. Le rapport précise que les tentatives d’attaques dissimulées sont « hautement probables » et que des actions massives, menées ouvertement, sont « également plausibles ». Le constat impose :

1. le passage d’une stratégie de défense passive à une stratégie de défense active en profondeur, combinant protection intrinsèque des systèmes, surveillance permanente et réaction rapide;
2. une expertise étatique en sécurité des systèmes d’information fortement développée, entretenue et diffusée auprès des acteurs économiques, notamment des opérateurs de réseaux et les gestionnaires d’infrastructures ;
3. une capacité de gestion de crise et d’après-crise, assurant la continuité des activités et permettant la poursuite et la répression des agresseurs ;
4. enfin le développement d’une capacité de lutte dans cet espace avec des règles d’engagement appropriées.
 
L’agence nationale pour la sécurité des systèmes d’information – ANSSI, a pour mission de mettre en œuvre cette action et, dans la mesure du possible, d’assurer la cohérence de l’État dans les domaines concernés . Ses moyens ont été doublés avec un budget de 90 millions d’euros et 250 collaborateurs à la cible en 2012 – des ingénieurs pour l’essentiel, jeunes pour l’essentiel, pas hackers, mais qui pourraient l’être.
       

ÉLÉMENTS POUR UNE RÉFLEXION PROSPECTIVE

Le cyberespace pointe le doigt sur l’extrême fragilité de nos sociétés – Les attaques, anonymes, peuvent survenir au cœur de nos systèmes, tout azimut sans aucun signe avant-coureur, et ceci dans un laps de temps extrêmement court. Le ver Conficker a été qualifié de pire malware de tous les temps ; apparu fin novembre 2008, il aurait infecté quelque 9 000 000 d’ordinateurs en janvier 2009 . Le département américain de la Défense, les ministères britannique et français de la Défense ont été attaqués par le ver ; au Royaume-Uni, il a infecté certains systèmes, dont le NavyStar/N* à bord de navires et sous-marins de la Royal Navy, et ceux de 800 ordinateurs d'hôpitaux de la région de Sheffield. En France, il a infecté Intramar, le réseau intranet de la Marine nationale, certains ordinateurs de la base aérienne de Villacoublay et de la direction interarmées des réseaux d'infrastructure et des systèmes d'information (DIRISI). Ceux qui disent y avoir échappé sont, soit des menteurs, soit des ignorants. Cette dénégation illustre l’absence de maturité qui prévaut encore dans le domaine, une sorte de syndrome de Tchernobyl.

Si les grandes entreprises commencent à prendre la mesure des enjeux de sécurité, les PME-PMI restent complètement exposées, à l’exception de celles œuvrant dans les secteurs stratégiques. Toutes tailles confondues, les entreprises sont toutes extrêmement vulnérables dans les situations de mobilité – ordinateurs portables, mobiles et périphériques de stockage sont rarement protégés de manière adéquate.

L’ANSSI doit en conséquence effectuer un profond travail de sensibilisation. Elle doit aussi nouer des partenariats avec un très grand nombre d’acteurs : ses homologues internationaux, les éditeurs de logiciels, les fabricants de matériels, les opérateurs de réseaux, les fournisseurs de contenus, mais aussi la totalité des grands utilisateurs des systèmes d’information. Tous ces acteurs sont, heureusement, très motivés.

Quelle est la réponse industrielle de la France aux défis technologiques posés ? – Qu’il s’agisse des serveurs ou des clés 3G, les technologies nous échappent aujourd’hui complètement et par conséquent la garantie d’une sécurisation parfaite.

Quel est l’intérêt d’une capacité offensive en matière de cyberguerre ? – Le Livre blanc sur la défense et la sécurité nationale autorise en tout cas une action offensive dans le domaine. C’est la capacité de lutte évoquée plus haut : «  […] dans la mesure où le cyberespace est devenu un nouveau champ d’action dans lequel se déroulent déjà des opérations militaires, la France devra développer une capacité de lutte dans cet espace. Des règles d’engagement appropriées, tenant compte des considérations juridiques liées à ce nouveau milieu, devront être élaborées.
 
Le lien entre capacité défensive et capacité offensive est en réalité assez faible ; il est notamment faux de croire qu’en la matière, il faut être capable d’attaquer pour bien se défendre. La force de dissuasion d’une capacité se heurte de toute façon au problème majeur d’attribution. Il est cependant logique que les États se dotent d’une capacité offensive, ceci dans un objectif purement militaire. Les technologies sont les mêmes, mais les finalités et les modes d’emploi diffèrent considérablement.

Peut-on craindre un Grand Soir systémique sur l’Internet ? – Pour l’ANSSI, la question n’est pas de savoir si ce grand soir va arriver mais de savoir ce qu’on doit faire s’il survient?  Les priorités de défense de l’agence sont : le cœur de l’État, puis les infrastructures critiques, puis les activités économiques et enfin la société de l’information.


CONCLUSION

Sans cesse à la recherche de nouveaux espaces, nous avons fini par réinventer le Moyen Âge avec des bandits de grands chemins, un État démuni, des armures anti-virus plus ou moins protectrices. Pour aborder ce nouvel espace où l’action – souvent l’attaque, est imprévisible est instantanée, nous manquons cruellement de références : le modèle de la défense n’est plus pertinent ; celui de la police non plus. Nous sommes au début de l’histoire, seulement capables de constater une dissymétrie profonde entre les actes malveillants ou criminels et nos réponses. Celles-ci devront se fonder sur la sensibilisation, la détection mais aussi l’action ; il s’agit enfin d’abandonner les approches technologues pour acquérir au plus vite à la fois plus d’agilité et de maturité.

Prix TTC, dont 4 € de frais de port : 10.00 €

Commander cette publication

Pièce jointe :publication_186_Synthese_Club_Securite_interieure_19_05_2010.pdf