À la faveur de sa visite en France, Dragan Krapovic, ministre de la défense du Monténégro, a été auditionné par notre commission au Sénat, ce 3 avril.
Candidat le plus avancé pour l’adhésion à l’UE, membre de l’OTAN, j’ai souhaité interroger le ministre sur le retour d’expérience de son pays face aux attaques cyber répétées de la part de la Russie.
VERBATIM de l’échange :
Olivier Cadic – En novembre 2022, nous avons reçu une délégation parlementaire monténégrine pour échanger, notamment, sur la question de la cybersécurité à la suite de l’attaque que vous avez subie en août 2022. Je me réjouis de l’ouverture prochaine du centre régional pour la cybersécurité et je vous remercie d’avoir souligné le rôle positif de l’Anssi.
L’attaque de 2022 était un prolongement des attaques malicieuses subies par le Monténégro depuis son adhésion à l’Otan, comme le développement de sites internet répandant des fake news pour déstabiliser le pays. En 2018, le Monténégro a créé un centre d’expertise pour distinguer les fake news d’origine russe. Quels enseignements tirez-vous de votre expérience ? Comment contrer ces tentatives d’influence russe destinées à déstabiliser nos pays ?
Dragan Krapovic – Nous avons effectivement mis l’accent sur la cybersécurité. Vous parlez sans doute du Digital Forensic Center (DFC) qui oeuvre quotidiennement contre le type de menaces que vous évoquez. Un pilier de la lutte contre ces menaces est la force du paysage médiatique. La coopération avec la France reste cruciale, car notre pays a des ressources limitées. Nous devons former le public pour lutter contre l’influence russe dans l’espace numérique. Nous devons aussi prendre conscience de l’importance des médias et de la formation du public pour faire face aux fake news. +d’images
Avec mon collègue Mickaël Vallet, en qualité de rapporteurs du programme 129 “Coordination du travail gouvernemental” (gestion de crises, cyberdéfense, renseignement), nous avons présenté notre avis budgétaire devant notre commission des Affaires des étrangères et de la Défense, le 15 novembre dernier.
Notre rapport a été publié et il en ressort que l’exercice 2024 se caractérise par un renforcement des moyens de l’agence nationale de la sécurité des systèmes d’information (ANSSI) et du service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), constituant ainsi le volet civil de l’effort prévu par la loi de programmation militaire 2024-2030 (4 milliards d’euros de besoins programmés sur la période).
Pour répondre au « changement d’échelle » annoncé par l’ANSSI qui est de passer à une cybersécurité de masse, nous avons ont identifié 4 principaux défis à relever :
– assurer la cybersécurité des Jeux olympiques et paralympiques 2024. Pour l’image internationale de la France, il n’y aura pas de médaille d’argent ;
– coordonner l’ensemble des acteurs publics et privés de l’écosystème cyber autour d’une révision de la stratégie nationale de cybersécurité (la dernière datant de 2018) et du lancement de la plateforme numérique « 17 Cyber » en mars 2024 ;
– réussir la transformation de l’ANSSI en vue de la transposition de la directive NIS 2 (Network and Information Security3(*)). Celle-ci prévoit un accroissement du périmètre de compétence de l’agence de quelque 500 OIV à environ 15 000 entreprises dont le suivi constitue un changement d’échelle pour l’agence et nécessite une reconfiguration de son offre de services ;
– réorganiser le dispositif de coordination en s’inspirant de la grande cause nationale de la sécurité routière qui a permis de réduire drastiquement le nombre de morts sur nos routes en confiant à un coordinateur interministériel clairement identifié la responsabilité de coordonner tous les moyens disponibles.
Ce 15 novembre, en qualité de co-rapporteur pour avis avec mon collègue Mickaël Vallet, j’ai défendu le budget du programme 129 « Coordination du travail gouvernemental » devant notre commission des Affaires étrangères, de la Défense et des Forces armées, qui a été approuvé à l’unanimité.
Les crédits du programme 129 que nous présentons chaque année portent sur l’action relative à la coordination de la sécurité et de la défense, et plus précisément sur la cybersécurité et la lutte contre les manipulations de l’information.
La cybersécurité mérite d’être érigée au rang de grande cause nationale et d’être dotée d’une stratégie nationale, incluant tout l’écosystème, pour répondre à 4 défis criants.
Mon intervention
Après consultation de personnalités de la sphère publique comme du secteur privé, nous voyons quatre défis principaux pour la cyber française en 2024 :
Défi 1 – D’abord, assurer la cybersécurité des Jeux olympiques et paralympiques 2024. Il n’y aura pas de médaille d’argent ou de bronze pour la France dans cette discipline ;
Défi 2 – Ensuite, coordonner l’ensemble des acteurs publics et privés de l’écosystème cyber autour d’une révision de la stratégie nationale de cybersécurité (la dernière datant de 2018) et du lancement de la plateforme numérique « 17 Cyber » en mars 2024 ;
Défi 3 – Dans le prolongement, réussir la transformation de l’ANSSI en vue de la transposition de la directive NIS 2 (Network and Information Security). Celle-ci prévoit un accroissement du périmètre de compétence de l’agence de quelque 500 OIV à environ 15 000 entreprises dont le suivi constitue un changement d’échelle pour l’agence et nécessite une reconfiguration de son offre de services ;
Défi 4 – Enfin, s’ajoute un 4ème défi que nous avions développé dans notre rapport préparatoire à la LPM et qui concerne l’organisation, ou plutôt la réorganisation du dispositif de coordination pour répondre au « changement d’échelle » annoncé par l’ANSSI qui est de passer à une cybersécurité de masse.
Cette nécessité de refonte de la stratégie résulte des nombreux points d’attention que les services et entreprises que nous avons auditionnées ont soulevés :
– À commencer par un brouillard quant à l’organisation de la réponse aux incidents cyber entre l’ANSSI responsable des systèmes de l’Etat et des opérateurs d’importance vitale, la plateforme cybermalveillance responsable de tout le reste mais sans les moyens associés, et l’amorçage par l’ANSSI de centres régionaux ou sectoriels dont ni les services, ni le financement ne sont à ce jour garantis dans leur efficacité et leur pérennité.
– En réalité, chaque ministère et chaque entité s’est doté d’un coordinateur : l’ANSSI qui est à la fois un régulateur et un acteur, le Secrétariat général pour l’investissement dont nous avons rencontré ce matin le coordinateur, M. Florent Kirchner, mais aussi Cybermalveillance dont c’est le rôle d’être à la croisée de tous les chemins, et maintenant le ministère de l’Intérieur qui a pris la charge financière de la création de la future plateforme « 17 cyber » en application des annonces du Président de la République.
Le fait que la menace cyber soit largement prise en compte va en soi dans le bon sens comme le rappelait le directeur général de la Gendarmerie nationale. En revanche, il nous semble qu’une chaîne claire de traitement et d’escalade des incidents soit définie. Il nous a été certifié que ce travail était en cours. Nous prenons date pour le lancement du « 17 cyber » prévu en mars 2014. Mais à quelques mois de ce rendez-vous important il reste encore à définir les services offerts par cette plateforme numérique apportera à la population, et surtout comment la population sera informée de sa mise en service, selon quelle communication, avec quels crédits ?
Le message de l’ANSSI est de dire qu’il est encore trop tôt pour dessiner un « jardin à la française » et qu’il faut d’abord laisser l’écosystème public/privé de la cybersécurité se développer avant de tailler les haies. C’est une approche qui laisse certaines entreprises sur leur faim (Orange ou Thales), car elles ont besoin d’une feuille de route claire et d’y être associées notamment pour la transposition de la directive NIS 2 qui interviendra en octobre 2024.
Nous partageons ce besoin de clarification. Pour reprendre la métaphore du jardin à la française, il nous semble au contraire urgent de définir une organisation de coordination et de suivi de la qualité, bref de dessiner les allées du jardin dès maintenant, sinon le risque est de voir se développer une jungle. Si cette orientation perdure, il est à craindre que tout le monde soit perdu en cas d’incident national majeur et que l’engorgement de nos services sera amplifié par des sollicitations multiples à différents endroits. J’ajoute que l’enjeu de sécurité des Jeux Olympiques justifie l’urgence de la concertation, ce qui est un métier nouveau pour l’ANSSI.
C’est pourquoi, parmi nos propositions figurent celles :
– Tout d’abord d’actualiser la stratégie nationale de cybersécurité (l’actuelle date de 2018) en y associant en amont tout l’écosystème sans oublier les collectivités locales, ni vos serviteurs ;
– Et de s’inspirer de la grande cause nationale de la sécurité routière qui a permis de réduire drastiquement le nombre de morts sur nos routes en confiant à un coordinateur unique la responsabilité de coordonner tous les moyens disponibles.
Est-ce le rôle de l’ANSSI ou d’un délégué interministériel clairement identifié ? C’est à l’exécutif de le décider mais c’est à nous de signaler que l’année 2024 est le bon moment pour le faire.
Au bénéfice de ces observations, nous vous proposons l’adoption des crédits de la mission « Direction de l’action du gouvernement ».
Ce 8 novembre, lors de l’audition du général d’armée Christian Rodriguez, directeur général de la Gendarmerie nationale par notre commission des Affaires étrangères, de la Défense et des Forces armées, j’ai porté l’attention sur la coordination nationale de nos moyens face aux cybermenaces et l’idée d’un coordinateur unique.
Le général estime que la coordination des multiples acteurs du cyber doit se faire sous l’autorité de l’ANSSI. Il a conclu en disant : « les enjeux sont juste phénoménaux, je vous rejoins complètement ».
VERBATIM
Question : La Gendarmerie nationale est citée en exemple pour l’avance qu’elle a prise, notamment par rapport à la Police nationale, dans la prévention et le traitement de la menace cyber. Vous avez évoqué vos moyens techniques et humains, de la discussion avec le ComCyber et l’ANSSI (*), mais vous n’avez pas cité les collectivités locales et les C-SIRT. A cet égard, que pensez-vous de cette organisation, des C-SIRT, mais aussi de la coordination entre les acteurs. N’y-a-t-il pas un trop grand nombre d’acteurs avec un risque de confusion et de dispersion des moyens ? La question se pose sur les coordinateurs avec les ministères concernés : services de la Première ministre, ministère de l’intérieur, ministère du numérique… A l’image de la Sécurité routière érigée cause nationale en 2002 par le Président de l’époque, Jacques Chirac, ne pensez-vous pas que l’état de la menace cyber ne justifierait-il pas de clarifier le dispositif autour d’un coordinateur unique et d’une nouvelle stratégie de cybersécurité ?
(*) l’Agence nationale de sécurité des systèmes d’information (ANSSI)
Ce 18 octobre, la commission des Affaires étrangères, de la Défense et des Forces armées, présidée par Cédric Perrin, a consacré une audition à la cybersécurité et la lutte contre les menaces hybrides, en invitant les responsables du SGDSN, de l’ANSSI et de Viginum.
Avec mon collègue Mickaël Vallet, nous sommes intervenus en qualité de rapporteur pour avis sur les crédits du programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement).
Mes questions ont porté sur quatre points principaux :
– La mise en œuvre de la directive européenne dite NIS 2 qui devrait conduire l’ANSSI à décupler son champ d’intervention
– La protection du grand public, des collectivités et des PME/TPE au travers du GIP ACYMA Cybermalveillance
– La définition des missions des CSIRT régionaux et leur coordination
– Le déploiement des activités de Viginum et sa visibilité
Je remercie chaleureusement nos interlocuteurs pour leurs réponses précises et circonstanciées à nos interrogations :
> Stéphane Bouillon, secrétaire général de la défense et de la sécurité nationale (SGDSN)
> Emmanuel Naëgelen, général de brigade aérienne, directeur adjoint de l’Agence nationale de sécurité des systèmes d’information (ANSSI)
> Marc-Antoine Brillant, chef du service de vigilance et de protection contre les ingérences numériques étrangères (Viginum)
VERBATIM
Merci monsieur le Président. Avant de commencer mon propos, je voudrais vous remercier, M. le Secrétaire général, vous trois, pour la clarté de votre propos. L’audition est captée, mais vous n’avez pas hésité à appeler un chat, un chat et caractérisé effectivement les états qui ne nous veulent pas que du bien. Je pense que c’est intéressant que vous puissiez le faire de la sorte.
Deuxième propos, c’est vous dire que lors des éditions précédentes, car cela fait maintenant plusieurs années que nous nous voyons, je veux vous dire que nous avons l’impression d’être écoutés et entendus. A ce titre, je voudrais vous remercier doublement.
Pour la première partie, entre les quelque 831 intrusions répertoriées en 2022 par l’ANSSI dans sa publication annuelle du panorama de la cybermenace, dont vous avez fait état, et les 170 000 demandes d’assistance reçues par le GIP Acyma Cybermalveillance, une clarification doit être apportée pour bien comprendre la stratégie du SGDSN pour atteindre l’objectif de la revue nationale stratégique d’une « résilience cyber de premier rang » aussi bien pour les opérateurs d’intérêt vital (OIV), les PME, les collectivités et les particuliers.
On a bien compris que pour le « haut du panier », l’application de la directive européenne dite NIS 2 devrait conduire l’ANSSI à décupler son champ de compétence. On part bien d’environ 700 OIV actuellement suivis par l’agence et d’après les estimations, vous nous dites désormais 15.000 entreprises pourraient être concernées lorsque la directive sera transposée d’ici fin 2024. Comment allez-vous vous confronter à ce défi pour réaliser ce passage de la cybersécurité à l’échelle industrielle, prévu par l’ANSSI ?
Avez-vous un calendrier de transposition de cette directive, une liste des obligations nouvelles qui pèseront sur les entreprises et une estimation du coût qu’elles devront supporter ? Quels services l’ANSSI leur apportera-t-elle ?
La semaine dernière, j’étais à Washington, où l’ancien président de PayPal était là. Il nous dit qu’ils subissaient 3 à 4 millions d’attaques par jour !
À l’autre extrémité du spectre, nous avons le grand public, nous avons les PME, les TPE et à peine une quinzaine de personnes et un budget de seulement 2 millions d’euros sont les moyens du GIP Cybermalveillance. Tout cela nous semble dérisoire pour couvrir les besoins du grand public, des collectivités, des PME et de ces associations. Quels objectifs fixez-vous à ce groupement notamment s’il est appelé à gérer le futur guichet unique « 17 cyber » que nous appelons de nos vœux au Sénat depuis maintenant cinq ans ? Je rappelle que le Président de la République l’a aussi demandé, il y a deux ans.
Entre les deux, vous avez fait la création de centres régionaux de réponse cyber. Ils ont été encouragés et financés dans le cadre du plan de relance. Leur montée en puissance est lente et leurs services très inégaux, d’après les remontées de terrain. Leur financement par l’État n’est pas pérenne et l’on comprend mieux pourquoi une région (Auvergne-Rhône-Alpe) n’est pas entrée dans le dispositif. Les autres régions (notamment la Nouvelle Aquitaine) redoutent de devoir reprendre à leur charge des missions de sécurité qu’elles estiment régaliennes. Quelles réponses apportez-vous sur le financement et la coordination de ces centres régionaux ? Disposez-vous d’un bilan de leurs actions ?
Enfin, je voudrais partager une réflexion, puisque j’étais il y a trois semaines à Taïwan et j’ai rencontré votre interlocuteur le SGDSN. Taïwan est certainement aujourd’hui la première destination des attaques où l’influence se combine avec l’ingérence, ces attaques venant de la Chine. Il s’avère que c’est le laboratoire des attaques cyber pour le monde et lorsqu’on a vu ces attaques testées sur Taïwan on les retrouve partout dans le monde. Taïwan organise des exercices internationaux cyber, je ne vais pas vous demander ici si vous allez y participer, mais je voudrais savoir si vous participez à des exercices internationaux au niveau de la cyber. Je vous remercie.
Il y avait aussi une question sur Viginum. Depuis la création de Viginum en 2021, il nous a semblé que ce service s’est montré très discret dans sa montée en puissance et la communication de ses résultats. À part une communication notable faite par le ministère des Affaires étrangères sur une affaire, vous l’avez évoquée, qui venait de Russie en Afrique, quelles actions pouvez-vous nous décrire pour justifier l’activité et le développement du service ?
En 2022, plus de 170 000 demandes d’assistance ont été reçues par Cybermalveillance, dont 90% émanant de collectivités territoriales… Toute vulnérabilité des systèmes (établissements de santé, collectivités territoriales et PME) est désormais exploitée par les cybercriminels.
Avec mon collègue Mickaël Vallet, nous proposons de faire évoluer notre doctrine à travers un rapport intitulé “une coordination de la cyberdéfense plus offensive dans la loi de programmation militaire 2024-2030”. Ce travail a été conduit au nom de la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat, présidée par Christian Cambon.
Si la chaîne de commandement militaire intègre une fonction offensive, c’est sans équivalent en cas de cyber-attaque sur des objectifs civils. C’est pourquoi la nouvelle loi de programmation militaire (LPM) prévoit un soutien militaire à l’Agence nationale de sécurité des systèmes d’information (ANSSI), en cas de crise majeure et un renforcement de ses capacités d’analyse.
Ainsi, en s’appuyant sur le potentiel de l’ANSSI et la caractérisation des attaques informationnelles relevant de Viginum, nous souhaitons, avec Mickaël Vallet, inciter le gouvernement à adopter une stratégie plus offensive, une « cyber dissuasion ».
A ce titre, nous saluons la dénonciation claire, mi-juin, du ministère de l’Europe et des Affaires étrangères d’une campagne de désinformation en provenance de Russie, liée à l’action de la France en Ukraine, qui doit préfigurer une « diplomatie de combat ».
Concernant la LPM 2024-2030, nous constatons un effort sans précédent au profit de la cyberdéfense des armées avec 4 milliards d’euros de besoins programmés (effectifs et technologies), contre 1,6 milliard d’euros pour la LPM 2019-2025.
L’enjeu qui perdure est celui de former aux métiers de la cyber-sécurité !
LPM 2024-2030
> Accompagner le développement de la cyberdéfense régalienne autour de l’écosystème de Rennes en renforçant l’offre de formation.
> Encourager les acteurs français du cloud et de la cybersécurité.
> Prioriser les recrutements sur les postes non encore « armés ».
> Harmoniser les pratiques de recrutement sur la base du référentiel de rémunération des 56 métiers de la filière numérique et des systèmes d’information et de communication pour fidéliser les agents en poste et recruter des profils expérimentés (direction interministérielle du numérique).
> Veiller à la complémentarité de l’ensemble des pôles cyber existants en rapprochant le futur pôle d’excellence de formation cyber de Polytechnique avec l’écosystème et l’académie de la cyberdéfense de Rennes.
COORDINATION CIVILO-MILITAIRE
> Clarifier le périmètre de la transposition en France de la directive NIS 2.
> Établir un plan de progression des moyens de l’ANSSI, de l’OSIIC et de Viginum en rapport avec l’augmentation du périmètre de protection de la directive NIS 2.
> Lancer une réflexion sur l’opportunité de mieux intégrer les 3 fonctions de LID, LIO et L2I dans le domaine civil.
> Affirmer une stratégie de cyber dissuasion s’appuyant sur les capacités de cybersécurité de l’ANSSI et de caractérisation des attaques informationnelles relevant de Viginum.
> Envisager la nomination d’un responsable qualité des activités de cyberdéfense.
VOLET RÉGIONAL DE LA CYBERSÉCURITÉ
> Rationnaliser l’organisation cyber vers un guichet unique « 17 cyber » pour orienter les victimes en cas d’attaque ou de conflit majeur.
> Évaluer une organisation alternative aux CSIRT en concentrant les moyens publics sur le GIP ACYMA, tout en prévoyant une contractualisation État- Région pour les régions qui souhaitent pérenniser leurs centres de réponse.
> Harmoniser, en coordination avec le GIP ACYMA, les modalités d’appel des CSIRT régionaux et les services de cybersécurité rendus.
Ce 16 novembre, avec mon collègue Mickaël Vallet, nous sommes intervenus devant la commission des Affaires étrangères, de la Défense et des Forces armées, présidée par Christian Cambon, en qualité de rapporteur pour avis sur les crédits du programme 129 «Coordination du travail gouvernemental», plus précisément sur la cyberdéfense et les stratégies d’influence.
Je me suis félicité du fait que l’enjeu de la guerre informationnelle, que j’avais mentionné lors des débats sur la LPM en 2018, soit désormais été élevé au rang de “nouvelle fonction stratégique” par le Président de la République, dans son discours de Toulon du 9 novembre dernier.
Allons-nous nous contenter de regarder chaque année le compteur des cyber-attaques s’affoler ?
Nos principaux partenaires, américains et britanniques, ont compris qu’aller entraver les cybercriminels sur leur terrain, c’est aussi prévenir les attaques avant qu’elles n’arrivent et pratiquer une forme de dissuasion numérique.
Je formule donc la proposition que nous nous dotions d’une stratégie offensive face aux cyber-attaques, que nous nous dotions d’un directeur national de la cybersécurité et que nous nous coordonnions avec nos principaux partenaires, car c’est un combat sans frontières.
Je voudrais insister sur deux points :
La nécessité de former et responsabiliser tous les acteurs en cybersécurité, à commencer par les simples utilisateurs ;
Alerter sur la nocivité du paiement des rançons. Ceux qui sont contraints de payer pour sauver leur entreprise doivent savoir qu’ils alimentent les revenus de la cybercriminalité qui dépassent désormais ceux du narcotrafic. Ils contribuent également au financement du terrorisme.
Tous les pays occidentaux sont dépassés par l’échelle des attaques. On nous fait une guerre cyber. Les 14 affaires d’espionnage cyber en 2021 dont 9 sont d’origine chinoises en témoignent. Nos agresseurs sont à l’initiative. Nous avons un retard à rattraper.
Nous avons reçu une visite d’une délégation de députés monténégrins, dans le cadre du programme européen Inter Pares au Sénat, ce 2 novembre.
Cette délégation souhaitait échanger autour de la thématique de la cybersécurité, j’ai pensé à un dialogue avec mon collègue Mickaël Vallet et moi autour de notre rapport relatif à la Coordination du travail gouvernemental en matière de cyberdéfense.
Le Monténégro a subi une cyberattaque majeure il y a trois mois. 17 systèmes différents localisés dans 10 ministères ont été corrompus. 3000 ordinateurs d’état doivent être réinstallés. La délégation a remercié l’engagement de la France pour les aider, à commencer par l’ANSSI, qui a vite dépêché 15 agents.
Sulfo Mustafic, député du Monténégro, membre de la commission Sécurité et Défense, remercie le Sénat pour sa coopération.
Deux groupes organisés ont mené ces attaques. Ils soupçonnent que les Russes en soient à l’origine.
Ces attaques sont un prolongement de toutes les actions malicieuses subies par le Monténégro depuis son adhésion à l’OTAN, comme la multiplication de sites internet développant des fake news pour déstabiliser leur pays.
En 2018, le Montenegro a créé un centre d’expertise pour distinguer les fake news venant de la Russie.
J’ai recommandé à Sulfo Mustafic, député du Monténégro, de rencontrer Jérôme Notin, directeur de la plateforme Cybermalveillance.
Une adaptation de ce site en langue locale offrirait un excellent outil pour faciliter l’information sur les menaces cyber et la formation des Monténégrins sur les bonnes pratiques en cybersécurité. +d’images
SPÉCIAL ASSEMBLÉE DES FRANÇAIS DE L’ÉTRANGER
. Hélène DEGRYSE, présidente de l’AFE,
. Olivier BECHT, ministre notamment chargé des Français de l’étranger (Principaux chantiers dans le domaine consulaire ; Vote par Internet ; État civil dématérialisé Dématérialisation des demandes de passeports ; Action sociale ; Budget pour 2023 ; Sécurité des ressortissants)
. Baptiste HEINTZ, président du groupe Écologie et Solidarité
. Thierry MASSON, président du groupe Indépendants, Démocrates et Progressistes
. Laurent RIGAUD, président de l’Union des Républicains, des Centres et des Indépendants
. Annie RÉA, présidente du groupe Solidaire et Indépendants
TRAVAUX DES COMMISSIONS :
. Commission de la Sécurité et des Risques sanitaires
. Commission des Affaires sociales, des Anciens combattants, de l’Emploi et de la Formation
. Commission de l’Enseignement et des Affaires culturelles, de la Francophonie et de l’Audiovisuel extérieur
. Commission du Développement durable et du Commerce extérieur
. Commission des Finances, du Budget et de la Fiscalité
. Commission des Lois, des Règlements et des Affaires consulaires
LE CLUB DES INDÉPENDANTS
. Laurence HELAILI-CHAPUIS, conseillère à l’AFE, présidente du conseil consulaire à Dublin (Analyse des émissions carbone des élus de l’AFE).
. Henri ZELLER, Ingénieur en innovations et responsable business développement, conseiller des Français de la 1° circonscription d’Allemagne (Retour sur le diner du 5 octobre à l’initiative du sénateur Olivier CADIC, avec les CCEF et CCIF).
LE BLOG D’OLIVIER CADIC
. Prêts chinois. Le « piège » de la dette
. Cybersécurité. Audition SGDSN & l’ANSSI
. CyberCercle. Cyberassurance, rançongiciel, collectivités, lutte informationnelle…
. Français de l’étranger, une priorité pour Élisabeth BORNE
. Vers un soft power à la française ? Les conseillers des Français de l’étranger, acteurs de la diplomatie économique
. Olivier BECHT répond aux élus
. En circonscription au ROYAUME-UNI – Londres (22 sept. 2022)
Ce 5 octobre, j’ai interrogé en commission des Affaires étrangères au Sénat, Stéphane Bouillon, secrétaire général du SGDSN (Secrétariat général de la défense et de la sécurité nationale) et Guillaume Poupard, directeur général de l’ANSSI (Agence nationale de la sécurité des systèmes d’information).
Mes interrogations portaient sur :
➡️ Le nombre des attaques cyber et la possible recherche de responsabilité des opérateurs ayant subi une attaque cyber, si les recommandations de l’ANSSI n’ont pas été suivies.
➡️ La prévention des actes de sabotage des câbles sous-marin
➡️ Les arrestations des hackers et notre politique de dissuasion comparée à la stratégie américaine, très offensive.
➡️ La nouvelle agence VIGINUM pour nous défendre contre la guerre informationnelle et d’influence destinée à affaiblir notre démocratie.
Réunie cette semaine, la 35ème session de l’Assemblée des Français de l’étranger (AFE) achève une année électorale pour les Français de l’étranger.
À l’issue des consultations consulaires, sénatoriales et AFE, les cinq étiquettes politiques LR, ASFE (parti dont les sénateurs sont affiliés au groupe LR), LREM, EELV et PS ont enregistré chacune un poids équivalent à un sixième de l’électorat.
Les élus indépendants, sans étiquette politique, constituent la sixième force du panel. Ils ont fait jeu égal avec les partis constitués.
Indépendance ne rime pas avec isolement. En s’alliant avec les élus de la majorité présidentielle pour fonder le groupe « Indépendants, démocrates et progressistes » à l’AFE, les élus indépendants ont adopté une démarche pragmatique pour peser et faire entendre la voix des conseillers des Français de l’étranger.
C’est à mon sens le signe d’une modernité qui en annonce d’autres. On le sait, j’appelle de mes vœux une large réforme de la représentation des Français de l’étranger.
Je ne suis pas le seul, comme en témoigne le projet de création d’une commission, au sein de l’AFE, chargée de proposer des pistes de réforme. Il me parait fondamental que ces propositions viennent des élus eux-mêmes, car c’est le premier pas vers le renforcement de leurs prérogatives et une représentation plus efficiente.
Ce mardi 14 décembre, un conseiller des Français de l’étranger indépendant a été élu à la Présidence de l’Assemblée des Français de l’étranger. Pour ne rien gâcher, cet élu est une élue. C’est donc à un double titre que l’élection d’Hélène Degryse, conseillère des Français des Pays-Bas et conseillère à l’AFE pour le Benelux, marquera l’histoire de la représentation des Français établis hors de France.
Je me félicite de ce magnifique résultat.
Élue en mai dernier face à toutes les étiquettes politiques, Hélène s’est révélée être un remarquable point d’appui pour construire un consensus.
Non seulement le visage de l’AFE est aujourd’hui celui d’une femme dont l’indépendance a toujours constitué la ligne politique, mais encore l’ensemble de la répartition des responsabilités a obéi à un impératif de proportionnalité des six groupes politiques qui composent désormais la nouvelle assemblée.
Le 24 novembre, avec mon collègue co-rapporteur Mickaël Vallet, j’ai présenté devant la commission des Affaires et de la Défense le rapport pour avis consacré au programme 129 « Coordination du travail gouvernemental » de la mission « Direction de l’action du gouvernement » (mon intervention).
Ce programme du projet de loi de finances 2022 comprend les moyens destinés au Secrétariat général de la défense et de la sécurité nationale (SGDSN), les fonds spéciaux et les crédits du groupement interministériel de contrôle (GIC) qui gère les demandes d’autorisation de mise en œuvre des techniques de renseignement émises par les services. Pour l’essentiel :
> Les moyens du SGDSN, qui comprend l’Agence nationale de la sécurité des systèmes d’information (ANSSI) sont confortés pour ce budget 2022. Cette progression du budget permettra une augmentation des effectifs de 77 ETP pour la cybersécurité et le financement de nouvelles missions. > Nous saluons la création de l’agence VIGINUM qui aura pour mission de lutter contre les ingérences numériques étrangères et d’en informer les pouvoirs publics. Sa mise en place, à quelques mois de l’élection présidentielle était plus que nécessaire. > La Présidence française de l’Union européenne au premier semestre 2022 doit constituer une fenêtre d’opportunité pour faire avancer les dossiers cyber au plan européen.
“Face à cette menace en expansion, l’Etat ne cesse d’adapter sa réponse, qui vise à renforcer la sécurité des acteurs publics et à accompagner les acteurs privés dans leur démarche de sécurisation. Mais beaucoup reste à faire.”
RAPPORT D’INFORMATION & LA SYNTHESE faits au nom de la commission des affaires étrangères, de la défense et des forces armées (1) sur la coordination du travail gouvernemental (cyberdéfense, SGDSN), par MM. Olivier Cadic et Mickaël Vallet
Contre les manipulations de l’information en provenance de l’étranger visant à “déstabiliser l’Etat”, Stéphane Bouillon, secrétaire général de la défense et de la sécurité nationale (SGDSN), a annoncé une parade supplémentaire avec la création d’une agence spécialisée, dès septembre.
“Notre objectif est de détecter le plus rapidement possible quelque chose qui est en train de monter et de pouvoir signaler l’incendiaire“, a-t-il justifié.
Cette agence de lutte contre les manipulations de l’information constituerait un service rattaché au SGDSN et devrait mobiliser à terme jusqu’à 60 personnes.
Je salue cette initiative, indispensable dans la perspective de la présidentielle 2022, en qualité de rapporteur des crédits du SGDSN (en charge de la politique de sécurité des systèmes d’information de l’État) et de l’ANSSI (cybersécurité), au sein de la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat.
Ce nouveau dispositif fait écho à une série de recommandations que nous avions formulées, avec mon collègue Rachel Mazuir, en conclusion d’un rapport d’information intitulé : Désinformation, cyberattaques et cybermalveillance : l’autre guerre du covid19(juin 2020) visant à améliorer la résilience des administrations de l’État face aux cyberattaques.
Communiqué AFP [02 Juin 2021]
La France s’apprête à créer une agence nationale de lutte contre les manipulations de l’information en provenance de l’étranger visant à “déstabiliser l’Etat”, a annoncé mercredi le Secrétaire général de la défense et de la sécurité nationale (SGDSN), Stéphane Bouillon.
Ce service rattaché au SGDSN devrait voir le jour dès le mois de septembre et mobiliser à terme jusqu’à 60 personnes qui travailleront en sources ouvertes, c’est-à-dire à partir d’éléments publics, a-t-il précisé au cours d’une audition devant la commission Défense à l’Assemblée nationale.
Avec cette agence de lutte contre les ingérences numériques, “il ne s’agit pas de corriger ou rétablir la vérité, mais d’arriver à détecter les attaques quand elles viennent de l’étranger, pouvoir les caractériser et d’une certaine manière les attribuer pour pouvoir permettre aux hommes politiques, aux diplomates, à la justice et la presse de constater que sur 400.000 tweets de reprise de telle ou telle information, 200.000 viennent d’une ferme à bots (des comptes automatisés, ndlr) dans une région hors de notre pays ou que tel débat provient d’une ferme à trolls”, a-t-il fait valoir.
“Il ne s’agit pas de faire du renseignement, ce qui nous intéresse c’est ce qui est en train de devenir pandémique sur le plan informationnel” et si cela émane d'”un pays étranger ou d’une organisation étrangère qui visent ainsi à déstabiliser l’Etat sur le plan politique”, a-t-il insisté.
“Notre objectif est de détecter le plus rapidement possible quelque chose qui est en train de monter et de pouvoir signaler l’incendiaire. Une fois que la forêt a brûlé c’est triste mais c’est trop tard”, a-t-il conclu.
Plusieurs échéances électorales feront l’objet d’une attention particulière au cours des mois à venir, a confié le SGDSN, comme les élections législatives en Allemagne fin septembre, “pour pouvoir en tirer des leçons”.
La France elle-même se prépare à la tenue dans un an d’une élection présidentielle et des tentatives d’ingérences dans des scrutins passés dans ce pays, ou aux États-Unis, ont été documentées.
Entretien paru dans la revue Global Security Mag n°53, magazine consacré à la cybersécurité dirigé par Marc Jacob, intitulé « la France s’accorde des moyens en hausse face à une menace cyber qui explose !»
J’ai rappelé que la menace cyber ne cessait de se développer sous diverses formes et à grande échelle. La cybercriminalité s’est aussi beaucoup professionnalisée, je dirais même industrialisée. Heureusement, nous avons accompli des progrès considérables depuis dix ans sous l’égide de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en termes de cybersécurité.
Un tableau est joint à l’article qui répertorie le nombre d’incidents traités par l’ANSSI, consécutifs à des attaques informatiques contre nos ministères.
On se réjouit de l’augmentation des crédits, dont je suis le co-rapporteur avec Mickaël Vallet au Sénat, ce qui est le signe que cet enjeu de souveraineté nationale est bien pris en compte par le Gouvernement (lire : PLF2021 / DG – Direction de l’action du Gouvernement – Cybermenaces du 28 nov. 2020).
La crise sanitaire aura, en effet, révélé que la guerre de la communication entretenue par certaines puissances étrangères – manipulations, désinformation, propagande – est de plus en plus utilisée pour affaiblir nos démocraties.
L’article de GS Mag m’a également permis de revenir sur la commercialisation des offres 5G en France qui est imminente. Là aussi, gardons-nous de toute naiveté vis-à-vis de certains équipementiers soumis aux lois de leurs pays et aux pressions de leurs gouvernants.
Heureusement, l’ANSSI veille : toutes les décisions de refus et toutes les autorisations pour des durées réduites d’installations ont concerné les équipements de l’opérateur des télécoms chinois, Huawei.
2021 sera une grande année, puisque l’ANSSI rejoindra le Campus Cyber dans le quartier de la Défense, et installera une antenne à Rennes dans le cadre de la constitution d’un pôle de compétences en cyberdéfense, où est présent le ministère des Armées, à l’image de ce que j’ai pu observer à Beer Sheva en Israël (compte-rendu – janv. 2019).
Nous aurons accompli un grand pas vers un “écosystème français” qui place la France en pointe en matière cyber.
Intervenu ce 28 novembre pour la commission des Affaires étrangères et de la Défense au sujet des crédits destinés au financement du Secrétariat général de la défense et de la sécurité nationale (SGDSN), de la cybersécurité (ANSSI) et de l’IHEDN.
Face à la recrudescence des actes malveillants dans l’espace cyber et la professionnalisation des outils des cybercriminels, les organismes publics et les opérateurs critiques commencent à prendre en compte leur risque numérique.
L’Agence de la sécurité des systèmes d’information (ANSSI) joue depuis dix ans un rôle essentiel en matière de sensibilisation, de protection et d’assistance aux victimes de cyberattaques.
Pour 2021, les crédits de l’action 2 du programme 129 s’établissent à 389,56M€ (en hausse de 3,3M€). Cette action bénéficiera de 62 recrutements, dont 40 au profit de l’ANSSI.
En 2021, l’essaimage des compétences de l’ANSSI à la fois au Pôle cyber de Rennes et au Campus cyber de la Défense sera une contribution significative à la construction d’un “écosystème français de la cybersécurité”.
Avec mon collègue Mickaël Vallet, également rapporteur, nous avons formulé deux recommandations :
1 – Malgré les avancées, les administrations publiques restent dans l’ensemble insuffisamment réceptives au risque cyber et ne prennent vraiment en compte celui-ci qu’après la survenue d’un problème majeur. Il est donc tout à fait urgent d’appliquer la politique de sécurité des systèmes d’information de l’Etat récemment refondue. En effet, celle-ci conforte le pilotage de l’ANSSI sur les administrations et permettra, nous l’espérons, d’améliorer la diffusion des mesures préventives.
2 – Accélérer la désignation des opérateurs de services essentiels (OSE) afin d’étendre l’application de normes de cybersécurité à des activités ou fonctions qui, sans être « critiques » sont pourtant essentielles à la vie de la Nation. La recrudescence actuelle des cyberattaques plaide en ce sens. Il s’agit belle et bien d’une course de vitesse.
5G et Huaweï
L’ANSSI délivre aux opérateurs télécoms les autorisations d’utiliser des équipements 5G. Toutes les décisions de refus et toutes les autorisations pour des durées réduites ont concerné des équipements Huawei.
L’ouverture d’un nouveau centre de recherche de Huawei à Paris, en septembre 2020, consacré à l’intelligence artificielle, constitue un motif de préoccupation pour notre commission.
Le groupe technologique chinois fournit des systèmes de surveillance par intelligence artificielle qui permettent le contrôle de population à grande échelle par des régimes autoritaires. Il sera nécessaire de veiller à ce que les travaux de recherche sur l’IA localisés chez Huaweï en France ne puissent participer à la violation des droits humains dans le monde.
Avec mon collègue Mickaël Vallet, nous avons fait le point sur l’application de la loi du 1er août 2019 sur la sécurité des réseaux mobiles de 5e génération.
Cette loi confie à l’ANSSI le soin de délivrer aux opérateurs télécoms, sur la base d’une évaluation des risques et pour une durée limitée dans le temps, les autorisations d’utiliser des équipements destinés à constituer leurs réseaux.
L’exigence de continuité de ces réseaux est hautement stratégique. En effet, la 5G va permettre un nouveau bond dans le développement des usages numériques, notamment pour les entreprises.
Il est donc essentiel que les opérateurs de télécommunications utilisent des équipements sûrs et non susceptibles de subir des interruptions de services. Or, un tel risque ne peut être exclu lorsque les équipements proviennent d’une entreprise comme Huaweï soumise aux lois de son pays et aux pressions de ses gouvernants.
L’hypothèse d’un acte offensif étranger qui emprunterait ce canal doit donc être prise en compte. Il s’agit d’une menace majeure pour notre sécurité qui est avérée et qui ne fait plus débat.
Toutes les décisions de refus et toutes les autorisations pour des durées réduites ont concerné des équipements Huawei.
– Communiqué du 19 nov. 2020 : Loi 5G : mission accomplie Pour la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat, l’application de la « loi 5G » remplit bien son objectif : réduire l’exposition des réseaux 5G au risque de sécurité.
Dans le prolongement de l’audition du directeur général de l’ANSSI, Guillaume Poupard, sur le programme 129 consacré aux crédits de la cybersécurité dans le projet de loi de finances pour 2021, celui-ci m’a fait parvenir une note complémentaire au sujet du vote électronique pour les Français établis hors de France.
Ce 4 novembre, Guillaume Poupard, directeur général de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a été auditionné par notre commission des Affaires étrangères et de la Défense.
Je suis intervenu en qualité de rapporteur pour avis sur les crédits du programme 129 (gestion de crises, cyberdéfense, renseignement). L’ANSSI et l’institut de formation IHEDN sont deux organismes qui dépendent du SGDSN.
Ce fut l’occasion de saluer, à travers son directeur, le travail de l’Agence, véritable force de dissuasion, qui lui vaut une notoriété internationale comme j’ai pu le constater aux États-Unis ou en Israël.
Mes interrogations ont porté sur deux sujets :
1- Quel a été le nombre d’attaques de nos ministères ayant nécessité l’intervention de l’ANSSI en 2019 ? En 2018, l’Agence avait été amenée à traiter 78 événements de sécurité, consécutifs à des attaques informatiques visant des ministères français.
Réponses clés :
“On a une stabilité des événements”.
“La menace criminelle, les rançongiciels, touchent peu aujourd’hui les administrations”.
“La menace principale dans les administrations centrales reste l’espionnage”.
2- Où en est-on du projet de Cyber-campus qui devrait s’ouvrir en 2021 dans le quartier de la Défense ? Nous nous attendons à une coopération exemplaire entre le public et le privé.
Réponses clés :
“L’idée c’est d’avoir une coopération public-privé, ce qui existe déjà du côté de Rennes (…) Il nous manquait un tel lieu en région parisienne”.
“Il y aura des mécanismes incitatifs pour permettre à des petits acteurs de venir s’y installer, des aides en termes de bail”.
“Ce projet a été inspiré par Beer-Sheva en Israël”.
Ce 4 novembre, Stéphane Bouillon, secrétaire général du SGDSN (Secrétariat général de la défense et de la sécurité nationale) a été auditionné par notre commission des Affaires étrangères et de la Défense.
Je suis intervenu en qualité de rapporteur pour avis sur les crédits du programme 129 «Coordination du travail gouvernemental» qui regroupe les crédits affectés au SGDSN, un service du Premier ministre.
Mes questions ont porté sur deux points :
1- Où en est-on de la réforme du « secret défense » ? Une nouvelle instruction interministérielle était attendue pour l’automne 2020. Est-elle sortie et quelles en sont les grandes lignes ?
Réponses clés :
“Nous allons nous mettre en phase avec l’ensemble des pays européens qui appliquent la même nomenclature”.
“Il s’agit de préparer les gens à la culture du secret défense et à la manière de se comporter et d’apprendre”.
“Il y aura moins de documents classifiés, mais que la classification sera plus ciblée, donc plus efficace pour le futur”.
2- Pour 2021, la subvention destinée à l’IHEDN est en légère diminution. Or, l’Institut doit désormais assumer seul certaines charges qu’il mutualisait jusqu’à l’année dernière avec l’INHESJ, dont notre commission a regretté la suppression. La crise sanitaire affecte-t-elle son équilibre financier ?
Réponse clé :
“Compte tenu de son rayonnement et de ses capacités à réfléchir en matière de Défense nationale, l’IHEDN est irremplaçable”.
Mon entretien dans Global Security Mag, revue des professionnels de la sécurité informatique, m’a permis de revenir sur les cinq enseignements majeurs de notre audit consécutif à la cyberattaque de la plateforme de services Ariane du MEAE, il y a un an.
Je rappelle qu’en 2018, l’Agence nationale de sécurité des systèmes d’information (ANSSI) a été amenée à traiter 78 événements de sécurité relatifs à des attaques informatiques ayant touché des ministères français !
À la faveur de sa visite en France, Dragan Krapovic, ministre de la défense du Monténégro, a été auditionné par notre commission au Sénat, ce 3 avril.
