Accueil      En circonscription      Sénat      Bilan de mandat      Revue de Presse          Parcours      Contact     
    

Matinale du CyberCercle : “17 Cyber” et Cybermoi/s autour de Jérôme Notin

Belle Matinale de rentrée, organisée par le CyberCercle au Sénat, ce 12 septembre, en présence de Jérôme Notin, directeur général du GIP ACYMA (*) (Cybermalveillance.gouv.fr).

Au coeur des discussions le futur “17 Cyber” qui viendra compléter les dispositifs déjà mis en place pour répondre aux victimes (citoyens et organisations) de cyberattaques. Un dispositif d’appel 24h/24 qui, rappelons-le, permettra de qualifier la menace, poser un constat, donner des conseils, faire la mise en relation avec des prestataires et, enfin, accompagner les victimes dans l’étape de judiciarisation.

Je remercie Jérôme Notin d’avoir rappelé que je porte publiquement, depuis janvier 2019, cette « très belle idée d’un équivalent numérique du 17 police secours », reprise par le président de la République, début 2022, qu’il met cette année en place avec le ministère de l’Intérieur.

Ce fut également l’occasion pour les participants d’échanger sur la dynamique du Cybermoi/s. 1200 structures se sont engagées cette année, au mois d’octobre, pour relayer la campagne de sensibilisation auprès de leur réseau (#CyberEngagés).

L’accent a été mis en direction des entreprises, avec des vidéos à relayer, des messages-visuels sur les réseaux sociaux, et un mémento présentant des cas d’attaques et des recommandations issues des résultats d’une étude sur la maturité cyber des TPE-PME. +d’infos sur le site Cybermalveillance

Enfin, les discussions se sont orientées sur l’incontournable sujet de la transposition de NIS 2 qui mobilise toujours toutes les attentions (et passions !). A lire à ce propos Paroles de CyberCercle

Merci à Bénédicte Pilliet, présidente du CyberCercle, et à ses membres pour leur contribution à ma mission de contrôle de l’action du gouvernement.

(*) Créé en 2017, le groupement d’intérêt public Actions contre la Cybermalveillance (GIP ACYMA) a trois grandes missions : assister les victimes d’actes de cybermalveillance / prévenir les risques et sensibiliser les populations sur la cybersécurité / observer et anticiper le risque numérique par la création d’un observatoire.

Sénat – Cyber – Table ronde sur la transposition de la directive NIS 2

Dans la perspective de l’examen du projet de loi relatif « à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier », le Sénat avait envisagé la création d’une commission spéciale.

Compte tenu de la dissolution de l’Assemblée nationale, les travaux législatifs au Parlement ont été suspendus et le texte n’a toujours pas été adopté en Conseil des ministres.

En qualité de co-rapporteur, avec mon collègue Mickaël Vallet, pour avis sur le volet « Cyber » du programme 129 « Coordination du travail gouvernemental » du projet de loi de finances, j’ai néanmoins souhaité organiser, ce 20 juin, au Sénat, une table ronde réunissant les grands acteurs de la cybersécurité autour de l’Alliance pour la confiance numérique (ACN), du Cybercercle et de la Cyber task force, pour un échange de vues sur les problématiques de la transposition de la directive NIS 2 pour la filière de cybersécurité.

Il y a urgence. Chaque État membre de l’UE dispose d’un délai pour transposer NIS2 dans son droit national qui doit être respecté avant le 17 octobre 2024.

J’ai présidé les débats divisés en deux séquences :
. Démarche et agenda de transposition de la directive NIS 2
. Impact pour les entreprises et pour la filière de cybersécurité

Nos échanges ont permis de croiser les points de vue en donnant la parole aux représentants de l’écosystème des entités essentielles et des entités importantes (BITD, étatiques, collectivités et PME … ) sur la transposition de la directive NIS2 dans le droit français (*).

Cette directive vise à renforcer le principe de responsabilité (accountability) des acteurs économiques, avec des sanctions financières substantielles à la clé.

Aussi, l’intelligence collective, le dialogue et la concertation seront des socles essentiels pour ceux qui auront la responsabilité de mettre oeuvre ces nouveaux dispositifs et pour ceux qui devront les accompagner. « Et, au-delà, la question centrale de la place de la sécurité numérique dans les politiques publiques », a conclu Bénédicte Pilliet.

Je remercie chacun des participants pour avoir contribué à la réussite de cette réunion que j’ai eu le plaisir de co-animer avec Bénédicte Pilliet, présidente du CyberCercle, Yoann Kassianides, délégué général de l’ACN et Sébastien Garnault, fondateur du CyberTaskForce et du Paris Cyber Summit.

(à l’image) Plus tôt dans la matinée, toujours au Sénat, j’avais eu l’honneur de présider la 130ème Matinale mensuelle du CyberCercle, aux côtés de sa présidente Bénédicte Pilliet, sur la stratégie d’intelligence économique et de sécurité numérique développée par la DGA – Direction générale de l’armement – au service de la BITD. A ce titre, nous avons reçu Jean-Baptiste Kerveillant et Camille Lanet de la DGA. +d’images

– – – – –
(*) Julien Lopizzo de Semkel, Muriel de Marcos de MGM Solutions, Marc Bothorel de la CPME nationale, David Dany et Christophe Curtelin de La Preuve Numérique©, Mylene Jarossay du Cesin, Quentin Nicaud d’Elysium Security, Eric Hohbauer de Stormshield, Pierre Kirchner d’Equans Digital, et des représentants de Poste Groupe, le CEA, le ministère des Armées… sans oublier les senior advisors du CyberCercle : Stéphane Meynet, Christian Daviot et Yann Magnan.

Quelle est la date officielle d’entrée en vigueur de NIS 2 ?
La directive NIS 2 a été publiée le 27 décembre 2022 au Journal Officiel de l’Union européenne et elle prévoit un délai de 21 mois pour que chaque Etat membre transpose en droit national les différentes exigences réglementaires. NIS 2 rentrera donc en vigueur en France au plus tard en octobre 2024. Il est utile de préciser que la date d’entrée en vigueur ne correspond pas à la date d’application de l’ensemble des exigences réglementaires qui seront imposées aux entités régulées : certaines exigences seront d’application directe et d’autres seront soumises à un délai de mise en conformité. (Source ANSSI)

Débats du CyberCercle : vers l’idée de solidarité numérique internationale

Heureux d’avoir accueilli au Sénat, en ce premier jour du printemps, la Matinale du CyberCercle présidé Bénédicte Pilliet, réunissant une soixantaine de représentants d’organisations publiques et privées.

À l’occasion de la parution de l’ouvrage « Soldat de la cyberguerre » (Éditions Tallandier), nous avons invité ses deux auteurs, le vice-amiral d’escadre (2S) Arnaud Coustillière, et Aude Leroy, pour un échange autour de la génèse de la cyberdéfense française et sa montée en puissance, puisque l’ouvrage porte sur la période 2002-2020

Dans ce précieux témoignage, Arnaud Coustillière raconte la construction à marche forcée de notre « capacité de combat dans l’espace numérique », sur un plan offensif, défensif et dans la contre-propagande. « Tous les conflits ont désormais un volet cyber », a-t-il rappelé en expliquant l’intégration du cyber aux opérations militaires tactiques, notamment pour leurrer l’adversaire, faisant référence à notre confrontation avec Daech.

Lorsque les questions se sont orientées vers le domaine civil, Arnaud Coustillière a pointé que « le cybercrime s’est structuré de façon effrayante », avec la complicité évidente de certains états. L’occasion pour l’amiral de se montrer scandalisé par l’impunité dont semblent assurés les patrons des deux opérateurs de complémentaires santé (*) victimes d’une cyberattaque, le mois dernier. 33 millions de données de santé volées, « c’est le mépris du citoyen qui confie ses données à l’état ». Ce genre de négligence devrait « relever du pénal », estime-t-il.

Le rôle des parlementaires est venu dans la conversation, d’autant que leur discours rejoint souvent celui des militaires en termes de souveraineté numérique.

Et pourtant, face à l’immensité des enjeux, j’ai évoqué la vision partagée par Nate Fick, ambassadeur itinérant en charge du cyberespace, rencontré le mois dernier à Washington.

Le Département d’État américain (équivalent de notre ministère des Affaires étrangères) met en œuvre une stratégie, définie par la Maison Blanche, fondée sur la coopération internationale en matière de cybersécurité.

En effet, Nate Fick reconnaît le rôle central du secteur privé pour partager la charge de la cyberdéfense et prône donc une cyber solidarité plutôt qu’une cyber souveraineté.

Cela fait longtemps que j’explique qu’aucun état n’a la taille critique pour se confronter seul aux attaques cyber. Pas même les États-Unis d’Amérique. Aussi, je fais mienne cette idée de solidarité numérique venant d’un pays qui partage les mêmes valeurs que nous défendons.

L’amiral Coustillière a aussi reconnu que les géants du numérique étaient désormais incontournables : « à 200m d’ici, vous allez trouver un répéteur Google » ou bien encore « dès que vous avez plus de 5000 postes de travail, la suite Microsoft office est indispensable ». Il faut, à son sens, rechercher néanmoins « une forme d’autonomie stratégique dans nos discussions et la bonne réglementation ».

– – – – – – –
(*) Viamedis et Almerys, deux opérateurs assurant la gestion du tiers payant pour des nombreuses complémentaires santé et mutuelles. Plus de 33 millions de personnes sont concernées par le piratage.

Débat CyberCercle – Stratégie nationale pour la cybersécurité

Très heureux d’avoir accueilli au Sénat, avec mon collègue Mickaël Vallet, la Matinale du CyberCercle présidé Bénédicte Pilliet, afin de préparer notre rapport budgétaire annuel sur la cybersécurité.

Notre invité était Florent Kirchner, coordinateur la Stratégie nationale d’accélération (SNA) cybersécurité du Secrétariat général pour l’investissement.

Le monde cyber “est le terrain de jeux le plus complexe jamais imaginé par l’homme et il va en explosant”, dit Florent Kirchner. Comment gagner ? “En menant une politique innovante dans une course internationale”, répond-il, dans le cadre d’un pilotage interministériel.

C’est l’un des axes majeurs de la philosophie de cette politique publique : l’innovation participera à la réponse aux besoins de cybersécurité et aux défis à venir, dont notamment l’enjeu de l’IA et le nombre croissant de structures à protéger, dans un contexte géopolitique fragmenté qui favorise l’aguerrissement des cyber-attaquants.

Une nécessité pour optimiser cette politique publique d’investissement : diffuser l’information auprès des acteurs présents sur l’ensemble des territoires.

Matinale du CyberCercle : point de situation, projets et défis de Cybermalveillance.gouv.fr autour de son DG, Jérôme Notin

Une belle matinale de rentrée organisée par le CyberCercle au Sénat, ce 14 septembre, en présence de Jérôme Notin, directeur général du GIP ACYMA (1) – Cybermalveillance.gouv.fr, devant une cinquantaine de représentants d’organisations publiques et privées engagées sur les sujets de confiance et sécurité numériques.

Ce fut l’occasion pour les participants d’échanger sur divers projets et actions en cours : le 17Cyber, le filtre anti-arnaque, le label Expert Cyber ou encore la complémentarité des dispositifs dans les territoires.

Début janvier 2022, le président de la République avait annoncé la création d’un nouveau dispositif d’assistance 24h/24 destiné à chaque citoyen, administration ou entreprise face aux actes de cyber-malveillance. Il est déjà surnommé le « 17 cyber » en référence au numéro de police-secours.

Le « 17Cyber va devenir une marque grand public ! », se réjouit Jérôme Notin. Je partage son enthousiasme pour cette plateforme de référence qui permettra aux victimes d’actes de cybermalveillance d’être informés des premiers gestes de secours face à une cyberattaque et d’avoir un parcours de dépôt de plainte facilité, en étant mis en contact avec des policiers ou des gendarmes. Concrètement, une aide pour les particuliers qui seront victimes d’hameçonnage, de cyber-chantage ou bien de piratage de compte et les professionnels qui font surtout face aux rançongiciels.

Nécessité faisant loi, rappelons que la plateforme Cybermalveillance.gouv.fr a vu passer 2,5 millions de visiteurs en 2021…

Le 17Cyber est un module d’assistance qui répondra au pari d’un guichet unique que je prône depuis janvier 2019 (lire le billet Mes 3 cyber-priorités pour 2019). J’ai toujours pris pour référence le Centre de crise et de soutien qu’on l’on appelle « naturellement » en cas de catastrophe. De plus, je trouve rassurant que le ministre de l’Intérieur veuille piloter ce projet.

Autre étape : l’État porte actuellement le filtre anti-arnaque. Capter et qualifier la menace (fausse amende, hameçonnage en tout genre…) doit se doubler d’un courage politique pour imposer des pratiques d’assainissement aux fournisseurs de l’internet, tel Google.

Par ailleurs, le directeur a souligné le succès du label ExpertCyber qui certifie les compétences en cybersécurité. Cette norme de référence distingue déjà des dizaines d’entreprises de services de cybersécurité de toutes tailles, sur l’ensemble du territoire national.

Enfin, véritable un serpent de mer, la question de l’harmonisation des réponses au niveau des territoires se pose toujours. On constate que chaque région a ses propres protocoles et ses ressources en matière de cybersécurité, que les CSIRT se mettent en place avec des organisations et des schémas différents par région, que l’État, à travers ses différents ministères et agences, met en place de nombreux dispositifs d’aide pour les territoires. Ce qui en soi montre que le sujet de la cybersécurité est aujourd’hui un sujet majeur, pris en compte par les instances publiques. Néanmoins, face à ce foisonnement, il serait utile d’être plus clair sur la complémentarité des dispositifs et d’en renforcer la visibilité, et, tout le moins, de disposer de lignes directrices claires pour savoir qui les victimes doivent contacter et comment traiter leurs requêtes.

Comme d’habitude, cette matinale du CyberCercle, présidé par Bénédicte Pilliet, fut très riche d’échanges, de retours d’expérience et de propositions.

– – –

Lire aussi : Pour une coordination de la cyberdéfense plus offensive dans la loi de programmation militaire 2024-2030, rapport d’information des sénateurs Olivier Cadic et Mickaël Vallet, au nom de la Commission des Affaires étrangères, de la Défense et des Forces armées du Sénat

(1) Créé en 2017, le groupement d’intérêt public Actions contre la Cybermalveillance (GIP ACYMA) a trois grandes missions : assister les victimes d’actes de cybermalveillance / prévenir les risques et sensibiliser les populations sur la cybersécurité / observer et anticiper le risque numérique par la création d’un observatoire.

Débat CyberCercle – Politique publique de sécurité

Ravi d’accueillir au Sénat, ce 6 octobre, une réunion du CyberCercle, présidé par Bénédicte Pilliet, aux côtés de mon collègue Mickaël Vallet.

Ce fut l’occasion d’avoir un échange privilégié dans le cadre de la rédaction du rapport d’informations sur la coordination du travail gouvernemental (cyberdéfense – SGDSN).

Une cinquantaine d’experts ont partagé leur expérience et leur regard pour enrichir notre rapport budgétaire.

Cyberassurance, rançongiciel, responsabilité, collectivités, lutte informationnelle… autant d’angles qui ont été abordés lors de cette matinale. +d’images

L’innovation en débat au Cybercercle

Le 15 octobre, à l’invitation de Bénédicte Pilliet, j’ai eu le plaisir d’intervenir dans le cadre d’une matinale du Cybercercle sur le thème «Innovation, Cybersécurité et Défense», aux côtés de Guillaume Brosse, SASD, DGA, ministère des Armées.

Les échanges ont révélé le manque de visibilité des dispositifs publics de soutien à l’innovation, toute comme la complexité de leur mise en œuvre. 

J’ai rappelé que nos entreprises innovantes ont davantage besoin de commandes pour se développer que d’aides à la création de leurs produits. Quid du levier de la commande publique ? A quand un Small Business Act à la française ? Les Américains réservent une bonne part de leurs marchés publics à leurs PME nationales… depuis 1953.

Et nous ? Déjà en 1996, Jean-Yves Helmer, délégué général de l’armement de l’époque, indiquait aux PME d’innovation dans la défense qu’il avancerait aussi vite que le permettrait la viscosité du système.

La France est une nation d’innovation, qui reste plus « start », que « up »…  C’est pourquoi je prône la création d’un fonds dédié à notre Base industrielle et technologique de défense (BITD) française et européenne. Mieux protéger nos intérêts souverains nécessiterait également une nouvelle forme de dialogue et de coopération entre Bercy et le ministère des Armées. J’espère que le cas Photonis en sera l’amorce (lire : Photonis : Retrait de Teledyne, une opportunité historique de constituer un fonds de soutien à notre BITD).

Guillaume Brosse a évoqué la création de deux fonds d’investissement : Def Innov avec 200 millions d’euros sur 5 ans et le premier fonds tricolore consacré à la cybersécurité, BrienneIII, lancé par Ace Management, qui a été doté de 80M€.

Tout mon soutien au “Cercle des femmes de la cybersécurité” qui a édité un guide des métiers et un recueil de témoignages

Une piste prometteuse a été soulevée : irriguer les industries civiles. Comment favoriser le passage ou le partage Défense-Civil, s’est demandé M. Brosse.

Le développement d’une cybervallée européenne à Rennes qui comprend désormais l’ANSSI et le ComCyber démontre que nos ministères font désormais le pari de l’alliance public-privé et c’est heureux.

Nous avons relayé les annonces du discours de Florence Parly, ministre des Armées lors de son déplacement au Commandement de la cyberdéfense à Rennes, le 7 septembre 2020.

Parmi elles, la création du « Diag Cyber », le diagnostic de cyberdéfense. Dans le cadre du plan Action PME, ce dispositif permettra aux startups et aux PME dont l’activité est liée à la défense d’évaluer la sécurité de leurs systèmes d’information, de déceler les failles éventuelles, et enfin d’être accompagnées dans la mise aux normes et le renforcement de la protection de leurs systèmes. Le ministère des Armées alloue 4,5 millions d’euros à ce dispositif et prendra en charge 50% des dépenses effectuées par les PME dans la limite de 14 000€ HT.

J’ai réaffirmé mon soutien et ma confiance dans l’action du ministère des armées, car j’ai pu observer lors de mes déplacements internationaux que la France apparaissait à tous mes interlocuteurs comme une référence en matière de cyber.

“L’autre guerre du Covid-19” en débat au Cybercercle

Ce fut un plaisir et un enrichissement de pouvoir échanger à nouveau avec les membres du CyberCercle. Sa présidente Bénédicte Pilliet m’avait invité, ce 28 mai, à une visioconférence pour la sortie de mon rapport, écrit avec Rachel Mazuir pour le Sénat : “Désinformation, cyberattaques & cybermalveillance : l’autre guerre du Covid-19” (lire le rapport).

Je remercie les participants, toujours nombreux, pour leurs contributions respectives. Pour progresser dans mon travail, j’ai besoin de croiser les regards et les témoignages issus des différents ministères, organismes publics, collectivités ou acteurs de la vie économique, qu’il s’agisse du consultant indépendant ou des plus grandes firmes qui étaient présentes à la visioconférence (CEA, SNCF, La Poste, EDF, Air Liquide, Thales, Société générale…).

J’ai aussi été sensible à la présence et aux contributions de mes collègues députés : Eric Bothorel (Côte d’Armor) et Sereine Mauborgne (Var).

En cette période compliquée où toute l’économie française a dû basculer, du jour au lendemain, vers le télétravail, les formes numériques d’espionnage, de chantage ou d’escroquerie ont proliféré, cela va s’en dire.

Les citoyens, les PME ou les collectivités n’ont parfois pas conscience des risques qu’ils prennent.

C’est pourquoi mon rapport préconise des campagnes de sensibilisation, à grande échelle, pour diffuser les “gestes barrières numériques”. Une démarche qui a abouti à un premier succès pour le site Cybermalveillance.gouv.fr, avec la programmation de 4 spots thématiques sur France Télévisions.

Dans le prolongement de cette communication, il me semble essentiel d’unifier la chaîne de recueil et de traitement des plaintes en ligne. Notre problématique consiste à gérer une multitude de petits délits mais à grande échelle, comme on l’a observé avec l’attaque de la plate-forme Ariane.

J’ai également partagé le souhait d’initier une communication régulière d’un top 10 des cyber-crimes constatés sur le territoire. Ce à quoi, un participant m’a suggéré que l’on crée également un top 10 des territoires étrangers, sources de cas de cybermalveillance, pour les inciter à une meilleure coopération.

En termes de politiques publiques de sécurité, j’ai indiqué que le plan santé constituait une opportunité d’investir dans la sécurité informatique des acteurs de la santé afin de compenser un sous-investissement chronique du ministère de la Santé dans ce domaine.

S’il faut se défier des hackers, on se contente trop de simples protestations, sans grand effet, vis-à-vis de certaines puissances étrangères qui propagent sciemment des fake-news destinées à saper les fondements de nos démocraties, comme observées sur le site de l’ambassade de Chine en France.

Je prône donc la création d’une CyberForce pour lutter de manière offensive contre les campagnes de désinformation ou d’influence de la part des puissances étrangères.

Débat CyberCercle : “sécurité numérique, sécurité économique”

Le 11 juillet, à l’invitation de Bénédicte Pilliet, j’ai eu le plaisir d’intervenir dans le cadre du 80ème petit-déjeuner débat du Cybercercle sur le thème «Sécurité numérique – sécurité économique», aux côtés d’Alain Juillet, spécialiste des questions de cybersécurité et d’intelligence économique.

J’ai exprimé mes vives inquiétudes face au déploiement des équipements 5G fournis par Huawei à Monaco, aux portes du territoire français.

L’Union européenne doit prendre ses responsabilités et défendre sa souveraineté numérique, une démarche qui se heurte à une certaine dispersion de ses membres sur ce sujet pourtant crucial.

De plus, force est de constater que les États européens n’ont pas tous les mêmes capacités technologiques en matière de cybersécurité.

En écho aux recommandations formulées dans un rapport intitulé « Cyberattaque contre Ariane : une expérience qui doit nous servir » du 6 fév. 2019 (Lire), que j’ai coécrit avec mon collègue Rachel Mazuir, j’ai notamment appelé de mes vœux la publication d’un document périodique répertoriant et classant les actes de cybermalveillance les plus fréquemment commis vis à vis nos compatriotes et nos organisations.

Lire aussi :
Mes 3 cyber-priorités pour 2019 – PDJ CyberCercle (janvier 2019)
Soirée débat : cybersécurité, tous concernés – semaine AFE (octobre 2018)
Invité du CyberCercle au sujet de la revue stratégique de cyberdéfense (mars 2018)

Mes 3 cyber-priorités pour 2019

Petit-déjeuner en mode “dialogue libre”, organisé par le Cybercercle qui réunit les entreprises soucieuses de partager leur expérience dans le domaine de la cybersécurité.

Sa présidente, Bénédicte Pilliet, avait invité quatre autres parlementaires : Eric Bothorel, député des Côtes d’Armor, Cyrille Isaac-Sibille, député du Rhône, Guillaume Gouffier-Cha, député du Val-de-Marne et Sereine Mauborgne, députée du Var.

Ce fut, l’opportunité d’exposer mes trois cyber-priorités pour 2019.

Ressources Humaines : La première est de contribuer à renforcer les filières de formation en matière de cybersécurité : la pénurie de ressources humaines qualifiées est préoccupante. Il faut relier nos établissements scolaires et nos instituts de formation aux besoins du marché. Pour stimuler les vocations, la France devrait même disposer d’un “champion de la cybersécurité”. J’ai donc proposé la mise en place d’un club de réflexion autour des métiers de la cybersécurité, afin notamment de faire émerger une équipe de France de la cybersécurité propre à concourir lors des Olympiades des Métiers (WorldSkills).

Organisation : Ma deuxième priorité vise à rendre notre cadre législatif plus souple, afin que nos administrations gagnent en agilité face à la multiplication des cyber-menaces. La lutte contre la cybercriminalité ne doit pas se départir du respect des libertés fondamentales, mais elle ne doit pas non plus proliférer du fait des pesanteurs administratives.

Budget dédié : Enfin, dernier point, j’aimerais la mise en œuvre du principe de précaution suivant : pour tout investissement en matière de logiciel, nos administrations doivent lier une somme équivalente à 5% de l’investissement pour l’affecter à la cyber-protection. Un principe qui me tient d’autant plus à cœur que je suis rapporteur des crédits du programme 129 ” Coordination du travail gouvernemental ” (gestion de crises, cyberdéfense, renseignement) dans le projet de loi de finances.

Je me suis fait l’écho de nombreux participants pour dire, en conclusion, que la cybersécurité devait devenir l’affaire de tous. Un travail de sensibilisation est plus que jamais nécessaire pour protéger nos démocraties et nos valeurs contre des agresseurs extérieurs.

La démarche initiée par l’ANSSI à travers un dispositif national de prévention et d’assistance aux victimes d’actes de malveillance (www.cybermalveillance.gouv.fr)

Pour être plus réactifs, Israël a lancé un numéro unique d’appel pour toute personne ou entreprise affectée par un problème cyber. Cela doit nous inspirer.

L’invité du CyberCercle au sujet de la revue stratégique de cyberdéfense

En qualité de rapporteur des crédits du programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement), je travaille sur les questions de cybersécurité, au nom de la commission Défense du Sénat, depuis octobre dernier (lire la dépêche).

J’avais pris la mesure d’un niveau de menace planétaire sans précédent. “Winter is coming”, a dit le patron de la direction nationale de la cyber-sécurité israélienne, fin janvier, lors du Cybertech 2018 devant un gratin mondial d’experts.

L’espionnage, les trafics illicites, la déstabilisation et le sabotage représentent les quatre types d’objectifs des attaquants informatiques, nous explique l’Anssi, Agence nationale de la sécurité des systèmes d’information, dans un document rendu public le 12 février dernier : la revue stratégique de cyberdéfense.

Cette revue est l’équivalent d’un livre blanc, premier du genre et décrit comme “un grand exercice de synthèse stratégique” visant à renforcer la sécurité numérique de nos citoyens et nos les institutions, sur la base de sept axes de travail (télécharger).

Ce document a été établi dans le cadre de la loi de programmation militaire (LPM) qui va prochainement mobiliser notre commission Défense. Au fait, pourquoi ne pas nommer un général pour la cyberdéfense qui vienne devant le Sénat au même titre que les chefs d’Etat-major des trois armes (air, terre, mer) ? Ce fut ma proposition pour donner le ton lors du petit déjeuner débat organisé par le CyberCercle, le 15 février dernier. Sa présidente, Bénédicte Pilliet, avait réuni autour de moi une trentaine de responsables de grandes entreprises et quelques hauts fonctionnaires, tous soucieux d’avoir le regard d’un parlementaire sur cette revue stratégique de cyberdéfense.

Je ne me considère pas comme un expert, ai-je prévenu d’emblée, en soulignant que ce terme était parfois galvaudé et profitait à ceux qui veulent imposer leur vision technocratique de la société, autrement dit en multipliant les obligations réglementaires. Je répète comme un mantra que les politiques doivent reprendre la main et ne pas laisser les experts des ministères à la manœuvre. Les Français de l’étranger ont tous en mémoire l’annulation du vote par internet en 2017… pour cause de « menaces » sur le scrutin. Cette défaite de notre système de défense numérique qui a préféré ne pas mener bataille ne doit pas se renouveler, a annoncé Emmanuel Macron devant l’Assemblée des Français de l’étranger, «sinon la France ne serait plus la France»!

Le 12 février, à la Station F, j’ai assisté à la présentation officielle de la revue stratégique de cyberdéfense par Louis Gautier, secrétaire général de la défense et de la sécurité nationale (SGDSN), en présence de Mounir Mahjoubi, secrétaire d’État chargé du numérique. Présentation suivie de trois tables rondes sur le rôle de l’État.

Reprendre la main pour les parlementaires revient aussi à ne pas sacraliser la revue stratégique, par ailleurs incomplète (quelle stratégie de contre-influence lorsque nos valeurs démocratiques sont attaquées ? quels moyens de lutte contre l’usurpation d’identité numérique de nos institutions de confiance ?…) et peu assurée : “Notre modèle manque encore d’une confirmation de ses principes de base, d’une description précise de sa gouvernance, d’une clarification de son organisation opérationnelle” (p.45)

Au moment des échanges avec la salle, je me suis senti sur la même longueur d’onde que tous ces responsables de sécurité, aux prises avec les normes franco-françaises, les certifications au long-cours ou la déferlante des produits connectés comme autant de chevaux de Troie.

J’ai ressenti un consensus lorsque j’ai avancé que la cybersécurité dans l’entreprise devait se concevoir dans le cadre de sa politique d’assurance-qualité et non en créant de nouvelles obligations réglementaires dédiées, comme le propose le secrétaire d’État chargé du numérique.

Préférer l’efficacité au formalisme apparaît logique et évident pour des entrepreneurs. La preuve que le lien entre les parlementaires et les entreprises doit se renforcer, sous peine de perdre le sens commun.

Crédit photo : Yann Magnan (Ausy group)