Edito de l’HebdoLettre n°109

La menace

Lors de la semaine de l’AFE, j’ai eu le plaisir de réunir de nombreux élus autour de ce thème : la cybersécurité, tous concernés. Effectivement, le simple fait de posséder un smartphone non protégé (sans VPN, par exemple) est aussi prudent que de laisser portes et fenêtres ouvertes en quittant votre domicile. Rien de plus terrifiant pour un administrateur réseau qu’une simple clé USB qui peut être piégée. L’inventivité des hackers est sans limite. C’est en résumé le message déroutant et alarmant que nos deux brillants intervenants, venus du ministère de l’Intérieur et de l’Anssi, nous ont délivré ce soir-là.

Si on en veut au portefeuille des particuliers, au fichier-clients et aux brevets des organisations, on monte encore d’un cran lorsqu’il s’agit des états puisque les enjeux deviennent géostratégiques. Les pires prédateurs sur internet sont logiquement les états.

Dans le dernier numéro de Global Security Mag (lire), j’ai souhaité que les pays de l’UE nomment, s’ils le peuvent, les pirates dont ils sont la cible. Jusqu’à présent, l’information se partageait entre initiés et les éventuelles remontrances diplomatiques ne sortaient pas des salons feutrés des ambassades.

Le 4 octobre dernier, , on a appris que des espions des services secrets russes (GRU) s’étaient installés sur un parking dans un véhicule truffé d’électronique pour pénétrer le réseau de l’Organisation pour l’Interdiction des Armes chimiques (OIAC), basée à La Haye. Lorsque les services secrets hollandais et britanniques ont déjoué la cyberattaque russe, les autorités des Pays-Bas ont fait le choix de nommer publiquement leur agresseur. Ce n’est pas une pratique usuelle de la part de nos démocraties européennes. Ce changement de ton préfigure-t-il un changement de comportement vis à vis des états malveillants dûment identifiés ?

Je me suis réjoui de ce tournant, peut-être historique, lors de mon intervention à la conférence Hackit à Kiev la semaine dernière. Lorsqu’on dit que les régimes autoritaires, à l’instar de la Russie, font la guerre aux démocraties, ce n’est pas parce qu’ils espionnent, mais parce qu’ils visent à saper les fondements de nos sociétés et nous faire douter de nos valeurs en surutilisant les moyens existants de la lutte informationnelle.

Par le dénigrement et la désinformation, ils font pousser les partis nationalistes comme des champignons dans toute l’Union, incarnés par des leaders qui ne s’embarrassent pas de l’État de droit, comme on l’observe quand ils prennent le pouvoir.

Dans les prochains jours je rendrai visite à l’Anssi, Agence nationale de la sécurité des systèmes d’information et au commandement Cyber. Au Sénat, nous recevrons le directeur du centre d’excellence pour la communication stratégique Stratcom de l’Otan.

A la veille d’échéances électorales cruciales pour l’UE, il nous revient de tout mettre en œuvre pour protéger la démocratie et sensibiliser l’électeur sur une menace qui se fait de plus en plus pesante. Découvrir l’HebdoLettre n°109

Diner-débat au Procope, lieu même où les libertés publiques et individuelles ont été forgées par les philosophes des Lumières. Le combat demeure incessant pour préserver nos valeurs, seule la nature des menaces change.

Le lendemain même, la presse internationale titrait sur la cyberattaque russe déjouée par les services secrets hollandais et britanniques visant l’Organisation pour l’Interdiction des Armes chimiques (OIAC), basée à La Haye. Les espions s’étaient installés sur un parking dans un véhicule truffé d’électronique…

Hackers, groupes terroristes et états totalitaires ont aujourd’hui élu domicile dans l’espace numérique, où ils nous livrent une guerre continuelle et multiforme. Cette guerre hybride pourrait même conduire à la fin du numérique, à l’horizon 2020, prédisent gravement certains experts.

Dans les chartes informatiques des grandes entreprises, notamment dans le monde de la finance, les mesures sont désormais draconiennes : la clé USB est bannie et les salariés ont interdiction de se connecter aux réseaux sociaux, d’utiliser leur adresse personnelle ou même de lancer une requête (sauf sur des postes dédiés). Le but est de réduire la surface d’attaque, car les responsables informatiques admettent qu’ils n’y arrivent plus… voici l’état des lieux, résumé en quelques mots, qui nous a été rapporté par le représentant du ministère de l’Intérieur (*).

Pourquoi ne pas nommer un général pour la cyberdéfense qui s’exprimerait devant le Parlement au même titre que les chefs d’Etat-major des trois armes : terre, air, mer ?

Celui-ci nous a expliqué, de manière très pragmatique, à quel point nos outils nomades pouvaient être potentiellement des espions épatants ou des nids à virus.

J’ai alors demandé à l’assistance qui utilisait une application VPN (Virtual Private Network) sur son portable. Quelques mains éparses se sont levées. Pourtant, “c’est le b.a.-ba contre les requêtes malveillantes”, a souligné notre expert, d’autant qu’il y a d’excellents fournisseurs français. Ceux-ci proposent également des solutions de partage et de travail collaboratif pour les organisations.

Grâce à l’intervention suivante de Christian Daviot, nous sommes passés de la pédagogie de terrain aux aspects géostratégiques de la cyberguerre. Le chargé de mission Stratégie à l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a commencé par fustiger les états qui étaient les plus grands prédateurs sur internet.

Cela étant, chaque état agit selon sa propre culture, ce qui détermine des comportements bien différents même si les Chinois, à l’instar des Russes, Coréens du nord et Iraniens, font partie du groupe des quatre suspects habituels en cas de cyberattaque, précise-t-il.

Christian Daviot, chargé de mission Stratégie à l’ANSSI : “Le paradoxe est que les états veulent bâtir leur croissance sur le numérique, mais qu’ils développent, en même temps, des armes sophistiquées qui risquent de tuer le numérique”.

Aux États-Unis, le Cloud Act (**) qui a pris effet sous le président Trump permet à l’administration d’accéder aux données de n’importe quel Américain dans le monde et à toutes les données stockées chez des hébergeurs américains, sans avoir à le notifier aux personnes concernées.

Quant à la France, nous sommes purement défensifs. Il s’agit de protéger nos systèmes d’information (les “Opérateurs d’importance vitale”), car nous sommes universalistes et prônons la paix dans le numérique…

Dans un monde sans foi, ni loi, les grandes entreprises estiment que l’on ne peut plus continuer de la sorte. “Nous sommes le champ de bataille”, dit Microsoft, plaidant pour une sorte de convention de Genève du numérique. Mais il faudrait commencer par définir la notion de territoire numérique pour créer un cadre juridique. Une sacrée gageure !

Questions de l’assistance : Olivier Piton, conseiller consulaire États-Unis (Washington) et président de la commission des Lois de l’AFE (sur le vote électronique) / Roland Raad, conseiller consulaire Arabie Saoudite et président de l’UFE Al khobar (sur une éthique universelle) / Marie-José Caron, conseillère consulaire Danemark et élue AFE Europe du Nord (sur le champ d’action du secrétaire d’État chargé du Numérique).

Si les états voient d’un mauvais œil que le secteur privé se préoccupe de relations internationales, c’est pourtant la seule solution, soutient le responsable de l’ANSSI : il est temps de faire réfléchir collectivement les états, les ONG, le secteur privé et les citoyens… “mais nous n’en prenons pas le chemin”.

Au moment des échanges, la question du vote électronique a été soulevée. Les élus consulaires ont noté que “l’ANSSI ne peut pas techniquement garantir la sincérité du vote par internet, mais que la décision revient au politique”.

Nos deux brillants conférenciers ont montré à quel point nous vivons dans une insécurité chronique et combien le chemin sera long pour pacifier le cybermonde.

Les récentes prises de position de la Commission européenne prouvent pour le moins que l’on est conscient du danger et que seule une réponse au niveau de l’Union sera viable.

Mes remerciements à Bénédicte Pillet, présidente du CyberCercle, qui m’a aidé à construire cette soirée.

Je l’ai répété en qualité de rapporteur des crédits annuels de l’ANSSI (lire PLF), puis de rapporteur des crédits affectés à la cyberdéfense dans la loi de programmation militaire (lire LMP) : n’attendons pas de vivre un cyber 11 Septembre pour combattre ceux qui veulent miner les démocraties de l’intérieur.

Je suis d’accord avec le représentant du ministère de l’Intérieur pour laisser le mot de la fin à Confucius : “Celui dont le regard ne va pas loin verra les ennuis de près”.