Cybersécurité : auditions à l'Assemblée Nationale

Aujourd’hui je vous propose un retour sur deux auditions récentes qui ont eu lieu à l’Assemblée Nationale et plus particulièrement à la Commission de la défense nationale et des forces armées présidée par Guy Teissier.

Patrick Pailloux, directeur général de l’ANSSI et Luc Vigneron, PDG de Thalès ont en effet été interrogés sur les questions de cyber-sécurité par des députés. Ces deux auditions, très intéressantes vont me permettre de faire le point sur la politique de la France en matière de cyber-sécurité et sur ses capacités industrielles.

Les réponses de M. Pailloux nous éclairent davantage sur la vision de l’ANSSI de l’état de la cybersécurité en France, tant au niveau étatique qu’au niveau des entreprises. Le directeur de l’ANSSI a notamment insisté sur plusieurs points :

L’état de la menace. Le nombre de cyber-attaques augmente fortement depuis 2005. Elles sont motivées par : l’argent, l’espionnage ou des raisons politiques ou idéologiques. Ces dernières seraient de plus en plus fréquentes (affaire Wikileaks). Les attaques contre les SCADA (jurisprudence Stuxnet) sont également une nouvelle menace à ne pas sous-estimer.

Nous vivons à l’heure des cybermenaces et il est difficile d’être optimiste sur leur évolution. Depuis quelques années les attaques informatiques à des fins crapuleuses se multiplient. Ces attaques sont essentiellement de deux ordres : le vol d’informations sensibles et le sabotage. […] J’en viens maintenant au sabotage. On observe depuis de nombreuses années des défigurations de sites Internet ou des attaques visant à bloquer les sites pendant quelques heures ou quelques jours. En 2010, 7 000 sites répertoriés en « .fr » ont ainsi été touchés.

L’attaque contre Bercy. Elle a permis à l’ANSSI de se révéler au grand public et elle illustre également les capacités (et leurs besoins ?) techniques et humaines de l’agence pour gérer les crises suivant une cyber-attaque. Sa communication, qui a surpris au départ, est justifiée par l’ANSSI par le fait que l’Etat doit montrer l’exemple pour sensibiliser les entreprises notamment.

Cette opération a mobilisé autour de 30 à 40 personnels de l’ANSSI pendant deux mois, obérant sérieusement sa capacité opérationnelle.

Augmenter les capacités opérationnelles de l’ANSSI. Le communication en Conseil des Ministres du 25 mai dernier a en effet acté le besoin de créer un groupe d’intervention rapide pour les administrations et les opérateurs d’importance vitale (et même pour aider les alliés après une cyber-attaque).

Dans le cas où une compromission serait découverte, le groupe d’intervention rapide sera en mesure, à la demande et en appui des équipes de l’administration ou de l’entreprise, d’élaborer les plans de reconstruction des systèmes d’information compromis et de superviser leur mise en œuvre, voire d’y contribuer directement.

Mettre en place une politique de sécurité interministérielle. Fini un ministère = une politique de mot de passe. Toutes les administrations devront respecter une politique commune de sécurité des systèmes d’information. Les ministères devront également utiliser des produits de sécurité labellisés par l’ANSSI

En second lieu, il importe d’augmenter le niveau de sécurité des systèmes d’information de l’État par la mise en place d’une politique interministérielle de sécurité. Chaque administration possède en effet une politique de sécurité, c’est-à-dire un ensemble de règles qui doivent être respectées par les utilisateurs et les informaticiens. L’hétérogénéité des pratiques et des règles de sécurité actuelles nuit gravement à leur compréhension et à leur application. On gagnera beaucoup notamment en lisibilité et en compréhension si tout le monde ou presque applique un ensemble de règles simples, telles que la taille d’un mot de passe et la périodicité de son renouvellement.

La doctrine américaine de riposte militaire. Selon M.Pailloux, la France ne dispose pas de doctrine similaire de riposte précise vis-à-vis de telle ou telle attaque. Mais selon lui, une riposte militaire n’est pas à exclure selon le type d’attaque.

En matière militaire, à ma connaissance la France n’a pas de doctrine définissant une réponse précise à tel ou tel type d’attaque. Je ne peux donc pas proposer de réponse à cette question mais la posture américaine est logique. Les systèmes d’information sont les systèmes nerveux de nos sociétés, une attaque contre ceux-ci peut donc avoir les mêmes conséquences qu’un bombardement. Une réponse militaire n’est donc pas à exclure, en fonction naturellement du type d’attaque.

La difficulté d’identifier les attaquants. Le directeur général de l’ANSSI reconnaît qu’il est “extrêmement difficile” d’identifier le donneur d’ordre d’une cyber-attaque.

Il faut avoir à l’esprit que les réseaux informatiques ne connaissent pas de frontière. On ignore qui se trouve derrière car il est très difficile de remonter à la source, les pirates utilisant des serveurs différents et un système de rebonds informatiques. Le serveur de commande et de contrôle peut être manipulé d’un ordinateur portable connecté à un réseau Wifi public ou depuis un cybercafé. Il est donc extrêmement difficile de connaître l’identité du donneur d’ordre.

Quelle réponse juridique ? L’ANSSI ne peut pas, actuellement, faire couper Internet ou obliger à mettre en place des mesures de filtrage au niveau des FAI. Mais cela sera possible très prochainement quand le Paquet Telecom sera adopté par le Parlement.

L’ANSSI ne peut pas actuellement donner l’ordre aux fournisseurs d’accès d’effectuer des coupures ou de mettre en place des dispositifs de filtrage, mais cela deviendra possible, en cas de crise majeure, après l’adoption du paquet télécom.

La cyberguerre et la lutte informatique offensive. L’ANSSI n’a qu’un rôle défensif mais comme le rappelle M. Pailloux, le livre blanc sur la défense et la sécurité nationale prévoit que le Président de la République disposera de “capacités offensives” en cas de guerre. Celles-ci dépendront donc d’unités militaires exclusivement. La cyberguerre n’est pas encore réglementée au niveau international mais M.Pailloux annonce que des discussions internationales auront lieu à ce sujet en novembre.

L’ANSSI a une vocation exclusivement défensive. Cependant, le Livre blanc prévoit que le président de la République puisse disposer de capacités offensives dans le cyberespace en cas de conflit armé, mais elles relèvent alors des forces armées.

Quels sont les Etats en pointe en matière de cyber-sécurité et cyber-défense ? LA coopération internationale existe-t-elle ? Les Etats-Unis sont les moins en retard mais ils sont autant voir plus exposés que les autres. En Europe, l’Allemagne et le Royaume-Uni (ils y ont investi 650 millions de livres sterling récemment) semblent les mieux préparés. La coopération internationale reste assez faible dans l’ensemble. Les Etats rechignant historiquement à échanger sur un sujet aussi critique que la sécurité informatique. Les choses commencent à évoluer. Des coopérations bilatérales commencent à voir le jour. La France a notamment des accords de ce type avec le Royaume-Uni (prévu dans l’accord de défense signé l’année dernière) et l’Estonie. Au niveau UE, l’ENISA, l’agence européenne prend de plus en plus d’importance et devrait voir d’ici 2013 son rôle se renforcer. On remarque aussi que l’OTAN a révisé également très récemment sa politique de cyber-défense.

L’audition de M. Vigneron pour le groupe Thalès est beaucoup moins prolixe sur le sujet de la cyber-sécurité mais elle montre que les grands industriels français de défense se sont saisis du sujet et essaient de se positionner comme des leaders mondiaux du secteur. En effet, ce nouveau marché (en pleine croissance) est pour eux une opportunité fantastique en ces temps de réductions drastiques des budgets militaires. Comme pour Cassidian (ex EADS Défense et Sécurité), la cyber-sécurité est un des principaux axes de croissance pour Thalès. Luc Vigneron ne s’en cache pas et il prend l’exemple du Royaume-Uni qui, malgré une baisse de 8% de son budget équipements de Défense, a augmenté sensiblement les “fonds consacrés à la cyber-sécurité”.

Quant à la cybersécurité, elle constitue l’un des seuls secteurs où le marché est en croissance. D’ailleurs, le Royaume-Uni, qui a prévu une baisse de 8% de son budget d’équipement de défense, a annoncé une augmentation sensible des fonds consacrés à la cybersécurité. Ce marché est en synergie étroite avec la cryptographie, dont les technologies sont utilisées pour les équipements des armées et du Gouvernement. Nous sommes très présents sur ces marchés par le biais de Thales Communications France. Ainsi, le nouveau portable sécurisé TEOREM, utilisé par le Président de la République, est fabriqué dans notre usine de Cholet.

Les difficultés rencontrées par les autorités publiques – Gouvernements comme grands opérateurs d’infrastructures – face à la multiplication des menaces sur les grands systèmes d’information, tendent à accroître les besoins de protection et les technologies qui y sont associées. Nos équipes sont à la pointe des technologies dans ce domaine et travaillent en liaison étroite avec les équipes étatiques françaises en charge de ces questions.

Pour en savoir plus :