Cyberguerre : Les Etats-Unis vont lancer le programme « citoyen parfait »

Imaginez les conséquences d’une attaque informatique sur les systèmes chargés de gérer le réseau électrique. Privé d’électricité, le monde tel que nous le connaissons fait un retour vers le passé : tous les appareils modernes de la vie quotidienne ne seraient plus en état de fonctionner et cela aurait des répercussions sur la vie économique et paralyserait un pays tout entier.

Cela étant, ce scénario a été celui d’une simulation de cyberattaque appelée « Cyber Shock Wave » (onde de choc sur Internet), menée en février dernier par le groupe américain indépendant d’études politiques Bipartisan Policy Center (BPC). Cet exercice a ainsi mis en lumière l’incapacité des Etats-Unis à contrer une attaque informatique contre les réseaux électriques, notamment en raison d’obstacles juridiques, la loi américaine ne permettant pas d’intervenir sur des infrastructures ciblées.

Dans un rapport publié en juin dernier, le Government Accountability Office (GAO), l’équivalent de la Cour des comptes française outre-Atlantique, s’est également inquiété des carences américaines en la matière. Selon le document, les Etats-Unis ne sont pas suffisamment armés pour protéger leur cyberespace et n’ont pas de stratégie claire pour contrer d’éventuelles attaques, alors même que plusieurs agences sont chargées d’y veiller.

L’une d’entre elles, en l’occurrence l’Agence de sécurité nationale (NSA), devrait cependant prendre un rôle plus important à l’avenir dans la protection des systèmes informatiques américains. En effet, selon le Wall Street Journal, un programme appelé « Perfect Citizen » (Citoyen parfait) serait actuellement en préparation afin de surveiller les grandes infrastructures publiques et privées dans le but de détecter des activités suspectes, voire des cyberattaques, visant par exemple les réseaux électriques et, plus généralement, les points sensibles.

Ce projet, qui aurait fait l’objet d’un contrat de 100 millions de dollars passé auprès de la société Raytheon, consisterait à la mise en place de capteurs aux points clés des réseaux informatiques. Cela permettrait, en outre, de constituer une base de données recensant toutes les tentatives d’attaque afin de mieux les analyser et les contrer le cas échéant.

Toutefois, ce programme ne va pas sans poser de problèmes… juridiques. En effet, la loi américaine interdit à la NSA de recueillir des données sans mandat sur le territoire américain. « Perfect citizen, c’est Big Brother (ndlr: nom du dictateur omnipotent du roman de George Orwell, 1984) » résume un courriel interne de Raytheon, cité par le Wall Street Journal.

Toujours est-il que le projet Perfect citizen répond au problème posé par les incursions fréquentes de pirates russes ou chinois dans les systèmes informatiques gérant le réseau électrique ou d’autres infrastructures clés.

Pour autant, en matière de cybermenace, l’avantage n’est pas souvent à la défense mais à l’attaque. « Vous m’avez contré 99 fois. Je vous attaquerais une 100e fois. Vous m’avez contré 999 fois, je vous attaquerais une 1.000e fois » a résumé Bruce Held, un responsable du département américain de l’Energie, lors de la dernière édition de la conférence organisée à Washington sur ce sujet. D’où sa recommandation de faire de la cybersécurité un enjeu statégique de la sécurité nationale et de prévenir les attaques éventuelles par la diplomatie, en préparant par exemple des mesures de sanctions économiques à l’encontre des pays qui seraient derrière une offensive dans le cyberespace.

Pour le Pentagone, c’est la dissuasion qu’il faudrait mettre en avant. C’est ce qu’avait laissé entendre, en mai dernier, James Miller, le sous-secrétaire américain adjoint à la défense. « Oui, nous devons penser à des réponses potentielles qui ne soient pas limitées au domaine informatique » avait-il alors déclaré. En clair, une agression contre les réseaux informatiques vitaux des Etats-Unis aurait pour conséquence des représailles militaires.

Seulement, les attaques informatiques ne sont pas forcément le fait d’un Etat précis (à condition qu’il soit possible de l’identifier correctement) mais aussi celui d’organisations criminelles. Dans ce cas, la prévention par la diplomatie comme la dissuasion ne seront nullement efficaces.