Vers une doctrine « publique » pour l’emploi de capacités offensives dans le cyberespace

Après deux rapports déplorant les lacunes de la France en matière de sécurité informatique, le Livre blanc sur la défense publié en 2008 a pris en compte les « cybermenaces » et préconisé plusieurs mesures qui ont notamment abouti à la création de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et à l’élaboration d’une « stratégie nationale » en 2011.

Cela étant, il est apparu que les moyens alloués à la cybersécurité sont insuffisants. C’est du moins ce qu’il ressort du rapport que le sénateur Jean-Marie Bockel vient de rendre au Sénat. Selon ce dernier, les Etats-Unis consacrent 50 milliards de dollars sur la période 2010-2015 pour protéger leurs réseaux pendant que le Royaume-Uni va en dépenser 750 millions d’euros au cours des 4 prochaines années. Par comparaison, le budget annuel de l’ANSSI n’est que de 75 millions d’euros pour 350 agents…

Si beaucoup a été fait depuis 2008, il n’en demeure pas moins cela n’est pas encore assez. Aussi, le rapport du Sénat, qui veut faire de la « cyberdéfense » une priorité nationale, propose pas moins de 50 recommandations articulées autour de 10 points principaux.

Ces derniers concernent la formation d’ingénieurs spécialisés, le renforcement des prérogatives et des moyens de l’ANSSI, le soutien aux entreprises de sécurité informatique, la coopération internationale, ou encore, et cela risque de faire couler beaucoup d’encre et de salive, l’interdiction « sur le territoire national et à l’échelle européenne le déploiement et l’utilisation de « routeurs » ou d’autres équipements de cœur de réseaux qui présentent un risque pour la sécurité nationale, en particulier les « routeurs » et certains équipements d’origine chinoise », en particulier ceux fournis par ZTE et Huawei. A noter que les autorités américaines s’étaient inquiétées du rachat de la division « matériel informatique » d’IBM par le chinois Lenovo, en 2005, pour ces mêmes raisons.

Quoi qu’il en soit, depuis 2008, et malgré la prise en compte de cette menace, les réseaux informatiques gouvernementaux ont été la cible d’attaques à plusieurs reprises. Cela a été récemment le cas de ceux de l’Elysée, en mai dernier, du Sénat, en décembre 2011, et du ministère de l’Economie et des Finances.

Pour chacun des cas, la gravité des attaques a atteint des degrés divers, en fonction de l’identité de leurs auteurs, allant du simple déni de service, mode opératoire classique des « hacktivistes » aux motivations politiques à l’intrusion dans les systèmes avec le vol de documents, comme cela a été le cas pour Bercy, alors que la France prenait la présidence du G-8/G-20. Sur ce dernier point, il s’agit d’acteurs vraisemblablement étatiques.

Mais qui dit attaque, dit aussi riposte. Il y a 4 ans, le président Sarkozy avait annoncé que la France se doterait de « capacités défensives et offensives, (…) aussi bien (pour) toutes les administrations que les services spécialisés et les armées » dans le cyberespace.

Et Jean-Marie Bockel de préciser que « l’on peut parler de capacités offensives dès lors qu’il ne s’agit plus de protéger le système attaqué, mais d’identifier l’adversaire, de mettre à jour son mode opératoire, de le neutraliser, voire de lui appliquer des mesures de rétorsion. » Mais cela suppose « un cadre et une doctrine d’emploi, le développement d’outils spécialisés (armes numériques de réseaux, laboratoires technico-opérationnels), en préalable à la réalisation de véritables capacités opérationnelles, et la mise en oeuvre d’une formation adaptée et régulièrement actualisée des personnels ».

L’auteur du rapport défend ainsi le développement de capacités offensives en matière informatique pour trois raisons : « on se défend d’autant mieux que l’on connaît les méthodes et les moyens d’attaque et que de nombreux outils informatiques peuvent servir aux deux », « une telle capacité est très certainement de nature à jouer un rôle dissuasif vis-à-vis d’agresseurs potentiels » et comme le « cyberespace paraît inévitablement voué à devenir un domaine de lutte, au même type que les autres milieux dans lesquels interviennent nos forces armées, il est légitime d’en tirer les conséquences, une telle capacité pouvant avoir des effets, tant aux niveaux tactique, opérationnel que stratégique. »

Le développement de ces capacités doit se faire, pour M. Bockel, sur la « base d’un cadre juridique et d’une doctrine d’emploi bien définis » et être contrôle par le Parlement, en particulier par « délégation parlementaire au renseignement » en raison de son « caractère très sensible ».

Et le sénateur de s’interroger sur l’opportunité de rendre publics ou pas une « éventuelle doctrine ou du moins un discours » sur les ces capacités offensives dans le cyberespace. Le risque d’une telle initiative pourrait légitimer l’action des pirates et des cybercriminels, avance-t-il. Mais d’un autre coté, cela permettrait de « donner un fondement incontestable à ces capacités et, dans le même temps, de préciser à l’opinion publique certaines règles d’emploi » tout en ayant un possible « effet dissuasif » sur « de potentiels adversaires ».

Cette doctrine devrait, selon M. Bockel, répondre à ces questions : « Qui peut autoriser une cyberattaque? Dans quel cas le Président doit agir? Quels devraient être les rôles respectifs du Président et des militaires? Le centre de commandement doit-il intervenir de manière indépendante ou bien être intégré au sein du centre de planification et de conduite des opérations? »

Ces points pourraient être abordés par la commission présidée par Jean-Marie Guéhenno, afin que, sous réserve de recueillir un « large assentiment », cette doctrine « soit reprise dans le contenu du nouveau Livre blanc. »