Chaque année, à Lille, a lieu un étrange manège. A l’occasion du Forum international sur la cybersécurité (FIC), convergent vers un même lieu commerciaux en costume, catalogues de vente sous le bras, et gradés en uniforme, décorations à la poitrine.

Lors de ce rassemblement – qui s’est tenu mardi 23 et mercredi 24 janvier –, la plupart des participants tombent d’accord : l’espace numérique est toujours plus dangereux, les cyberattaques toujours plus nombreuses et leurs dégâts toujours plus importants.

Si ce refrain angoissant, entonné plus fort que jamais cette année, conforte les argumentaires de vente des nombreuses entreprises spécialisées qui font le déplacement, il comporte une part de vérité. Les exemples de WannaCry et de NotPetya, deux programmes malveillants qui ont déferlé au printemps sur des centaines de millions d’ordinateurs causant d’importants dégâts, étaient ainsi sur toutes les lèvres.

Des questions de plus en plus régaliennes

Autorités et experts de plusieurs pays soupçonnent aujourd’hui ces deux vagues d’infection d’avoir été orchestrées par des Etats. C’est une petite musique de plus en plus entêtante dans le secteur : préoccupation croissante pour les autorités étatiques, les questions de sécurité informatique se traitent de plus en plus vues à travers le prisme régalien.

« Pour le moment, les dommages matériels et humains sont contenus, mais les risques ne cessent de grandir. Le terrorisme de demain sera “cyber” : pour semer la mort, on tentera de détourner l’approvisionnement électrique d’un hôpital. » Premier des trois ministres à discourir, mardi 23 janvier, sur la scène du FIC, Gérard Collomb n’a guère pris de pincettes.

Le ministre de l’intérieur a déploré que, pour faire face à ces menaces, « les compétences et les moyens des enquêteurs » soient « trop peu nombreux et trop éparpillés ». Il a donc annoncé une mission d’évaluation de tous les moyens et unités d’enquêtes numérique, sur tout le périmètre de son ministère.

Les contours de cette mission demeurent flous, mais elle devrait aboutir à des propositions « d’ici l’été ». Sur les 10 000 postes de policiers et de gendarmes que le gouvernement veut créer, 800 seront consacrés à la cybercriminalité. Le ministre veut également « consolider les moyens techniques de nos services de renseignement et d’investigation » sans préciser exactement les mesures envisagées.

1,6 milliard d’euros pour la guerre informatique

Même ton martial quelques heures plus tard, lorsque la ministre des armées, Florence Parly, est arrivée sur scène. Avec le numérique, « nos vies changent, nos modes de vie s’adaptent et avec, nos modes de combat » assène-t-elle, à peine installée derrière son pupitre. Il est bien loin le temps de la pudeur de l’armée française en matière d’offensives informatiques. Il est question aujourd’hui « de permettre à nos forces en opération de combiner arme cyber et action cinétique pour démultiplier les effets de nos interventions ». La création récente du commandement cyberdéfense, qui réunit tous les bataillons de combats et de protection numérique de l’armée, doit « pouvoir répondre à chaque instant à une attaque sur nos intérêts nationaux ».

Et la ministre d’expliquer que la loi de programmation militaire, bientôt présentée, prévoira de consacrer 1,6 milliard d’euros à la « lutte dans l’espace numérique ». Le contingent de combattants numériques sera lui porté à 4 000, un millier de plus qu’aujourd’hui.

M^me Parly a aussi évoqué ouvertement un chantier ambitieux : être capable, pour l’armée française, « d’attribuer les attaques ». Autrement dit, savoir qui se cache derrière une offensive informatique. Une entreprise techniquement difficile, mais préalable indispensable à une éventuelle riposte.

Un monde de plus en plus « cyberpunk »

Ces conflits numériques tendent à abolir « la distinction entre civil et militaire, entre temps de guerre et temps de paix. La cyberguerre n’implique pas des diplomates, mais des entreprises », a avancé le lendemain Nicolas Arpagian, directeur de la stratégie pour la filiale cyberdéfense d’Orange, lors de la conférence de clôture. Quoi de surprenant alors à ce que dans cet univers « cyberpunk », une entreprise réclame la traduction numérique de la convention de Genève sur le droit de la guerre ?

C’est l’initiative lancée il y a un an par Microsoft afin de pacifier le numérique et qu’est venu défendre John Frank, son lobbyiste en chef à Bruxelles. « Il y a une course à l’armement dans le cyberespace. Aujourd’hui, les Etats représentent la menace numéro 1 pour les citoyens et le secteur privé », a-t-il asséné. Le géant de Redmond veut davantage de collaboration entre entreprises, par exemple un partage d’informations sur les divers attaquants, mais aussi un accord entre Etats. Enfin, l’entreprise aimerait mettre sur pied une ONG qui mettrait en commun les informations recueillies de part et d’autre par les géants du numérique afin de pouvoir désigner le ou les responsables des attaques informatiques.

Si en 2018, on se demande si les entreprises peuvent amener la paix dans un espace de conflit, l’Etat n’a pas abandonné son rôle. Jusqu’où est-il prêt à aller pour parer les attaques informatiques ? C’est la question qu’a également soulevée Guillaume Poupard, le directeur de l’Agence nationale de sécurité des systèmes d’information (Anssi), responsable de la sécurité informatique de l’Etat français.

Quelles limites au pouvoir de l’Etat ?

Actuellement, cet organisme et ses quelques centaines d’experts de très haut niveau peuvent effectuer des contrôles au sein des systèmes de l’Etat ainsi que certaines entreprises sensibles. Pour détecter et stopper davantage d’attaques touchant la France, M. Poupard aimerait pouvoir intervenir plus largement, par exemple en exigeant des fournisseurs d’accès à Internet qu’ils stoppent certains types d’attaque transitant par leurs réseaux. Sauf qu’une telle intervention – inspecter et discriminer les contenus selon que l’on estime qu’il s’agit ou non d’une attaque – risque notamment d’aller à l’encontre de la neutralité du Net.

Lors d’une conférence de presse, Guillaume Poupard a identifié ce principe comme « une ligne rouge » à ne pas franchir, tout en le décrivant ironiquement comme l’obligation « pour un opérateur télécom de veiller scrupuleusement à ce que l’attaque aille de l’attaquant vers la victime ». « L’Anssi dispose de signatures d’attaquants [des éléments permettant de les reconnaître] très agressifs vis-à-vis des intérêts nationaux, mais nous n’avons pas la capacité de savoir où ils sont et ce qu’ils font » en dehors des zones privilégiées de l’Etat. « Ça me fait mal que ce soit des partenaires étrangers qui nous signalent des attaques contre des entreprises françaises, a-t-il déploré. Et surtout, je ne veux pas savoir pourquoi ils le savent ! »