Crise cyber : pour une meilleure mobilisation autour des véritables priorités

Du risque cyber

La malveillance en général, l’envie de se saisir de la richesse d’autrui fait partie de la nature humaine depuis toujours. On peut le regretter mais c’est ainsi.

Il y a deux millénaires, les richesses étaient transportées par navire, et les pirates en mer attaquaient les bateaux pour s’en saisir. Plus tard, les bandits de grand chemin attaquaient les diligences, les trains, les convois logistiques dans le même objectif. Aujourd’hui la façon la plus simple et lucrative de se saisir d’une richesse appartenant à autrui et d’en tirer profit, à distance, de manière souvent très anonyme, robotisée, à faible coût est de s’en prendre aux systèmes d’information. Ainsi, dans un Comex d’entreprise, la seule personne qui porte et qui concentre le flux de malveillance dirigée contre l’organisation toute entière est le patron du numérique.

Le vol physique, les menaces, les détournements de fonds physiques, etc.. sont en nature et en niveaux bien moins graves que la malveillance informatique qui s’applique tous les jours sur toutes les entreprises, en masse. Mécaniquement la quantité de malveillance que nous subissons évolue à la hausse avec l’augmentation de la masse informatique et de l’espérance de gains, financier ou politique. Autrement dit, le pire est devant nous, et il n’est que là.

À ce stade on peut théoriser le comportement préjudiciable à une bonne mobilisation générale : le « syndrome du trottoir » et le « syndrome du couloir ».

Imaginons que vous vous promeniez sur un trottoir pour aller faire vos courses et que sur le trottoir d’en face un autre adulte tient par la main un enfant en bas âge, lequel lui échappe soudainement. Un camion arrive à vive allure : que faites-vous ?

Tout dépend bien entendu de la distance à parcourir, de l’état de vos jambes, de votre perception du risque, mais aussi de votre éthique personnelle et votre sens des responsabilités. Ne pas traverser la rue pour protéger l’enfant alors que vous pourriez le faire sans risque au motif que ce n’est pas le vôtre, c’est le syndrome du trottoir. Le niveau du risque tel que vous le percevez ne vous motive pas suffisamment, il suffit pourtant de réduire la largeur de la rue, que le camion soit suffisamment loin, qu’il n’y ait pas un seul enfant mais plusieurs et vous traverseriez la route pour intervenir. Tout est donc une affaire de mobilisation.

Sur une crise de type cyber, si chacun joue dans son coin, alors que l’importance de la crise ne fait que croître et finira de manière systémique par toucher tout le monde, alors nous sommes individuellement et collectivement frappés par le syndrome du trottoir.

On peut définir également le « syndrome du couloir » : imaginons que vous soyez alignés à une course d’athlétisme, disons un 100 m. Au coup de revolver, vous courez le plus vite possible pour arriver le premier, parce que c’est la règle. Mais si on change la règle et que le temps retenu pour battre le record est celui du dernier, alors si vous avez les meilleures jambes, l’intérêt général vous commande de rester à l’arrière et d’encourager les moins bons coureurs qui sont devant vous. Autrement dit plus le défi est systémique plus les meilleurs acteurs doivent s’occuper des moins performants, les premiers doivent aider les derniers.

Lors du passage à l’an 2000, certains acteurs, en France comme ailleurs, n’ont pas traversé la rue où ont fait la course en tête sans se préoccuper du résultat collectif. C’était le principal défi, celui de mettre en place une solidarité dans un monde où par définition le business et les règles de la concurrence prévalent, une sorte d’esprit d’équipe autour d’un projet commun, dans l’unique objectif de régler ensemble les problèmes pour le bénéfice de tous. J’y ai passé sept ans, croyez-moi, ça n’a pas été simple.

À ce stade, on peut donc compléter les excellentes propositions en cours en émettant les suggestions suivantes.

La première est d’établir, éventuellement par la loi, un principe de prévention et de solidarité dans la lutte contre la malveillance informatique. On établit donc juridiquement le même type d’obligation morale et juridique qui pèse sur chaque acteur, comme l’obligation d’assistance à personne en danger en quelque sorte. Plus on est expert plus on a le devoir au moins d’alerter : « quand on sait et qu’on peut, on doit ».

La seconde proposition est de mettre en place un statut juridique du RSSI, comme nous l’avons fait pour le délégué à la protection des données (DPO), qui devra s’enregistrer auprès des autorités (vraisemblablement l’Anssi) après vérification du cursus, lequel donnera droits et obligations : le droit d’accéder à une plate-forme sécurisée tenue par l’Anssi dans laquelle chacun chaque RSSI habilité peut retrouver l’ensemble des bonnes pratiques, tous les statuts de mises à jour, l’ensemble des outils permettant de d’animer correctement la mission RSSI qui lui est confiée, les incidents en cours, et les meilleures pratiques pour les résoudre etc, mais en temps réel... Chaque RSSI habilité aurait également l’obligation de rentrer dans cette même base tous les éléments permettant d’aider la communauté en matière de nouvelles cyberattaques, bonne solution mise en place, etc. Une IA dédiée tournant localement permettra de mettre de l’ordre dans les données afin de présenter des contenus directement concrets, opérationnels et facile à comprendre pour les RSSI. Si un RSSI ne joue pas le jeu, il sera naturellement exclu de cette communauté. Ce fonctionnement deviendrait rapidement une exigence des normes, des assureurs, etc., dont le défaut pourra donc entrainer la responsabilité du RSSI et in fine du mandataire social.

Troisième proposition : Proposer aux associations professionnelles du secteur du numérique et de la cyber sécurité la possibilité d’adopter un statut spécifique « cyber solidaire » les obligeant à organiser le partage d’information relatif à la cyber défense : prévention et réaction sur incident parmi leurs adhérents, et d’en informer la plate-forme sécurisée de l’Anssi. En cas de défaut, ces associations seraient économiquement voire pénalement sanctionnées.

Quatrième Proposition : organiser la veille, la réaction, l’installation des SOCs, de manière permanente H24, en impliquant largement les outre-mer. En effet, la France dispose avec ses outre-mer de territoires nationaux agréablement répartis autour du globe du point de vue du décalage horaire. La Polynésie française a pris l’initiative en 2017 avec l’école d’ingénieurs Cyber ENSI BS basés à Vannes de tester la faisabilité de la mise en place d’équipes cyber dans les outre-mer afin de défendre les entreprises situées en dans l’Hexagone.

Des exercices ont eu lieu, les solutions techniques ont été testées, le premier opérateur est déjà sur place (Advens), l’initiative a été présentée au Président de la République en 2021 et portée à la connaissance de la ministre du numérique Madame Anne Le Hénanff. Il faut maintenant avancer, faciliter l’installation des SOC dans l’ensemble des outre-mer de façon à sécuriser soit en direct soit via les prestataires l’ensemble des systèmes d’information des entreprises de façon étanche H24 en utilisant des technologies qui existent déjà.

Cette installation peut largement être rentabilisée en la déployant dans un second temps pour les autres pays de l’union européenne qui ne disposent pas de territoires d’outre-mer. Ainsi, il doit être possible de mettre en place une activité économique très importante dans ces territoires, qui viendra soutenir les économies locales au moment où le tourisme finira par décliner, dans une logique de cybersécurité européenne, souveraine. Tout a été testé, ça marche mais à petite échelle il faut le déployer de manière urgente.

La cinquième proposition consiste à organiser de manière obligatoire un exercice cyber à l’échelle nationale ne visant pas une cyberattaques en particulier et la façon de résoudre les difficultés (le dernier exercice animé par l’Anssi est remarquable de ce point de vue), mais une mise sous tension de la coordination et de l’esprit de solidarité pour vérifier que l’information depuis sa détection circule vite et bien dans les meilleurs délais à fin de protéger immédiatement l’ensemble des systèmes d’information à commencer par ceux de l’État et des entreprises et organisations. Cet exercice de crise serait beaucoup plus un exercice de coordination et de gestion du temps qu’un démonstrateur technologique face à une cyberattaque donnée.

La sixième proposition serait une obligation légale de débriefer les incidents et les crises cyber, sur le modèle de l’aéronautique. À chaque crise significative, un débriefing serait réglementairement et obligatoirement effectué (sans doute par l’Anssi), tenu de produire un rapport, mis à disposition dans la plate-forme sécurisée évoquée ci-dessus, introduite dans le système d’apprentissage de l’intelligence artificielle locale de cette même plate-forme afin d’en tenir compte dans les recommandations automatisées qui pourront être mises à la disposition de tous en cas de cyberattaque large. 

Enfin, la septième et dernière proposition visera à déployer au plan européen l’ensemble de ces dispositifs, notamment le déploiement dans les outre-mer, à l’attention des autres pays de l’Union Européenne dans une stratégie délibérée de mise en place d’un plan de cyber défense et de cyber réponse à l’échelle de l’Union européenne, dans une recherche délibérée d’indépendance et de souveraineté.

La France, par sa configuration géographique, la qualité de son écosystème cyber, et, on peut en formuler au moins le vœu, la voix des différentes expertises et individualités disponibles dans le pays, devrait pouvoir nous rendre plus robuste, à la veille de très probables cyberattaques de masse conduites par des intelligences artificielles qui, de toute façon n’attendront pas que nous soyons prêts avant.de se propager.

Bien mené, ce déploiement à l’échelle de l’Europe, en mettant en œuvre nos infrastructures, doit permettre de financer entièrement ces opérations (et même plus…), et d’apporter des ressources à nos territoires ultramarins.

Voici donc ces quelques propositions que j’apporte modestement aux débats dans l’objectif de renforcer la cyberdéfense de notre pays, basés sur la solidarité et l’esprit d’équipe qui, il y a 25 ans nous ont permis de réussir une opération de mobilisation autour d’un risque numérique de grande ampleur (10Md€, 40 000 personnes pendant 7 ans, c’est à ma connaissance la plus grande crise numérique à ce jour). Je ne peux pas croire que tous ces efforts déployés à l’époque ne puissent pas resservir un jour.

Et, comme le disait léonard de Vinci, « ne pas prévoir, c’est déjà gémir… ». A bon entendeur…