Stratégie

FIC 2014 : plaidoyer pour une cyberdéfense active

Fort d'un cadre réglementaire fixé et d'un plan de bataille lancé par le ministre de la Défense, la cyberdéfense se construit patiemment. Le FIC a été l'occasion de discuter de plusieurs sujets dont la cyberdéfense active.

PublicitéAprès le vote la loi de programmation militaire (LPM), les participants au Forum International de Cybersécurité à Lille attendaient les propos du ministre de la Défense sur la cyberdéfense. Ce dernier a prôné « un changement d'échelle dans la lutte contre les attaques cybernétiques ». Il faut dire que le ministère a été fortement visé en 2013 avec « quelque 780 attaques en ligne contre 420 l'année précédente ». Dans la poursuite de la LPM, il a annoncé « le lancement dans les prochaines semaines d'un pacte défense cyber ».

Ce plan comprend une augmentation des effectifs dédiés à cyberdéfense notamment au sein du Calid (Centre d'analyse en lutte informatique défensive) qui devrait voir son effectif passé à 120 personnes d'ici à 2019 tandis que la DGA verra ses effectifs dédiés à la cyberdéfense progresser pour atteindre 450 personnes. Ces cybermilitaires seront selon M. Le Drian capables de « protéger, détecter, réparer et répliquer ». Ce pacte implique aussi un investissement conséquent d'un milliard d'euros sur la même période. Le volet formation n'est pas oublié avec la création d'un pôle d'excellence cyber qui sera situé à Rennes. Le ministre s'est défendu d'avoir favorisé la Bretagne (sa terre d'élection), mais a indiqué que Rennes regroupait déjà l'école de transmission et un centre de la DGA auquel s'ajoute la proximité de l'école militaire Saint Cyr Quoetquidan.

Vers une cyberdéfense plus active ?

Après les orientations ministérielles, les acteurs institutionnels et privés présents au FIC ont discuté de plusieurs sujets dont celui de la cyberdéfense active ou proactive. Le colonel William Dupuy, chef du Calid cité précédemment, a déjà défini son rôle et sa conception de la cyberdéfense, « nous disposons des mêmes outils pour faire de la sécurité des systèmes d'informations, mais nous n'avons pas les mêmes orientations. Nous travaillons sur le cyberespace où les attaquants s'adaptent en fonction des défenses qu'ils rencontrent, il faut donc être plus réactif. De plus, nous sommes en contact permanent avec les opérations sur le terrain ».

Une approche qui « déteint dans la société civile » constate Yves Le Floch, directeur du développement de la cybersécurité chez Sogeti, qui parle plus facilement de « cybersécurité active, c'est-à-dire de réaction en temps réel de, surveillance des réseaux, de gestion de risques et des vulnérabilités ». Garance Mathias, avocate, précise que « le droit n'appréhende pas la notion de risques », tout en constatant que la cybercriminalité est encadré juridiquement aussi bien au niveau européen qu'au niveau français.

La cyberdéfense active a aussi des vélléités de vouloir passer en mode offensif. Dans les pays anglo-saxons, le terme « hack back » est utilisé pour cela. Mais cela pose plusieurs problèmes. Maître Mathias souligne que « la cyber légitime défense » n'existe pas encore, même s'il y a des travaux menés dessus. M. Le Floch pointe l'absence d'efficacité d'une telle démarche, « il est difficile de trouver l'origine d'une attaque qui passe de serveur en serveur ». Un avis partagé par Le colonel William Dupuy, « cela pose effectivement des questions juridiques, mais également sur les rapports avec les attaquants. Ces derniers peuvent réagir plus violemment ». Le responsable de Sogeti souligne que « les investissements pour mener des offensives seraient mieux utilisés à renforcer les défenses ».