Stratégie

Grand Théma : penser la résilience IT à l'heure des chocs géopolitiques

Henri d'Agrain du Cigref, Thibaud Binétruy de Suez et Intercert, Guy Duplaquet de la Dinum. (de G à D)

Dans le cadre de notre Grand Théma CIO - Le Monde Informatique « Penser la résilience IT à l'heure des chocs géopolitiques », nous avons reçu Henri d'Agrain du Cigref, Thibaud Binétruy de Suez et d'Intercert et Guy Duplaquet de la Dinum. L'occasion d'interroger leur perception de l'impact des remous géopolitiques actuels sur les stratégies IT.

PublicitéBouleversements continus de la politique américaine, conflits entre l'Ukraine et la Russie, Israël et la Palestine, la Chine et Taïwan, attaques des Houthis dans le Canal de Suez... Tous ces événements déstabilisent la géopolitique mondiale, mais ils rebattent aussi les cartes en matière d'attaques cyber ou de déstabilisation des systèmes d'information. Nous avons donc souhaité consacrer notre dernier Grand Théma CIO - Le Monde Informatique aux nouvelles façons de « penser la résilience IT à l'heure des chocs géopolitiques ». Et pour en parler, nous avons convié Henri d'Agrain, délégué général du Cigref, Thibaud Binétruy, responsable CSIRT de Suez et administrateur d'Intercert, et Guy Duplaquet, responsable du département Infrastructures et services opérés de la Dinum, responsable notamment de RIE, le réseau interministériel de l'Etat.

Regardez notre émission « Penser la résilience IT à l'heure des chocs géopolitiques »

C'est le délégué général du Cigref qui a ouvert la discussion, alors que l'association vient de consacrer un rapport au sujet, publié en mars dernier. Henri d'Agrain confirme ce qu'une déclaration récente du PDG de TotalEnergies, Patrick Pouyanné, à propos des clouds américains laisse entrevoir, à savoir que la géopolitique du numérique s'invite aujourd'hui jusque dans les Comex. Une bonne nouvelle pour le délégué général du Cigref. Mais sur l'un des sujets d'inquiétude majeure, l'évolution de la politique américaine, il rappelle par ailleurs que « la dégradation des relations entre les États-Unis et l'Union européenne est un scénario que le Cigref avait déjà envisagé dans ses rapports d'orientation stratégique. Nous faisons face aux conséquences économiques, juridiques et géopolitiques de ces dépendances technologiques que l'UE a laissé s'installer depuis une trentaine d'années ».

« Nous faisons face aux conséquences économiques, juridiques et géopolitiques de ces dépendances technologiques que l'UE a laissé s'installer depuis une trentaine d'années », Henri d'Agrain, délégué général du Cigref.

Et pour le délégué général du Cigref, ce sujet doit être traité à la fois avec des politiques publiques européennes cohérentes et des actions individuelles des entreprises. Pour ces dernières, il s'agirait d'hybrider davantage les SI pour ne pas reposer uniquement sur des solutions nord-américaines, sans toutefois sortir brutalement de celles-ci pour s'engager sur des solutions européennes, si tant est qu'elles existent. Quant aux pouvoirs publics européens, ils disposent pour Henri d'Agrain de 4 leviers sur lesquels jouer, mais de manière coordonnée : la régulation (comme le digital markets act ou le schéma européen de certification des services cloud), la mobilisation de l'investissement public, la commande publique et enfin, une fiscalité incitant à placer les données et traitements sensibles sur des offres de cloud de confiance certifiées EUCS high+, soit l'hypothétique déclinaison du SecNumCloud hexagonal.

PublicitéNotre deuxième invité, Thibaud Binétruy, responsable du CSIRT (computer security incident response team) de Suez et administrateur d'Intercert, observe au quotidien l'évolution des attaques sur les SI, entre autres celles liées aux mouvements géopolitiques. Pour lui, difficile de savoir ce qui se passera réellement en cas de dégradation des relations avec les États-Unis, mais, quoi qu'il en soit, une question de confiance se pose. Plus généralement, il rappelle que « de plus en plus, les conflits armés traditionnels sont appuyés par des conflits cyber. L'Ukraine est même dépeinte comme un terrain de jeu pour certains groupes étatiques russes qui viennent expérimenter leurs "armes" cyber pour déstabiliser une nation en ciblant l'énergie, l'eau, les télécoms, etc. ».

« De plus en plus, les conflits armés traditionnels sont appuyés par des conflits cyber », Thibaud Binétruy, responsable du CSIRT (computer security incident response team) de Suez et administrateur d'Intercert.

Le responsable du CSIRT de Suez explique également comment certains États viennent compromettre des SI, non pour les détruire, mais pour y installer des agents cyber dormants, qui seront utilisés ultérieurement, en cas de dégradation des relations entre les partis concernés. Autant de menaces qui, de plus, ciblent désormais les environnements OT sur lesquels une réponse à incident classique n'est pas possible, car l'on parle de risques humains ou environnementaux. Thibaud Binétruy observe aussi une frontière de plus en plus floue entre cybercriminalité « classique » et menaces venant d'attaquants étatiques, usant de ransomware as-a-service, ou propageant de fausses informations sur des attaques inexistantes. Autant d'éléments qui ont été observés de près durant les JOP 2024, même si aucun n'a atteint sa cible. Et le responsable du CSIRT de Suez le rappelle : « Vivre des incidents, ce n'est pas honteux ! » Et de plaider pour des partages d'information au sein de groupes d'échange de confiance qui protègent la confidentialité des membres.

Notre dernier invité, Guy Duplaquet, est responsable du département Infrastructures et services opérés de la Dinum. Il a en particulier la charge du RIE, le réseau interministériel de l'État. Une infrastructure qui s'est vu affecter 40 M€ en fonds propres et via le volet numérique du plan de relance France 2030 pour le renforcement de sa résilience. « Les efforts ont porté en particulier sur l'épine dorsale, le sous-système qui permet de relier l'ensemble des centres de production informatique critiques pour le fonctionnement des applications clé du SI et les systèmes de communication de l'État », précise Guy Duplaquet. Le tout s'appuie sur une volonté d'autonomie stratégique, « validée par les évolutions géopolitiques récentes, rappelle le responsable de la DSI de l'État. En particulier, avec la capacité à substituer un partenaire à un autre en cas de défaillance, quelle qu'elle soit ». La boucle optique d'origine du RIE a ainsi été doublée. « Nous avons doublé le nombre d'opérateurs optiques en ajoutant Teralpha à Renater, doublé le nombre d'équipementiers optiques et le nombre d'équipementiers de routeurs d'entreprise en adjoignant Juniper à Cisco ». Un choix délibéré de double source. Et Guy Duplaquet n'écarte d'ailleurs pas l'idée, au vu de la situation américaine, d'intégrer un équipementier européen comme Nokia dans la boucle.

« Le renforcement du RIE, en particulier avec la capacité à substituer un partenaire à un autre, est une des composantes de l'autonomie stratégique recherchée par l'État. Or, elle a été validée par les évolutions géopolitiques récentes », Guy Duplaquet, responsable du département Infrastructures et services opérés de la Dinum.

Mais le RIE n'est pas un réseau fermé. L'État héberge certaines de ses applications les moins sensibles sur des cloud externes, labellisés SecNumCloud. Une démarche qui nécessite un appairage entre les 200 réseaux logiques du RIE et les infrastructures des acteurs cloud. « Nous devons donc prolonger le cloisonnement interne vers les acteurs SecNumCloud. Cela devrait être chose faite au moins pour un d'entre eux d'ici à la fin de l'année ».

Enfin, le RIE est aussi ouvert à Internet. Et si sa plateforme d'accès au réseau mondial a longtemps été peu inquiétée, elle a subi une importante attaque DDoS durant 48 heures il y a deux ans. « Un tiers de l'investissement dans la résilience du réseau consiste à moderniser l'accès à Internet. Nous mettons en place des fonctions supplémentaires de sécurité. Mais nous avons aussi créé un CSIRT qui assure une astreinte 24/7. La complémentarité entre le système technique et une équipe d'ingénieurs spécialisés est essentielle ».

Regardez notre émission « Penser la résilience IT à l'heure des chocs géopolitiques »