Paris assume enfin ses capacités offensives dans un domaine que l'on n'ose plus appeler virtuel. La cyberguerre est prête, et la France serait "bien placée".
Le Forum international de la cybersécurité (FIC) de Lille les 21 et 22 janvier a été l'occasion d'un petit duel entre Manuel Valls et Jean-Yves Le Drian, mais il a surtout illustré la nouvelle posture de la France en matière de cyberguerre. En effet, pour la première fois, les officiers et porte-parole officiels ont ouvertement assumé l'existence d'armes informatiques opérationnelles au sein de l'appareil militaire français. "Nous sommes opérationnels, et nous avons fait de gros progrès", nous confie Guillaume Poupard, ingénieur en chef de l'armement et responsable du pôle sécurité des systèmes d'information à la Direction générale de l'armement (DGA). "Le livre blanc de la Défense de 2008 a posé des bases de travail, vous imaginez bien que les choses ont bougé depuis six ans !" ironise-t-il. Ce document prévoyait en effet le développement de nouvelles capacités cyber.
"L'État assume ce choix", nous confirme le contre-amiral Arnaud Coustillière, officier général responsable de la cyberdéfense au ministère de la Défense. En opération, "si nous pouvons obtenir l'effet souhaité avec une arme informatique, c'est mieux", avance-t-il en évoquant la possibilité de "neutraliser des radars avec l'arme informatique plutôt qu'avec un missile". "Tout cela est parfaitement compatible avec le droit des conflits armés, avec le droit d'intervention humanitaire, et nous avons eu des discussions avec le Comité international de la Croix-Rouge (CICR) : ils ne sont pas choqués par ces choix", précise le marin.
Pour riposter, il faut identifier l'agresseur
Mais tout n'est pas simple dans le domaine cyber, nouveau pour les forces armées autant que pour le reste de l'humanité. "Le plus compliqué dans le cyber, ce n'est pas de faire un exploit technique, c'est de le faire à l'endroit voulu, à l'instant voulu, avec le résultat voulu, et de garantir l'effet au décisionnaire : le politique", explique le contre-amiral Coustillière. Car en cas de cyberguerre, c'est évidemment le politique qui conserve le pouvoir de décision. Mais pour qu'il puisse l'exercer, encore faut-il pouvoir identifier l'agresseur, qui se cache souvent par de multiples pirouettes via des relais informatiques dans le monde entier. "Aujourd'hui, nous pouvons dire au politique qui est à l'origine d'une attaque, mais nous ne pouvons pas le prouver", explique Guillaume Poupard. Une différence très subtile, qui peut poser problème : "Cela suffit pour déclencher une décision politique, mais cela ne suffit pas pour justifier une riposte aux yeux de la communauté internationale", explique-t-il encore.
Les fabricants des armes informatiques françaises sont toutefois très discrets. "Je ne peux pas vous dire où les armements cyber sont développés : nous n'avons aujourd'hui aucun intérêt à le dire", se défend Guillaume Poupard. Et pour avoir une idée du nombre de personnes impliquées dans le secteur, il faudra repasser : "Je peux simplement vous dire que tout dépend du ministère de la Défense dans ce domaine", glisse-t-il. "La France est bien placée dans l'échiquier, elle est dans les cinq ou six meilleurs mondiaux", nous glisse un expert privé. Comprendre : nous sommes juste derrière le trio de tête (États-Unis, Russie et Chine), la Grande-Bretagne et peut-être Israël. Si c'est vrai, nous avons assurément fait de gros progrès.
Rencontre avec le contre-amiral Coustillière, officier général "cyber" au ministère de la Défense
Le contre-amiral Arnaud Coustillière, patron de la cyberdéfense française, lors du Forum international de la cybersécurité (FIC) à Lille, le 22 janvier 2014. © Guerric Poncet / Le Point.fr
Depuis 2008, le gouvernement français a lancé un programme d'armement informatique, afin de mieux répondre aux menaces "cyber", de plus en plus pressantes. Si les livres blancs de la Défense de 2008 et de 2013 annoncent bien - au futur - la création d'armes offensives, l'État avait du mal à évoquer ces sujets. Mais au Forum international de la cybersécurité, qui s'est tenu les 21 et 22 janvier 2014 à Lille, nous avons pu interroger le contre-amiral Arnaud Coustillière. Il est l'officier général responsable de la cyberdéfense au ministère de la Défense, un poste créé en 2011.
Quel est son rôle ? Quelles sont les armes informatiques françaises ? Peut-on imaginer une dissuasion cyber sur le modèle de l'arme nucléaire ? Rencontre, en deux parties (la seconde partie sera publiée jeudi matin), avec "le" monsieur cyberguerre en France.
Quel est votre rôle au sein de la cyberdéfense française ?
Arnaud Coustillière : J'ai deux responsabilités : d'une part, je dois coordonner le renforcement des armées dans le domaine cyber. D'autre part, j'appartiens à la partie opérationnelle, pour défendre le système d'information du ministère de la Défense, et mener des cyberopérations en soutien des opérations militaires. Le pacte Défense Cyber, annoncé par Jean-Yves Le Drian pour mobiliser l'ensemble du ministère, montre à quel point c'est une très haute priorité.
Votre rôle est-il complémentaire de celui de l'Agence nationale de la sécurité des systèmes d'information, l'Anssi, qui dépend de Matignon ?
Oui, mais nous avons deux périmètres différents : l'Anssi est l'autorité nationale qui relève du Premier ministre. En collaboration avec l'Anssi, je prends la défense du système d'information du ministère de la Défense. Cela inclut les systèmes de communication et de commandement pour les opérations, mais aussi toute l'électronique embarquée dans nos systèmes d'armes, dans les avions, dans les bateaux. Ce n'est donc pas seulement une protection contre le vol d'informations classifiées défense.
Subissez-vous beaucoup d'attaques ?
Nous parlons d'incidents ciblés. Nous prenons en charge un incident à partir du moment où l'opérateur n'a pas les moyens nécessaires pour gérer la crise. Nous avions subi environ 400 incidents en 2012, contre 780 incidents traités en 2013. Les attaques visent souvent les sites de communication de la Défense : je qualifierais plutôt ces actions de cybercontestation, d'activisme, car ce ne sont pas des attaques contre notre composante opérationnelle. Ces dernières sont rares, nous en subissons quelques-unes dans les domaines où nous sommes très mal défendus, par exemple pour des réseaux parfois déployés trop vite. Depuis que nous avons commencé à observer plus attentivement nos réseaux, nous avons vu beaucoup plus de choses et avons donc transformé notre niveau de vigilance.
Si la cyberdéfense est parfaitement assumée, le développement et l'utilisation d'armes informatiques offensives sont peu assumés en France. Pourquoi ?
Les armes offensives sont très clairement présentes dans le livre blanc de la Défense de 2008. Dans celui de 2013, l'on parle de capacités tant défensives qu'offensives. Donc, l'État assume ce choix. Mais il ne faut pas faire de fantasme derrière l'arme offensive ! L'arme offensive est simplement une technique, qui demande un certain savoir-faire. Après, tout dépend de la structure dans laquelle nous allons l'employer. Pour être clair, le cadre d'action des services de renseignement n'est pas le cadre d'action des forces armées en uniforme. Quand nous engageons des forces armées en uniforme, cela se fait en général dans le cadre d'une résolution de l'ONU. Quand nous avons le droit de tirer des missiles, de faire usage du feu, si nous pouvons obtenir l'effet souhaité avec une arme informatique, c'est mieux. Par exemple, si nous pouvons neutraliser des radars avec l'arme informatique plutôt qu'avec un missile, c'est mieux. Tout cela est parfaitement compatible avec le droit des conflits armés, avec le droit d'intervention humanitaire, et nous avons eu des discussions avec le Comité international de la Croix-Rouge (CICR) : ils ne sont pas choqués par ces choix.
Quel est le principal défi de la cyberguerre offensive ?
Le plus compliqué n'est pas de faire un exploit technique, c'est de le faire à l'endroit voulu, à l'instant voulu, avec le résultat voulu, et de garantir l'effet au décisionnaire : le politique.
La France a-t-elle défini une doctrine d'emploi de ces armes informatiques offensives ?
Il y a une prédoctrine dans le livre blanc de la Défense qui positionne l'arme informatique offensive comme étant l'un des moyens à disposition de l'État pour répondre à une agression informatique. La doctrine de l'État pour répondre à une attaque stratégique informatique, c'est : 1. mettre en place la posture défensive sous l'égide de l'Anssi. 2. En cas d'agression cybernétique stratégique, l'État français se réserve le droit de répondre par tous les moyens, y compris ceux du ministère de la Défense, sans préciser quels moyens. Cela peut donc être le porte-avions, positionné près d'un pays pour lui envoyer un message fort. Dans ce contexte, l'arme informatique sert à aider à caractériser la menace et à l'identifier, et est un moyen supplémentaire à la disposition des forces armées.
Concrètement, comment une riposte se déroulerait-elle ?
Sur les détails de l'organisation : comment nous agissons, avec qui, cela relève du classifié défense. Je peux simplement vous dire que les doctrines et les cadres d'emploi existent.
Pensez-vous que l'on arrive un jour à une dissuasion cyber ?
Équivalente à la dissuasion nucléaire, je n'y crois absolument pas.
Parce que les conséquences ne sont pas perçues comme suffisamment catastrophiques ?
Non, ce n'est pas le problème. Les fondements de la dissuasion nucléaire n'existent pas dans le cyber. En France, le nucléaire est une arme de non-emploi, censée établir un dialogue de la terreur entre gens raisonnables. Le cyberespace est totalement gris. Les armes cyber sont des armes d'emploi, avec une prolifération galopante, et ses acteurs sont très divers. La dissuasion nucléaire a été établie à partir du moment où il y a eu un effet catastrophique qui a terrorisé le monde : Hiroshima et Nagasaki. Cette espèce de dialogue par la terreur a pu stabiliser le monde. L'attaque informatique de grande ampleur qui terrorisera le monde, et qui fera dire "plus jamais ça", n'a pas eu lieu. Est-ce qu'elle aura lieu ? Je n'en sais rien.
Et si un Hiroshima informatique se produit, la dissuasion informatique peut-elle s'installer ?
Non, et personnellement je n'y crois pas du tout, même si nous manquons de recul. Ce grand soir ne peut pas arriver tout seul. On est tellement mondialisés que je n'y crois pas. En revanche, une attaque catastrophique peut se produire sur des infrastructures vitales. Surtout sur celles dont on sait qu'elles peuvent se limiter à un pays. L'électricité, c'est compliqué, car cela peut s'étendre aux pays voisins, par effet château de cartes. En revanche, l'eau, les transports, tout ce qui est opérateurs réseaux : ces secteurs peuvent prendre place dans une escalade globale et entraîner des dégâts considérables.
Vous imaginez donc un scénario complexe...
Oui, nous pouvons plutôt penser à une déstabilisation d'un pays par ce type de campagne, précédées par une décrédibilisation de l'État. Dans l'excellent livre Cybermenace de Tom Clancy, il y a tout... la notion d'hygiène informatique, des procédés de travail, la mixité des acteurs, etc. Les scénarios qu'il décrit sont plus crédibles qu'une grande attaque unique. Les milliers de petites piqûres d'abeilles sont plus déstabilisantes pour l'État qu'une grande attaque. Mais il faut bien garder en tête qu'aujourd'hui nous n'avons pas suffisamment de recul pour savoir comment la stratégie va évoluer.
Guerric Poncet