Contrer un "cyber-Pearl Harbor", priorité du gardien de la sécurité informatique française

Le risque d'un "cyber-Pearl Harbor", attaque destructrice pour l'économie et la société, est bien réel, estime le directeur général de l'Anssi, le gardien de la sécurité informatique française qui fête ses dix ans mardi.

"Si vous coupez le métro à Paris, toute l'activité économique de l'Ile-de-France s'arrête en quelques heures (...) Si les distributeurs de billets ne distribuent plus de billets, on sait que dans les heures qui suivent, il y a des émeutes et de la panique", explique Guillaume Poupard à l'AFP.

"Notre priorité à l'Anssi, c'est de faire face à des actes qui vont toucher nos secteurs les plus critiques dans le cadre de conflits entre Etats ou bien avec des groupes terroristes. Les pires scénarios sont possibles", estime-t-il.

Depuis la naissance de l'Anssi (Agence nationale de la sécurité des systèmes d'information), la menace informatique s'est démultipliée, au fur et à mesure que l'économie se numérisait.

Les espions ont longtemps mené la danse, rejoints par les cybercriminels à la recherche de profits illicites, puis, plus récemment, par les saboteurs silencieux, qui cachent leurs charges, en attendant l'ordre de les faire "exploser".

Tous les grands pays, la France y compris, se sont dotés de cyber-soldats capables de déposer ces bombes numériques chez leurs adversaires potentiels.

Et autour de certains Etats s'agitent des mercenaires ou des flibustiers, oscillant entre la criminalité et l'exécution des basses œuvres de leur Etat d’origine.

"Ca ne coûte pas des milliards d'avoir une armée cyber", prévient M. Poupard, “il suffit d'une centaine de types compétents, malins".

"Il y a des groupes mafieux qui commencent à atteindre" la taille critique nécessaire pour mener des attaques destructrices d'ampleur, avertit-il.

"Et on peut imaginer que des groupes terroristes développent de telles compétences, même s'il n'y en a pas aujourd'hui", ajoute-t-il.

La priorité pour l'Anssi aujourd'hui est donc de rendre ces attaques "infaisables".

"Il y a des victimes (potentielles) qui ne peuvent pas être victimes", indique M. Poupard, en allusion aux quelques 200 opérateurs d'importance vitale (OIV), dnt la liste est gardée secrète.

Depuis la loi de programmation militaire de 2013, ces grands opérateurs d'infrastructures critiques pour l'économie doivent respecter des cahiers des charges stricts pour leur sécurité informatique, faute de quoi ils peuvent être sanctionnés financièrement par l'Anssi.

"Nous n'avons jamais utilisé le bâton, mais nous ne nous l'interdisons pas. J'en ai deux ou trois dans le viseur", prévient-il.

- "Course serrée" avec les attaquants -

Parmi les difficultés qui s'opposent à l'effort de sécurisation générale, le grand mouvement d'externalisation de l'informatique.

Quand l'Anssi vient à la rescousse d'entreprises attaquées, "la première question qu'on leur pose en général c'est +donnez-nous la cartographie de vos réseaux+ Et là, souvent, elles sont très malheureuses, elles ne savent pas le faire. On leur demande aussi +combien vous avez de réseaux+, +où sont vos données les plus sensibles+, et on a la même réponse..."

"Très souvent, on est amené à faire +réinternaliser+ des fonctions pour être capables de maîtriser ces fonctions de sécurité numérique", affirme M. Poupard.

Le gardien de la cybersécurité française cherche aujourd'hui à travailler avec la recherche et l'industrie pour concevoir des produits numériques plus sûrs.

"Nous voulons co-construire" avec le privé, en "développant ensemble des briques logicielles ou matérielles qui pourront être implantées dans les systèmes vendus par des industriels", explique Guillaume Poupard.

L'Anssi cherche aussi à travailler avec des partenaires privés pour aller exploiter l'immense réservoir de données constituées par toutes les données, (les "logs") qu'elle a collectées dans son travail de veille sur les réseaux, notamment grâce à ses sondes.

"Ca consiste à aller chercher des traces extrêmement fines, des particules dans des fatras entiers" pour être capables de mieux déceler les attaques.

"Si on est capable de faire cela", avec d'autres efforts comme une plus grande diffusion du savoir informatique, "la France restera parmi les quelques pays du peloton de tête de la cybersécurité. Mais la course est serrée avec les attaquants", prévient M. Poupard.