Cybersécurité : du côté des gouvernements
Published on
Ukraine, mars 2014 : les services mobiles de certains parlementaires ukrainiens sont piratés. Quinze jours plus tard, le groupe d’hacktivistes pro-russe « Cyber Berkut » attaque les sites Internet de l’OTAN, rendant certaines pages inaccessibles. En mai, The Telegraph annonce l’aggravation de la cyberguerre en Ukraine. Pourquoi la cybersécurité est-elle devenue une priorité militaire ?
La cyberattaque comme action de guerre
La Russie avait déjà été accusée en 2007 d’avoir neutralisé les technologies de l'information et de la communication du gouvernement estonien suite à un conflit avec les minorités russes du pays, puis en 2008 d’avoir attaqué les serveurs et sites géorgiens afin de saturer les communications et d’affaiblir la Géorgie avant le lancement d’une action militaire. Depuis mars 2014, si la multiplication des cyberattaques entre la Russie et l’Ukraine inquiète, c’est bien parce qu’elle témoigne de l’aggravation du conflit militaire. Une cyberattaque menée à l’échelle gouvernementale peut endommager ou détruire des systèmes de communication nécessaires aux militaires ou encore permettre le détournement de renseignements à travers le cyberespionnage. Les cyberattaques deviennent des actions de guerre ; la cybersécurité devient une question de défense nationale.
Cyberespionnage, prise de contrôle à distance d’un appareil connecté… Rien qui n’ait déjà été pratiqué par la CIA ! Et pourtant, la cyberguerre mérite son nom dès lors que son but est l’attaque plutôt que le renseignement, dès lors que le virus devient une arme de destruction d’infrastructures vitales, dès lors qu’elle peut déclencher ou amplifier une attaque terroriste. C’est pour cette raison que le Livre blanc français sur la Défense paru en 2013 précise que « la possibilité d’une attaque informatique majeure contre les systèmes d’information nationaux dans un scénario de guerre informatique constitue, pour la France et ses partenaires européens, une menace de première importance ».
Cyberdéfense et questions d’ambiguïté
La défense nationale nécessite l’identification d’un adversaire potentiel et l’anticipation des conséquences d’une frappe. Difficile dans le cyberespace. Si deux armées s’affrontent distinctement sur terre, le cyberadversaire est quasiment non-identifiable. Par exemple, dans le cas du conflit en Ukraine, les cyberattaques partaient de la Russie mais n’en étaient pas pour autant revendiquées par le gouvernement. En mars dernier, la BBC expliquait même que la plupart des attaques venaient de gangs criminels patriotiques qui soutenaient l’action russe par leurs propres moyens [1]. Impossible alors pour l’Ukraine de prévoir une attaque, d’en anticiper les dommages et de préparer une riposte graduée à la hauteur des capacités de l’adversaire.
Force est de constater la nature asymétrique de la cyberguerre. C'est l'Etat versus l'individu ou le réseau d'individus : impensable dans d'autres espaces que le cyber. « La cyberguerre n'est autre que la manipulation de l’ambiguïté » [3] selon Martin C. Libicki. Les gouvernements doivent revoir leurs grilles d'analyse et leurs arguments diplomatiques. L'auteur explique dans son rapport destiné aux forces aériennes américaines que si la dissuasion nucléaire exercée durant la Guerre Froide était claire sur les acteurs en jeu, les conséquences possibles d’une attaque et les options de riposte, la cyberdissuasion pose le dilemme de la réponse : répliquer sur un adversaire incertain ou attendre de confirmer la source de la cyberattaque au risque de perdre toute crédibilité ?
Reste à prendre une longueur d'avance...
Pour les gouvernements, la cybersécurité est donc avant tout une question de défense nationale. Elle peut être une stratégie militaire qui permet d’affaiblir l’adversaire ou la défense des infrastructures vitales de l’Etat et de ses informations. Pourtant, parce qu'elle fait face à de nombreuses ambiguïtés, la cyberdéfense s'est avant tout développée comme réaction plutôt que comme anticipation. Les gouvernements doivent encore apprendre à prévoir et à détecter une menace ; il leur reste à prendre une longueur d’avance sur les cybercriminels.
[1] BBC, 5 mars 2014, « Russia and Ukraine in cyber 'stand-off' »