Espionnage américain : les capacités de cyberdéfense françaises en question

La révélation d'activités présumées d'espionnage des Etats-Unis contre l'Union européenne et la France, dimanche 31 juin, a suscité de violentes critiques dans la classe politique française. En contrepoint, certains se disaient peu surpris, et notaient que ces pratiques étaient classiques, la nouveauté étant que les services américains s'étaient fait prendre.

Cependant, ces révélations posent la question des capacités du contre-espionnage français. "Il s'agit de savoir si nous avons les moyens de nous protéger" contre de telles pratiques, notamment contre les attaques informatiques, qui en forment une part importante, note Eduardo Rihan Cypel, député PS de Seine-et-Marne et spécialiste des questions de cyberdéfense.

"PAS ENCORE LES PLEINS MOYENS"
Selon Patricia Adam, présidente (PS) de la commission de la défense à l'Assemblée nationale, la France a "commencé à se doter de moyens de cyberdéfense adaptés, mais elle n'a pas encore les pleins moyens". Ainsi, le "cyber" figure en bonne place dans le nouveau livre blanc sur la défense, présenté fin avril et marqué dans les domaines plus traditionnels par des coupes de budget.

Le livre blanc confirme le rôle de l'Agence nationale de la sécurité des systèmes d'information (Anssi). Créée en 2009, cette agence dépend du secrétariat général de la défense nationale, rattaché au bureau du premier ministre. Cette structure interministérielle coordonne notamment la lutte contre les cyberattaques. Elle compte environ 300 employés et recrute à un rythme régulier. L'Agence dispose d'une équipe de veille et d'alertes (Certa), qui travaille pour les institutions publiques, les opérateurs d'infrastructures vitales (énergie, transport), comme avec les grandes entreprises privées.
Ses moyens doivent être encore augmentés par la loi de programmation découlant du livre blanc, qui doit passer en conseil des ministre à la fin du mois, et être débattue au Parlement en novembre. Y sera notamment discutée la question de rendre obligatoire la déclaration des attaques dans les secteurs sensibles. La plupart des entreprises privées tendent en effet à cacher les attaques dont elles ont été victimes, privant les spécialistes de la sécurité publique d'informations sur les méthodes et techniques employées par les attaquants.

CAPACITÉS D'ATTAQUE
De plus, début juin, le ministre de la défense, Jean-Yves Le Drian, a annoncé que la France allait se doter de capacités "offensives" en matière de cyberdéfense, et sortir ainsi d'une doctrine officiellement uniquement défensive. Si les services de renseignement français n'ont pas attendu pour agir, en toute discrétion, sur ce terrain, le volet offensif en matière de cyberdéfense concerne désormais l'armée.
"Cela nous donne des capacités de dissuasion, dit Jean-Marie Bockel, membre de la commission de défense du Sénat. Cela permettra d'établir un rapport de force au moment où s'établira un droit international en matière de cyberespionnage. Pour l'instant, c'est un Far West."
De façon plus générale, "la solution ne peut être qu'européenne", soulignait en juin M. Le Drian, ajoutant qu'"il appartient aux Européens de prendre en charge leurs propres infrastructures vitales", en trouvant une "juste complémentarité avec l'OTAN".

L'EUROPE BALBUTIANTE
"Les méthodes et les technologies employées pour ces attaques sont globales, et la France n'a pas les moyens d'y répondre par elle-même", dit Yogi Chandiramani, directeur technique Europe de la société de sécurité informatique privée Fire Eye, en évoquant les activités présumées d'espionnage américain révélées dimanche et le programme de surveillance Prism, plus large. "Il n'y a pas d'autre choix que de partager les informations au niveau européen, pour mieux les comprendre et les parer. Nous avons besoin d'un effet de levier", affirme-t-il.

Lire l'interview : Urvoas : "Je n'ai pas rencontré de programme de surveillance similaire en France"

Cependant, le président UMP de la commission de la défense au Parlement européen, Arnaud Danjean, constate que l'Europe en est encore à "balbutier" en termes de cyberdéfense. "Chaque pays a développé ses propres protocoles et ses capacités. Celui qui s'avance pour les rassembler est immédiatement suspect", explique-t-il. "Or, nous avons besoin d'un programme qui ne soit pas dépendant de l'OTAN" et du parrain américain, dit-il.
Le bureau de la haute représentante pour les affaires étrangères de l'UE, Catherine Ashton, doit produire dans les mois qui viennent un premier cadre stratégique pour la cyberdéfense européenne. Un premier document a été partagé en février. La question figurera à l'agenda du sommet des chefs d'Etat et de gouvernement européens consacré à la défense et à la sécurité, en décembre.