Les confidences du patron de la cyberguerre en France

ENTRETIEN. Les confidences du patron de la cyberguerre en France

Le Point.fr - Publié le 29/01/2014 à 06:45 - Modifié le 29/01/2014 à 06:58

Paris assume depuis peu ses "armes informatiques offensives". Rencontre avec le contre-amiral Coustillière, officier général "cyber" au ministère de la Défense.

Le contre-amiral Arnaud Coustillière, patron de la cyberdéfense française, lors du Forum international de la cybersécurité (FIC) à Lille, le 22 janvier 2014. © Guerric Poncet / Le Point.fr

Depuis 2008, le gouvernement français a lancé un programme d'armement informatique, afin de mieux répondre aux menaces "cyber", de plus en plus pressantes. Si les livres blancs de la Défense de 2008 et de 2013 annoncent bien - au futur - la création d'armes offensives, l'État avait du mal à évoquer ces sujets. Mais au Forum international de la cybersécurité, qui s'est tenu les 21 et 22 janvier 2014 à Lille, nous avons pu interroger le contre-amiral Arnaud Coustillière. Il est l'officier général responsable de la cyberdéfense au ministère de la Défense, un poste créé en 2011.
Quel est son rôle ? Quelles sont les armes informatiques françaises ? Peut-on imaginer une dissuasion cyber sur le modèle de l'arme nucléaire ? Rencontre, en deux parties (la seconde partie sera publiée jeudi matin), avec "le" monsieur cyberguerre en France.
Le Point.fr : Quel est votre rôle au sein de la cyberdéfense française ?
Arnaud Coustillière : J'ai deux responsabilités : d'une part, je dois coordonner le renforcement des armées dans le domaine cyber. D'autre part, j'appartiens à la partie opérationnelle, pour défendre le système d'information du ministère de la Défense, et mener des cyberopérations en soutien des opérations militaires. Le pacte Défense Cyber, annoncé par Jean-Yves Le Drian pour mobiliser l'ensemble du ministère, montre à quel point c'est une très haute priorité.
Votre rôle est-il complémentaire de celui de l'Agence nationale de la sécurité des systèmes d'information, l'Anssi, qui dépend de Matignon ?
Oui, mais nous avons deux périmètres différents : l'Anssi est l'autorité nationale qui relève du Premier ministre. En collaboration avec l'Anssi, je prends la défense du système d'information du ministère de la Défense. Cela inclut les systèmes de communication et de commandement pour les opérations, mais aussi toute l'électronique embarquée dans nos systèmes d'armes, dans les avions, dans les bateaux. Ce n'est donc pas seulement une protection contre le vol d'informations classifiées défense.
Subissez-vous beaucoup d'attaques ?
Nous parlons d'incidents ciblés. Nous prenons en charge un incident à partir du moment où l'opérateur n'a pas les moyens nécessaires pour gérer la crise. Nous avions subi environ 400 incidents en 2012, contre 780 incidents traités en 2013. Les attaques visent souvent les sites de communication de la Défense : je qualifierais plutôt ces actions de cybercontestation, d'activisme, car ce ne sont pas des attaques contre notre composante opérationnelle. Ces dernières sont rares, nous en subissons quelques-unes dans les domaines où nous sommes très mal défendus, par exemple pour des réseaux parfois déployés trop vite. Depuis que nous avons commencé à observer plus attentivement nos réseaux, nous avons vu beaucoup plus de choses et avons donc transformé notre niveau de vigilance.
Si la cyberdéfense est parfaitement assumée, le développement et l'utilisation d'armes informatiques offensives sont peu assumés en France. Pourquoi ?
Les armes offensives sont très clairement présentes dans le livre blanc de la Défense de 2008. Dans celui de 2013, l'on parle de capacités tant défensives qu'offensives. Donc, l'État assume ce choix. Mais il ne faut pas faire de fantasme derrière l'arme offensive ! L'arme offensive est simplement une technique, qui demande un certain savoir-faire. Après, tout dépend de la structure dans laquelle nous allons l'employer. Pour être clair, le cadre d'action des services de renseignement n'est pas le cadre d'action des forces armées en uniforme. Quand nous engageons des forces armées en uniforme, cela se fait en général dans le cadre d'une résolution de l'ONU. Quand nous avons le droit de tirer des missiles, de faire usage du feu, si nous pouvons obtenir l'effet souhaité avec une arme informatique, c'est mieux. Par exemple, si nous pouvons neutraliser des radars avec l'arme informatique plutôt qu'avec un missile, c'est mieux. Tout cela est parfaitement compatible avec le droit des conflits armés, avec le droit d'intervention humanitaire, et nous avons eu des discussions avec le Comité international de la Croix-Rouge (CICR) : ils ne sont pas choqués par ces choix.
Quel est le principal défi de la cyberguerre offensive ?
Le plus compliqué n'est pas de faire un exploit technique, c'est de le faire à l'endroit voulu, à l'instant voulu, avec le résultat voulu, et de garantir l'effet au décisionnaire : le politique.
La France a-t-elle défini une doctrine d'emploi de ces armes informatiques offensives ?
Il y a une prédoctrine dans le livre blanc de la Défense qui positionne l'arme informatique offensive comme étant l'un des moyens à disposition de l'État pour répondre à une agression informatique. La doctrine de l'État pour répondre à une attaque stratégique informatique, c'est : 1. mettre en place la posture défensive sous l'égide de l'Anssi. 2. En cas d'agression cybernétique stratégique, l'État français se réserve le droit de répondre par tous les moyens, y compris ceux du ministère de la Défense, sans préciser quels moyens. Cela peut donc être le porte-avions, positionné près d'un pays pour lui envoyer un message fort. Dans ce contexte, l'arme informatique sert à aider à caractériser la menace et à l'identifier, et est un moyen supplémentaire à la disposition des forces armées.
Concrètement, comment une riposte se déroulerait-elle ?
Sur les détails de l'organisation : comment nous agissons, avec qui, cela relève du classifié défense. Je peux simplement vous dire que les doctrines et les cadres d'emploi existent.
Pensez-vous que l'on arrive un jour à une dissuasion cyber ?
Équivalente à la dissuasion nucléaire, je n'y crois absolument pas.
Parce que les conséquences ne sont pas perçues comme suffisamment catastrophiques ?
Non, ce n'est pas le problème. Les fondements de la dissuasion nucléaire n'existent pas dans le cyber. En France, le nucléaire est une arme de non-emploi, censée établir un dialogue de la terreur entre gens raisonnables. Le cyberespace est totalement gris. Les armes cyber sont des armes d'emploi, avec une prolifération galopante, et ses acteurs sont très divers. La dissuasion nucléaire a été établie à partir du moment où il y a eu un effet catastrophique qui a terrorisé le monde : Hiroshima et Nagasaki. Cette espèce de dialogue par la terreur a pu stabiliser le monde. L'attaque informatique de grande ampleur qui terrorisera le monde, et qui fera dire "plus jamais ça", n'a pas eu lieu. Est-ce qu'elle aura lieu ? Je n'en sais rien.
Et si un Hiroshima informatique se produit, la dissuasion informatique peut-elle s'installer ?
Non, et personnellement je n'y crois pas du tout, même si nous manquons de recul. Ce grand soir ne peut pas arriver tout seul. On est tellement mondialisés que je n'y crois pas. En revanche, une attaque catastrophique peut se produire sur des infrastructures vitales. Surtout sur celles dont on sait qu'elles peuvent se limiter à un pays. L'électricité, c'est compliqué, car cela peut s'étendre aux pays voisins, par effet château de cartes. En revanche, l'eau, les transports, tout ce qui est opérateurs réseaux : ces secteurs peuvent prendre place dans une escalade globale et entraîner des dégâts considérables.
Vous imaginez donc un scénario complexe...
Oui, nous pouvons plutôt penser à une déstabilisation d'un pays par ce type de campagne, précédées par une décrédibilisation de l'État. Dans l'excellent livre Cybermenace de Tom Clancy, il y a tout... la notion d'hygiène informatique, des procédés de travail, la mixité des acteurs, etc. Les scénarios qu'il décrit sont plus crédibles qu'une grande attaque unique. Les milliers de petites piqûres d'abeilles sont plus déstabilisantes pour l'État qu'une grande attaque. Mais il faut bien garder en tête qu'aujourd'hui nous n'avons pas suffisamment de recul pour savoir comment la stratégie va évoluer.

LIRE notre article : Cyberguerre, nos armes informatiques sont opérationnelles