Cyberespace, Nouvelles Menaces Et Nouvelles Vulnérabilités 2017

CYBERESPACE, NOUVELLES MENACES ET NOUVELLES
VULNÉRABILITÉS
Guerre silencieuse et paix imprédictible
Philippe Muller Feuga
ESKA | « Sécurité globale »
Document téléchargé depuis www.cairn.info - Université Paris 1 - Sorbonne - - 193.55.96.119 - 03/12/2017 00h27. © ESKA
2017/1 N° 9 | pages 83 à 95
ISSN 1959-6782
ISBN 9782747226783
Article disponible en ligne à l'adresse :

--------------------------------------------------------------------------------------------------------------------
https://www.cairn.info/revue-securite-globale-2017-1-page-83.htm
--------------------------------------------------------------------------------------------------------------------
Pour citer cet article :

--------------------------------------------------------------------------------------------------------------------
Philippe Muller Feuga, « Cyberespace, nouvelles menaces et nouvelles
vulnérabilités. Guerre silencieuse et paix imprédictible », Sécurité globale 2017/1
(N° 9), p. 83-95.
DOI 10.3917/secug.171.0083
--------------------------------------------------------------------------------------------------------------------
Distribution électronique Cairn.info pour ESKA.

© ESKA. Tous droits réservés pour tous pays.
La reproduction ou représentation de cet article, notamment par photocopie, n'est autorisée que dans les
limites des conditions générales d'utilisation du site ou, le cas échéant, des conditions générales de la
licence souscrite par votre établissement. Toute autre reproduction ou représentation, en tout ou partie,
sous quelque forme et de quelque manière que ce soit, est interdite sauf accord préalable et écrit de
l'éditeur, en dehors des cas prévus par la législation en vigueur en France. Il est précisé que son stockage
dans une base de données est également interdit.
Powered by TCPDF (www.tcpdf.org)

083-096 Dossier Muller Feuga_projet 14/02/17 14:19 Page83
Cyberespace, nouvelles menaces

et nouvelles vulnérabilités
Guerre silencieuse et paix imprédictible
Philippe Muller Feuga*
Depuis le premier réseau (né avec Arpanet Cyberspace) publiée par John Perry Barlow,
en 1969) aux dix nœuds (nodes) de 1974, l’un des cofondateurs de l’EFFiii issu du
dissocié de l’usage militaire en 1980, l’In- mouvement libertaire open source d’origine 83
terneti a évolué au cours de ces quatre der- californienne, rappelait aux gouvernements
nières décennies vers des activités civiles que « Vous n’avez aucune souveraineté là
par la création de la « toile » ou world wide où nous sommes rassemblés »iv, autrement
web (1989), avec une accélération exponen- dit que la réglementation et l’application de
tielle conduisant au cyberespace. Reconnu la loi par l’Etat ne s’y appliquent pas, auquel
comme un « nouveau monde », institution- fait écho aujourd’hui la notion de « neutra-
nalisé à Davos en février 1996 à un moment lité du Net ».
où des Big Five (GAFA + T)ii n’existaient
qu’Apple et Amazon, tout était déjà « in- Ce nouvel espace est au coeur des échanges
venté » en tant que système d’échanges socio-économiques actuels, objet de cybe-
créatif, mais menacé par ses propres vulné- rattaques ou de piratages mais aussi source
rabilités intrinsèques ouvrant la voie aux de conflits potentiels. Les enjeux de puis-
manipulations de hackers ou de black hats sance et de souveraineté disparus en 1989-
(dès 1988 le ver Morris sévit), qui déstabili- 91 avec la fin de l’Histoire refont surface
sent tout responsable face aux menaces per- dans un contexte de morosité économique
sistantes avancées (APT, Advanced Persistent mondiale, voire sur fond de chaos. Analysés
Threats). dès 1993, non sans arrière-pensées budgé-
taires pour la Défense américaine, par l’étude
La Déclaration d’indépendance du cyberes- « Cyberwar is coming » financée par la Rand
pace (Declaration of the Independence of Corporation, la cyberwar est présentée
© Editions ESKA Sécurité globale | n°9

Philippe MULLER FEUGA
comme le Blitzkrieg du XXIe siècle par effa- l’imaginaire de Gibson dans Neuromancer
cement du « brouillard de la guerre » ou (1984), mais caractérisé par un « potential for
Kriegsnebel selon Karl von Clausewitz unintended cascading effects » (2016)v que la
(1834), brouillard d’incertitudes dû à l’insuf- France découvre lentement lors de la publi-
fisance d’informations (der Krieg ist das Ge- cation des Livres blancs de la Défense de
biet der Ungewissheit) désormais compensée 2008, et d’avril 2013 et de la loi de program-
par l’Internet, tandis que, version civile, le mation militaire (LPM, décembre 2013). Une
cybernet appartient à la cybercriminalité. première stratégie de cybersécurité est éla-
borée début 2011 « peu après la découverte
Force est de constater que dans le « projet » d’une attaque informatique à des fins d’es-
européen ces deux « guerres silencieuses » pionnage contre les ministères économiques
sont totalement oubliées, y compris dans la et financiers » selon la présentation de la
Stratégie de Lisbonne énoncée en mars 2000 « Stratégie nationale pour la sécurité écono-
visant à faire de l’Union européenne à mique » (octobre 2015). Le mot cyberespace

échéance 2010 « l’économie de la connais- y est cité 42 fois, sans en définir les contours
sance la plus compétitive et la plus dyna- que propose l’ANSSI, autorité nationale fran-
mique du monde, capable d’une croissance çaise rattachée au SGDSN : « espace de com-
84 économique durable accompagnée d’une munication constitué par l’interconnexion
amélioration quantitative et qualitative de mondiale d’équipements de traitement auto-
l’emploi et d’une plus grande cohésion so- matisé de données numériques ».
ciale », stratégie revisitée en 2005 et en
2009 devant le constat d’échec et la perte L’approche est essentiellement technocen-
de compétitivité. triste de son contenant comme observé dans
les nouvelles règles qui s’appliquent aux
Exemple même de stratégie totalement dé- opérateurs d’importance vitale (OIV) ce qui
connectée des réalités par une vision tech- dénote un trouble dans la compréhension du
nocratique top down à court terme, bâtie sur cyberespace et de ses véritables enjeux,
l’euphorie de la première bulle technolo- vingt ans après les Etats-Unis. Elle conduit
gique apparue fin 1998, visant notamment aux mesures, certes nécessaires mais insuf-
en France à l’intégration des TIC comme fisantes, visant à renforcer la sécurité et la
priorité (rapport de Gérard Théry en février défense des systèmes d’information (SI), sou-
1994 reprenant l’expression du vice-prési- tenues par le paramètre géographique (le
dent américain Al Gore d’« autoroutes de territoire national), le cyberespace étant alors
l’information ») tout en en ignorant les présenté comme le cinquième domaine après
risques. la terre, la mer, l’air et l’espace sur lesquels
se déploient des forces et une pensée straté-
Ce cyberespace peut être décliné comme un gique dans le contexte d’une « paix impré-
domaine aux contours insaisissables, né de dictible ». Mais sans vision globale
Cyberespace, nouvelles menaces et nouvelles vulnérabilités
stratégique, dans une conception erronée ou nouvelles richesses des Nations, elle est me-
« exagérée sous l’effet d’un clair de lune » nacée dans le contexte actuel de morosité
(Clausewitz) qui rappelle les conditions de économique. Il s’agit d’aller chercher de la
l’« organisation des nouvelles frontières » valeur avec un effet de levier extraordinaire
(1919) et la construction de la ligne Magi- grâce aux avantages comparatifs qu’elle
not. procure sur l’emploi et la croissance par la
transformation digitale de la société (1).
L’approche de l’Internet est donc biaisée dès
ses origines, en France comme en Europe, Sans pour autant déprécier le rôle de l’Etat
par l’intérêt immédiat porté sur les fragilités ou de l’autorité qui doivent l’accompagner
du contenant ou à l’outil plutôt qu’à son ce qui exige, compte tenu des vulnérabilités
contenu. Dès lors une définition est à rete- nouvelles, une mutation dans l’organisation
nir : « Le Cyberespace est un domaine ca- interne des entreprises et des pouvoirs pu-
ractérisé par l’utilisation de l’électronique et blics soumis encore à un gap culturel, héri-
du spectre électromagnétique à des fins de tage d’une pensée unique dépassée (2).
stocker, modifier, et échanger des données
par l’intermédiaire des systèmes gérés en ré-
seau et des infrastructures physiques asso- 85
I. Nouvelles richesses des Nations
ciées. En effet, le Cyberespace peut être
considéré comme une interconnexion des
êtres humains par des ordinateurs et la té- Le cyberespace évoque à la fois le réel et le
lécommunication, sans souci de la géogra- virtuel avec le basculement du premier vers
phie physique »vi : elle désigne la « donnée » le second sous le double effet de la numéri-
ou data comme autre cible potentielle car sation ou transformation digitale (digital
celle-ci, au coeur de la connaissance et des age) et de l’expansion de systèmes informa-
enjeux contemporains, n’est pas neutre. tiques organisés en réseaux (la toile, ou web)
au sein de l’Internet. Le premier produit de
Elle dépasse le débat actuel européen autour l’information numérique ou data, le second
de la cybersécurité vers celui de la menace permet le partage, le stockage et l’échange
qui pèse sur toute donnée « sensible », confi- de la data entre utilisateurs ou internautes,
dentielle ou stratégique couverte par le « se- connectés ou non selon l’instant d’usage,
cret défense ». non sans menaces.
La data devient l’unité de base de l’Infor- Nouvelle matière première convoi-

mation age qui succède aux révolutions in- tée et avantages comparatifs
dustrielles. Source de nouvelles valeurs au
coeur des enjeux de compétitivité actuels, La diffusion et le stockage de l’information
objet de toutes les convoitises en tant que bénéficient constamment des innovations
technologiques et techniques qui améliorent entre internautes et sur les réseaux sociaux
les langages, le traitement ou l’exploitation (web 2.0) à partir des années 1996-98.
des données. Le développement des accès à
haut-débit, puis à très haut débit vers la L’Industrial age s’efface devant l’Informa-
toile (ou world wide web) sous l’action d’ap- tion age dont la data devient la matière pre-
plications toujours plus nombreuses depuis mière par excellence et dont il faut assurer
le premier courrier électronique privé ou l’accès et la sécurité. Au rythme des ten-
professionnel (e-mail inventé en 1972) ou dances ou « tech trends » qui structurent les
la multiplication de pages web (standard activités économiques selon la loi de Robert
html), unité de consultation mesurée en Metcalfe – « l’utilité d’un réseau est propor-
unité de stockagevii, crée une véritable rente tionnelle au carré du nombre de ses utilisa-
virtuelle captée notamment par les acteurs teurs » – (1992), le cyberespace participe à
de l’oligopole américain du web. la création de métadonnées ou Big Data, gi-
sements inépuisables car renouvelables par

Les technologies numériques et l’usage de la connectivité accrue des objets et des per-
l’IP (Internet Protocol) participent aux pro- sonnes, mais aussi des machines entre elles
cessus cognitifs et transforment fondamen- grâce à l’intelligence artificielle (IA), en rap-
86 talement les modèles hérités des âges pelant que le premier apport est aléatoire
fordiens tant dans les coûts marginaux de (données de l’internaute), le second repose
stockage (Amazon), de duplication de l’in- sur l’automatisation des systèmes de com-
formation (Google), de la diffusion de la mande ou de contrôle industriels (type
connaissance (knowledge age), de coûts de SCADA)viii, sur les systèmes de système, etc.
traitement, etc. que par les économies mais reste prédéterminés par l’homme avec
d’échelle (à l’origine de plus de la moitié de ses risques d’erreurs.
la croissance de la productivité européenne)
et les progrès qu’elles engendrent, obtenus Convoitée et donc menacée, la donnée émi-
dans tous les composants par la réduction nemment désirable s’inscrit dans le haut de
des coûts unitaires et l’accroissement des bilan de toute entreprise en tant que nouvel
performances selon la loi de Moore (dou- actif à saisir, copier, accaparer par prise de
blement des performances tous les deux contrôle ou à piller dans une guerre écono-
ans). mique « hors limites »ix ou unfair competi-
tion qui ne dit pas son nom, sans
La numérisation accrue des contenus et des déclaration de guerre, sans morts mais avec
services, transforme un simple espace des victimes suite aux pertes d’emploi liées
d’échanges statiques d’informations comme à la perte de compétitivité.
les web logs devenus blogs (web 1.0) en un
espace de plus en plus interactif dans les do- Le cyberespace autorise non plus le partage
maines de la connaissance et du marketing, de documents (page web), mais aussi celui
Environnement informationnel
des données (web of data) entre internautes
(standard http) ou entre machines (standard Les améliorations apportées à la puissance,
uri), voire les deux dans un réseau global : à la vitesse de traitement des données (al-
il laisse poindre le web 3.0 (semantic web), gorithmes) ou à la capacité des supports
et laisse soupçonner le web 4.0 par donnent lieu à des problèmes de sécurité
connexion des intelligences (intelligence croissants qui conduisent à sécuriser non
web ou metaweb) ou l’hyperconnectivité du pas uniquement les systèmes d’information
monde organisée en réseau P2P (person-to- (SI), mais la donnée et l’utilisateur (principe
person) ou P2M (person-to-machine). L’In- de la blockchain). Dans cette « destruction
ternet révolutionne ainsi le quotidien, le créatrice », l’affichage d’une information
social et l’économie, induit des change- numérique est le résultat d’une harmonie
ments majeurs des paradigmes issus des ré- entre couches et sous-couches superposées
volutions industrielles dans des secteurs (layers) des SI, chacune d’entre elles ayant
verticaux tels que l’industrie, la santé, un rôle précis, mais chacune d’entre elles
l’énergie, l’environnement, l’éducation, etc. pouvant comporter des failles utilisées par
ou horizontaux comme la domotique, les des cyberattaquants. Retenons trois
villes ou réseaux intelligents appelés smart couches : la couche physique ou matérielle
cities ou smart grids, les véhicules intercon- (hardware assets) construite autour de codes 87
nectés, etc. et de systèmes d’exploitation des matériels
et logiciels où se situent les principales vul-
L’Internet des objets (IoT) nourrit le Big Data nérabilités en termes de blocage ou de ma-
et crée ce nouveau monde du cyberespace nipulation.
tout en occultant les menaces. Par la digi-
talisation de la société, de nouveaux acteurs Celle-ci supporte la couche logique des pro-
bousculent les business models, notamment grammes (logic network layer) avec leurs
dans l’Industrie 4.0 vantée en Allemagne. codes appelés à numériser l’information,
Dans le domaine de l’IoT industriel, une so- l’utiliser et l’acheminer selon les protocoles
ciété comme General Electric traite 50 mil- de l’Internet (adresse IP) au travers l’URL
lions de données collectées provenant de 10 (adresse d’une page web), considérés
millions de capteurs industriels, soumises à « comme des données mixtes, qui peuvent
ses data scientists qui analysent les données comporter à la fois des données de
marketing pour développer des solutions connexion et des mots faisant référence au
IoT, parfois en lien avec des designers. L’ap- contenu de correspondances échangées ou
parition de nouveaux types de données en d’informations »x ; et la couche cognitive ou
de grands volumes avec les innovations sémantique composée de la cyber-persona
data-driven pose la question des conditions layer, sous-couche d’identification sous
de l’interopérabilité dans un monde ouvert forme digitale d’un individu ou d’une entité,
avec ses menaces imprédictibles. chacun pouvant avoir plusieurs cyber-iden-
tités par son ou ses e-mails, adresses d’or- (ou CSIRT) mis en place en 1988 dans la
dinateur ou de terminal, de téléphones por- plupart des pays lors des premières attaques,
tables, etc. en raison de la mobilité ou d’expertises – comme le CDSE ou le Clu-
croissante des systèmes). sif en France –, il est impossible que les DSI
puissent avoir une connaissance précise de
Or, toute architecture SI dans ses couches leur architecture composée du millefeuilles
historiques comportent des vulnérabilités, et des évolutions techniques de l’Internet, à
un hacker se nourrit de ces failles logicielles commencer lors du passage de l’analogique
à durée plus ou moins limitée prêt à les ex- ou numérique (années 1990), combinée à
poser sur le web ce qui peut déclencher des des négligences humaines.
cyberattaques, des dénis de service (DDoS)
ou à les marchander sur le dark web, partie Et il n’est pas certain que même les autorités
du deep web non référencée du cyberespace. en aient une meilleure en donnant la prio-
Car la valeur de la data s’accroît et engendre rité à la sécurisation des deux premières
désormais une cybercriminalité moins ris- couches (sécurité physique et sécurité lo-
quée que le trafic de stupéfiants ou des gique) facilement manipulables et falsifia-
armes, celle-ci se nourrit d’elle-même avec bles, preuve d’une dissonance cognitive
88 des hackers qui, sans être des génies, déterminent la troisième, la plus stratégique.
s’adaptent et savent exploiter toute brèche C’est le syndrome Krupp : innover et s’adap-
(« exploits ») de l’environnement informa- ter en permanence aux attaques tout en dé-
tionnel en pleine évolution, comme les sys- veloppant des systèmes de blindage ou en
tèmes embarqués utilisés au quotidien ou l’occurrence de sécurité, vite obsolètes.
tout terminal branché sur l’Internet via un
réseau wi-fi passant aux attaques multi- Les entreprises sont menacées au coeur de
vectorielles et prenant pour cible la data leurs actifs, mais les menaces demeurent
selon sa valeur, de la prise de contrôle de asymétriques, car de plus en plus imprévi-
sites web de confiance à celle de logiciels sibles faute d’être identifiées, ou menaces
d’exécution de fichiers selon les « métiers ». zero-day (zero day exploit attack) qui peu-
vent être particulièrement destructrices,
Avec la généralisation du cloud computing, comme Stuxnet en 2010 ou Flame en 2012
des datacenters, l’utilisation d’application avec un risque systémique. Ce qui exige la
programming interfaces (API) non sécuri- définition d’une véritable cyberstratégie au
sées de webservices ou de communications niveau de l’Etat pris dans un dilemme cor-
inter-organisationnelles de ces API par des nélien entre d’une part l’accroissement des
passerelles B2B en parallèle à l’Internet mo- contrôles sécuritaires, et d’autre part l’ac-
bile et des systèmes Byod, et quel que soit croissement de la productivité par « reduce
le budget consacré, ou quel que soit le rôle frontline productivity by slowing employees’
d’organismes comme l’ANSSI, des CERTxbis ability to share information ».
Ce qui peut provoquer un effet « cyberback- lemme « privacy versus security » après l’épi-
lash » (effet boomerang) qui décélère la di- sode de San Bernardino (mars 2016), libertés
gitalisation et conduit à terme à un décalage publiques et vie privée versus surveillance et
technologique dus aux coûts supplémen- défense ou sécurité. Mais ne nous égarons
taires engendrés par la cybersécurité, avec pas : le digital age n’efface en rien le rôle des
risques de pertes de compétitivité, et de dés- Etats et leur souveraineté comme l’ont cru
avantages comparatifs que subit la France les penseurs généreux du punk net, les te-
(6e puissance dépassée en 2016 par le nants de l’open source à l’époque du web 1.0
Royaume Uni, et une industrie qui pèse 10% ou le mouvement hacktiviste Anonymous.
dans le PIB contre 21% en Allemagne). Le cyberspace a pris le visage de Janus, et si
le cyberespace est présenté comme opposé
Comment l’expliquer si ce n’est par une ap- aux Etats, à leur souveraineté et prérogatives
proche erronée de certains responsables qui et hors champs territoriaux comme semble
se sont focalisés sur la « transversalité des l’attester les cyberattaques, les enquêtes per-
TIC », et non par une approche stratégique mettent d’arrêter des hackers attestant d’une
globale du futur ? L’Etat stratège a privilégié certaine efficacité, le web étant aussi une
la stratégie de mise en oeuvre d’une cyber- arme pour les autorités.
ligne Maginot, choix également retenu par 89
la Chine et la Russie dans des conditions Face aux menaces, le retour inachevé
particulières. Mais une stratégie globale doit de l’Etat
privilégier davantage privilégier la construc-
tion d’un « écosystème de confiance » dans Dans le cyberespace, l’angle d’attaque se
l’environnement informationnel qui reste à modifie et s’appuie de plus en plus sur l’an-
structurer autour des secteurs stratégiques ticipation autour de la cyberrésilience de
souverains définis dans le cadre du change- l’environnement informationnel que doit in-
ment du paradigme post industriel. tégrer tout Etat stratège. En France, il a
conduit, certes, au succès du programme
Ariane, mais aussi aux échecs du Plan Cal-
II. Le retour des Etats pour faire cul, voire du programme Cyclades. Le pre-
mier était essentiellement technique
face aux menaces ?
répondant à un choix stratégique visant à
assurer l’indépendance et la souveraineté de
Vingt ans après la déclaration de 1996, les la France (lanceurs), voire de l’UE ; à un mo-
défis du cyberespace restent au coeur du ment où l’Internet se construisait, toujours,
Forum économique mondial (WEF) de dans une vision top down, les seconds ont
Davos où les coûts liés au piratage et vol de fait l’impasse sur l’élément humain dans une
données sont évoqués. L’expansion du cy- approche technocentriste pour favoriser une
berespace conduit à s’interroger sur le di- administration (les télécommunications). Or,
les mesures prises restent inachevées, et de tout en dictant leurs conditions générales
toute évidence aucun gouvernement n’a en- d’utilisation (CGU) désormais sous la sur-
core réussi à relever le défi de l’environne- veillance des CNIL nationales. Comme quoi
ment informationnel et de la souveraineté la dimension extérieure dans la construc-
numérique. tion européenne peut retrouver toute sa
place, et peut-être réconcilier les citoyens
L’Etat stratège global doit inverser les fac- avec les institutions européennes.
teurs, et privilégier l’approche bottom up au-
près des acteurs économiques. Ce sont des Fondamentalement, la place de la souverai-
données qui « parlent » au réel, données per- neté dans le champ régalien reste la défense,
sonnelles (identité, santé) ou toute autre in- la police et la sécurité, la justice ainsi que
formation plus ou moins confidentielle la fiscalité même si la notion de « neutralité
(industrie, affaires) ou sensible (bancaire) du Net » avec quelques réserves reste affir-
collectée, véritables mines (data mining) mée par les régulateurs des télécommunica-
pour les moteurs de recherche conquérants tions. D’autres exemples récents montrent
en termes de compétition déloyale (unfair que l’approche territoriale, donc de souve-
competition), et données « stratégiques ». Si raineté, deviennent possibles en s’appuyant
90 avec la croissance des fraudes et autres mesur les réalités tangibles des trois couches,
naces, les autorités s’adaptent à la cybercri- notamment sur les données de localisation
minalité. Les actes de malveillance sont parfaitement recensables ou indicatives. Sur
gérés avec une certaine efficacité en termes le plan fiscal ou juridique, le dossier Apple
de fraudes ou d’infractions, le contexte ter- dans un contexte de concurrence fiscale
roriste ayant conduit à cette prise de entre États membres de l’UE, ou les actions
conscience dans des conditions tragiques, menées contre Google pour abus de position
mais davantage sous un angle politique dominante, de même que les conceptions
qu’économique avec l’adoption de textes sé- différentes en matière de copyright ou de
curitaires après l’adoption de la LPM (2013). propriété intellectuelle montrent que l’UE
peut réagir aux exigences extraterritoriales
Mais l’approche reste parcellaire, et mérite des Etats-Unis. S’il n’existe pas en droit, le
une réponse stratégique plus globale tant concept de « souveraineté européenne »
sur le plan de la protection des données, à s’exprime sur les territoires nationaux des
commencer par les données personnelles. Etats membres en attendant de franchir
Que ce soit pour le « droit à l’oubli » ou le l’étape du fédéralisme.
Safe Harbor pour lequel la CJUE a su réagir
en octobre 2015, la réglementation euro- Il est vrai qu’il est exacerbé par les révéla-
péenne s’impose aux grands acteurs du nu- tions de « lanceurs d’alerte » montrant le
mérique qui, dans un premier temps rôle des États-Unis et du Royaume Uni
californien, ont voulu imposer leurs valeurs (entre autres) dans la captation de nos don-
nées, privées ou professionnelles avec leurs de la question de l’appartenance ou non de

services de renseignements respectifs, la l’Internet ou du cyberespace aux « global
NSA et le GCHQ. Avec la publication de la commons », espaces d’intérêt commun. Pour
directive européenne (avril 2016), la ques- d’autres espaces comme la mer, l’espace aé-
tion peut être élargie en matière de secret rien ou stratosphériques, mais aussi en ma-
d’affaires car celle-ci reste trop limitée à la tière de télécommunications (UIT, institution
définition de l’accord sur les ADPIC de Mar- spécialisée des Nations Unies créée en 1865)
rakech (1994), et ne correspond pas à l’at- et le statut particulier de l’Antarctique, force
tente des entreprises européennes en termes est de constater que des droits internatio-
de protection de leurs actifs face à l’arsenal naux s’y appliquent, avec des points d’entrée
juridique américain. physiques (ports en droit public maritime, ou
aéroports en droit international de l’aviation
Si le temps des conflits frontaux associés civile, comme pour l’espace ou des activités
aux conquêtes territoriales semble en partie spatiales) en lien avec les souverainetés na-
révolu (malgré l’Ukraine, la Syrie ou la mer tionales. Dans le cyberespace, il existe aussi
de Chine), celui du rejet du bloc occidental des points physiques d’entrée.
est conduit par les BRICS à la recherche
d’un nouveau centre de décision, et la Encore faut-il que l’Etat stratège, même au 91
course à l’innovation supplante la course niveau européen, raisonne en termes de
aux armements dans le cyberespace comme puissance et donc de stratégie face aux me-
s’y sont engagées la Chine et la Russie. L’oli- naces. A défaut, c’est un management de
gopole américain du web est bien entendu l’environnement informationnel qui doit se
visé : en lien avec les organismes de gou- mettre en place sur le plan national. La
vernance, soutenus officiellement par les France aurait pu définir une stratégie glo-
Etats-Unis (IETF sur le plan technique créé bale mais le SGDSN n’a pas su se montrer à
en 1986, le W3C en terme de compatibilité la hauteur des attentes notamment sur les
créée en 1994, et l’ICANN créé en 1998 pour données sensibles lors de la réforme (ina-
l’adressage IP et les noms de domaine de chevée) de l’IGI n° 1300 sur la protection du
premier niveau) qui apparaissent comme secret de la défense nationale en posant la
une justification de l’extra-territorialisation question des OIV et des acteurs des secteurs
du droit américain (ne serait-ce que dans les stratégiques et en s’appuyant sur certaines
clauses d’utilisation de nombreux sites, pla- mesures prises par des sociétés du secteur
teformes ou réseaux sociaux), par ailleurs de la défense comme Safran, Thalès, etc.
observé dans d’autres dispositifs comme Certes le rôle de la Défense et de la DGA en
l’ITAR ou l’OFAC. particulier est structurant par l’organisation
de l’environnement informationnel grâce à
Les rivalités existent autour de prise de l’approche par la donnée et sa liaison au
contrôle, comme celle de l’ICANN au-delà facteur humain.
C’est une nécessité dans la défense des actifs grandes vulnérabilités : l’absence d’un cir-
informationnels. Ce management de l’envi- cuit décisionnel court au sein de l’Etat, et
ronnement informationnel « de confiance » entre l’Etat et le monde des entreprises dans
à construire est une approche qui modifie une approche bottom up ; et l’absence
complètement la hiérarchie et la structure d’une prise en compte des composants
organisationnelle en « silos ». Avec l’expan- (munis de back door ?) dans les nouvelles
sion du cyberespace et ces fins de mondes, technologies qui accroissent nos vulnéra-
il s’agit d’agir pour transformer les anciens bilités. La première exige de repenser l’in-
paradigmes et répondre aux exigences de telligence économique dont les vicissitudes
réactivité, de rapidité, se réactivité ou depuis l’âge d’or d’Alain Juillet alors hé-
d’adaptabilité, bref l’introduction d’une bergé par le SGDSN illustre une réflexion
« agilité institutionnelle » : qui d’un DSI peut également inachevée, ne serait-ce qu’en
affirmer qu’il contrôle l’ensemble du mille- matière de gestion des REF, renseignements
feuille informatique (SI) de sa société ? Qui économiques et financiers ; la seconde de

d’un DRH peut affirmer que les personnes définir une stratégie globale confiée au
employées sont au-dessus de tout soupçon, SGDSN à l’autorité affirmée, notamment
même parmi les accréditées ? sur des procédures comme l’IEF gérée par
92 la DGTrésor.
Qui d’un DMO peut affirmer connaître la
cartographie des informations sensibles Le pillage de nos actifs ou leur « sabor-
chez lui ? Relevant de la confidentialité, il dage »xi peut être endigué si une véritable
s’agit de gérer l’environnement informa- politique se met en place, à l’exemple de la
tionnel du cyberespace : ceci passe par la DGA ou du HFDS du ministère de l’Ecolo-
nécessité d’évaluer ses actifs information- gie. Mais de toute évidence aucun gouver-
nels, de les classer selon leur sensibilité en nement n’a réussi à relever ce défi par
lien avec la gestion d’identité (IAM, Identity l’absence d’une réelle coordination des po-
and Access Management) pour l’accès aux litiques industrielles, du suivi des engage-
applications internes et externes corrélé à ments de sociétés étrangères ou de
ce qui est plus ou moins « sensible » ou l’évaluation d’un risque majeur en termes
« stratégique » comme actif à protéger en de participation stratégique (TDF), ou de
rapport avec le « métier ». fragilité de nos infrastructures d’impor-
tance vitale alors que le fournisseur chinois
Pour une stratégie globale Huawei, implanté au coeur des réseaux, a
été interdit de postuler à des appels d’offre
L’adaptation de cette nouvelle doctrine à pour l’Internet à bande large aux Etats-
notre dépendance technologique et aux ef- Unis. Cette politique doit intégrer les ac-
fets des « guerres asymétriques » sur le plan tivités duales comme la cryptologie,
de l’information est appelée à réduire deux imagerie, drones, etc.
Dans ce contexte « hors limites », les vulné- Or, les attaques de l’été 2016 par leur am-
rabilités s’élargissent : la menace n’est plus pleur peuvent laisser penser à des tests ou
ponctuelle mais peut être indirecte ou col- des répétitions soit comme réponse, soit
latérale, pour neutraliser un réseau en co- pour avoir des informations sur la résilience
piant les caractéristiques techniques des réseaux « ennemis ». Mais visage de
d’automates programmables industriels Janus, cela peut être aussi une arme de dis-
(API) de Siemens, de Veolia, etc. et créer de suasion si les contre-mesures de l’Etat visé
nouvelles peursxii. L’approche peut être plus peuvent répondre en déstabilisant les ré-
discrète par une sorte d’infiltration ram- seaux adverses.
pante dans l’espace des données : la prise
de contrôle par les Chinois de chaîne d’hô- Plus grave, la conduite de la guerre devient
tels en est une : le groupe hôtelier Jin Jiang de plus en plus dépendante du cyberespace
a déboursé 1,3 MdsUS$ (mars 2015) pour et de la guerre électronique. Les systèmes
l’achat du deuxième groupe hôtelier euro- gérés en réseau sont créés par l’utilisation
péen (et ses données clients) alors que le mi- de l’énergie électromagnétique, et même des
nistre des Affaires étrangères souhaite faire réseaux qui ne sont pas directement reliés
de la France la plateforme de son groupe en au cyberespace peuvent être potentielle-
Europe. ment neutralisés comme cela est arrivé en 93
mer Noire pour le bâtiment USS Donald
Aucune cartographie nationale de ces Cook en 2013 survolé par un Sukhoï-24
risques n’existe, or le contrôle peut s’étendre (avril 2014) qui a utilisé l’énergie électro-
aux aéroports, à tout réseau. La menace sur magnétique pour interroger ou perturber les
la sécurité des infrastructures vitales appa- composants électroniques américains.
raît bien plus insidieux que la menace
atomique ou la bombe N ou bombe à Les opérations menées par la Russie sont
rayonnement renforcé (1979-1985). La prise des champs d’expérimentions low cost per-
de contrôle de réseaux électriques ou black mettant de tester des armes, mais aussi des
out (Ukraine, décembre 2016) n’est qu’un contre-mesures à moindre coût. Or, les me-
aspect de vulnérabilité d’un Etat que l’Esto- naces visent les systèmes de systèmes nés
nie (avril 2007) a déjà expérimenté. Tout dé- de l’hyperconnectivité décrite comme la nu-
pend de la « qualité » de la cible, des « buts mérisation du champ de bataille infocentré
de guerre » comme celui du virus « mali- et infovalorisé où tous les éléments mili-
cious » Stuxnet conçu par la NSA en colla- taires sont reliés (type programme Scor-
boration avec Israël utilisé contre l’arsenal pion).
nucléaire iranien : plus discret, plus propre
que l’attaque sur le réacteur irakien Osirak
(1981).
Conclusion nouveau genre, non pas par une occupation

du territoire, mais par une neutralisation des
Faut-il être « condamné au silence » (1955) réseaux dans une cyberguerre prenant la
s’il n’existe pas de visionnaire comme le forme d’un contrôle du cyberespace, du
brigadier général William L. Mitchell (né à monde virtuel par une captation et une ap-
Nice, 1879-1936) rayé des cadres en 1925 propriation illégitime de nos actifs informa-
pour avoir proposé de créer une armée de tionnels. C’est de la capacité des pouvoirs
l’air indépendante de la marine et de l’armée publics en lien avec les partenaires privés
de terre américaines, ainsi qu’un départe- de comprendre et de maîtriser les enjeux de
ment de la défense pour superviser ces trois la transformation numérique, mais ceci
entités, « accusing senior leaders in the conduit à une remise en cause doctrinale
Army and Navy of incompetence and almost fondamentale sur les questions de sécurité
treasonable administration of the national et de défense nationale.
defense » (accusation contre les chefs des ar-

mées « comparable à une trahison dans
l’administration de la défense nationale »), Bibliographie
et allant jusqu’à prévoir l’attaque de Pearl
94 Harbor (1941) ?
Arquilla John et Ronfeldt David, Cyberwar is com-
ing, Comparative Strategy 12 (1993), Rand Corpo-
La situation géopolitique à partir des années ration.
1990 change singulièrement les rapports de Arquilla John et Ronfeldt David, Networks and
netwar : The Future of terror, crime and Militancy,
forces internationaux, et la perception des Rand Corporation, 2001.
menaces qui en découle avec l’expansion du Bellanger Pierre, La souveraineté numérique, Ed.
cyberespace. Or, un cyber-Pearl Harbor reste Stock, Paris, 2014.
possible si la pensée stratégique ne s’inscrit Boyer Bertrand, Cyberstratégie, l’art de la guerre
pas dans un concept stratégique global, numérique, Ed. Nuvis, Paris, 2012.
Clarke A. Richard et Robert K. Knake, Cyber War,
« hors limites » et si elle considère la révo- HarperCollins Publ., New York, 2010.
lution numérique comme un outil supplé- Del Valle Alexandre, Les vrais ennemis de l’Occi-
mentaire pour lequel il faut construire une dent, L’Artilleur, Paris, 2016.
cyber-ligne Maginot. Desportes Vincent, La guerre probable, Ed. Econo-
mica, Paris, 2008.
Durieux Benoît, Clausewitz en France, Ed. Econo-
Appliqué à la France ou à l’UE, ce sera une mica, Paris, 2008.
« étrange défaite » industrielle qui com- Esambert Bernard, La guerre économique mondiale,
mence à se profiler. Enjeux de pouvoir plus Olivier Orban, Paris, 1991.
global dans un monde nouveau autour de Gibson William, Neuromancer, Ace, 1984.
la donnée ? Nouvelles menaces sans la Harbulot Christian, Sabordage, Ed. François Bourin,
Pariss, 2013.
guerre ? Guerre silencieuse et paix impré-
dictible ? La guerre économique ou d’un
Hassid Olivier et Lucien Lagarde, Menaces mor- Nye S. Joseph, Soft Power, New York, Public Af-
telles sur l’entreprise française, Ed. Nouveau fairs, 2004.
monde, Paris, 2016. Qiao Liang et Wang Xiangsi, La guerre hors li-
Kempf Olivier, Introduction à la Cyberstratégie, Ed. mites, Rivages Payot, Paris, 1999.
Economica, Paris, 2015.
Morin-Desailly Catherine, L’Union européenne, co-
lonie du monde numérique ?, Sénat, Rapport, 2013.
Notes
* DEA de l’Institut d’Etudes Politiques de Paris,
Ancien Responsable de la Protection du secret de la Défense,
Ancien Auditeur au Contrôle général économique et financier,
Ministères économique et financier

Héraclite d’Ephèse : « rien ne dure à part le changement ».
i
Vinton Cerf, un des pères de l’Internet n’a jamais caché qu’il s’est inspiré des recherches de Louis Pouzin
sur le Cyclades (1973-1975) en milieux universitaires et de ses protocoles pour mettre au point internet
et son protocole TCP/IP.
ii
Google est créé en 1998, Apple en 1976, Facebook en 2004, Amazon en 1994 et Twitter en 2006.
iii
Electronic Frontier Foundation. 95
iv
« You have no sovereignty where we gather », février 1996 à Davos.
v
In Strategic Cyberspace Operations Guide, US Army War College, Juin 2016.
vi
Selon la publication du National Military Strategy for Cyberspace Operations.
vii
En termes de capacité de stockage, un méga-octet (Mo) = un million d’octets, un giga-octet (Go) = un
milliard d’octets, et untéra-octet (To) = un trillion d’octets, ou en anglais terabytes (Tb).
viii
Une seule entreprise peut connaître 25 vulnérabilités zero-day dans ses systèmes de gestion type Scada.
ix
Selon les termes d’une réflexion stratégique menée par deux colonels de l’AP de Chine « la Guerre hors
limites » (paru en 1999) portant sur tous les aspects de la « guerre asymétrique » observée dans chacun
des domaines, économique, financier, religieux ou environnemental, et appartenant à une réflexion plus
large sur les ambitions « globales » chinoises.
x
Selon la définition de la CNIL suite au décret de janvier 2016 sur les données de connexion.
xbis CERT : Computer Emergency Response Team.
xi
Christizn Harbulot, Sabordage. Comment la France détruit sa puissance, Editions François Bourin, Paris,
2013.
xii
Cf. « La guerre psychologique », ouvrage établi par l’état-major français lors de la guerre d’Indochine
qui mériterait d’être réactualisé.

Cyberespace, Nouvelles Menaces Et Nouvelles Vulnérabilités 2017

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Cyberespace, Nouvelles Menaces Et Nouvelles Vulnérabilités 2017

Transféré par

Droits d'auteur :

Formats disponibles

CYBERESPACE, NOUVELLES MENACES ET NOUVELLES

ESKA | « Sécurité globale »

Article disponible en ligne à l'adresse :

Pour citer cet article :

Distribution électronique Cairn.info pour ESKA.

Powered by TCPDF (www.tcpdf.org)

Cyberespace, nouvelles menaces

© Editions ESKA Sécurité globale | n°9

Philippe MULLER FEUGA

visant à faire de l’Union européenne à mique » (octobre 2015). Le mot cyberespace

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

La data devient l’unité de base de l’Infor- Nouvelle matière première convoi-

Philippe MULLER FEUGA

sements inépuisables car renouvelables par

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

Philippe MULLER FEUGA

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

Philippe MULLER FEUGA

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

nées, privées ou professionnelles avec leurs de la question de l’appartenance ou non de

Philippe MULLER FEUGA

feuille informatique (SI) de sa société ? Qui économiques et financiers ; la seconde de

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

Philippe MULLER FEUGA

Conclusion nouveau genre, non pas par une occupation

defense » (accusation contre les chefs des ar-

Cyberespace, nouvelles menaces et nouvelles vulnérabilités

Ministères économique et financier

Vous aimerez peut-être aussi