Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ), appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)
La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?
GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.
La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.
Quelles sont-elles ?
L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.
Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?
Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.
Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.
Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?
Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.
Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.
Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…
C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.
La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.
De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?
Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.
Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.
Les aidez-vous à se mettre à niveau ?
Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.
Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?
Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.
Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.
Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.
L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?
Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.
Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.
L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?
L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.
Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.
La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.
La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?
Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.
Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.
L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?
La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.
En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?
C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !
Que manque-t-il à la directive NIS dans sa version actuelle ?
Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.
Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?
Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.
Comment ça ?
Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.
Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.
La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?
La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.
La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?
Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.
Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.
L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?
Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.
On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?
Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.