L’avenir de la filière industrielle aérienne (Guillaume Faury, président du GIFAS)

L’avenir de la filière industrielle aérienne (Guillaume Faury, président du GIFAS)

Lors de la neuvième édition du Paris Air Forum, le président du GIFAS Guillaume Faury a livré sa vision sur les grandes priorités de la filière aérospatiale civile et militaire française en termes de souveraineté (sécurisation de la supply chain et des circuits d’approvisionnement, taxonomie, accès à l’espace…) mais aussi de coopérations, notamment dans le domaine de la défense. Le président exécutif d’Airbus s’est également attaché à rappeler la longue route qui mènera vers l’avion vert. Cela se traduira par un effort vital pour conserver une industrie aéronautique française à la fois puissante et souveraine mais aussi ouverte aux coopérations.

Faury, président du GIFAS et président exécutif d’Airbus). (La Tribune)

 

 

La guerre en Ukraine et la conjoncture économique ne semblent pas freiner la demande de voyages pour cet été, mais n’y a-t-il pas un risque de rechute à l’automne ?

GUILLAUME FAURY- En ce qui concerne la demande de voyages, de vols, nous assistons à un retournement très fort depuis quelques mois et qui semble s’accélérer. La Chine connaît une situation particulière et il y a quelques exceptions en Asie, mais selon les données fournies par nos clients, cela arrive plus vite et plus fort que prévu. Y compris sur les vols business, ce qui était très incertain. Nous pouvons nous demander s’il n’y a pas un effet rebond et si cela ne va pas se calmer un peu par la suite. Mais pour le moment la « pent-up demand » (la demande en suspens, NDLR) est très forte. Elle est tellement forte que le problème est d’arriver à offrir des vols et des sièges en quantités suffisantes. Toutes les compagnies aériennes, les aéroports, souffrent du manque de bras, d’avions, de personnels au sol, d’équipages… Nous sommes passés d’une crise de la demande à une crise de l’offre.

Après deux ans de crise et dans un contexte international compliqué, comment se passe le redémarrage de l’activité ?

Nous voyons que c’est très dur. Il y a une concurrence de tous les secteurs sur la main d’œuvre, qui est devenue très rare. La grande démission de 2021, pour traduire une expression anglaise, est un fait. Une très grande partie des gens qui travaillaient dans les activités très fortement impactées par la crise Covid ont disparu et nous ne les retrouvons pas. C’est vrai pour la supply chain de l’aviation civile, du tourisme, de l’aviation commerciale… Quant aux supply chain des constructeurs, elles sont également mises à très rude épreuve avec la difficulté de faire voyager autour du monde des pièces et des équipements. Nous vivons une crise de logistique qui a fortement bénéficié aux transporteurs. Des compagnies comme CMA-CGM ou MSC ont connu des résultats exceptionnels qui reflètent la rareté de l’offre de logistique autour du monde. Nos supply chain habituelles ont été très fortement secouées par le Covid. Elles le sont aussi par la crise en Ukraine et par la nouvelle crise que nous voyons en Chine. Évidemment, toutes les chaînes européennes et françaises sont en train de regarder ces perturbations avec beaucoup d’inquiétudes et mènent des actions au fur et à mesure pour s’en prémunir.

Les principes qui régissaient le fonctionnement de ces chaînes d’approvisionnement ont donc évolué ?

Nous sommes passés d’une logique de fonctionnement très précise, avec un système logistique très performant, à une logique où nous essayons de créer de la résilience. C’est-à-dire d’avoir des chaînes d’approvisionnement qui soient beaucoup plus robustes aux changements et aux difficultés autour du monde. Ce changement de paradigme s’illustre par une expression : nous sommes passés du « just-in-time » au « just-in-case ».

Dans ce contexte de tensions internationales, il y a le cas spécifique de la Russie, mais surtout celui de la Chine. Est-ce que la filière se pose des questions sur la place de la Chine sur son écosystème ?

Beaucoup de questions se posent sur les conséquences de cette crispation internationale, des tensions, des logiques de blocs qui se remettent en place. Ce qui se passe avec la Russie pose beaucoup de questions, mais la situation avec la Chine est très différente. Dans l’aviation, mais aussi dans beaucoup d’autres industries comme l’automobile, les interdépendances sont à de très nombreux niveaux et très profondément inscrites dans les supply chain, y compris dans les composants électroniques, les câbles, les connecteurs. Nous avons mis 50 ans à construire cela. Cela a commencé avec le voyage du président américain Nixon à Pékin en 1972. Depuis, le monde a beaucoup changé et il est devenu très interdépendant au niveau du commerce international. Si nous avions avec la Chine une crise similaire à celle avec la Russie, les solutions ne seraient sans doute pas de même nature. Pour autant,les questions se posent. Nous sommes dans une logique de dérisquage, de résilience, et nous réfléchissons pour savoir comment nous positionner dans un monde complexe, avec des tensions, afin d’avoir des supply chain robustes nous permettant de maintenir notre activité dans cet environnement incertain.

Pour la filière défense, quel est votre retour d’expérience du conflit en Ukraine ? Comment l’Europe doit-elle tirer des conséquences de ce retour de la guerre sur son sol ?
Nous avons beaucoup de choses à apprendre de ce qui se passe entre la Russie et l’Ukraine. D’abord, si on ne veut pas la guerre, il ne faut pas être faible, mais fort pour assurer une dissuasion vis-à-vis d’un agresseur éventuel et être capable de répondre en cas d’agression. En Europe, depuis plusieurs décennies, ce n’est pas comme ça qu’on a abordé la situation. Beaucoup de pays, notamment à l’Est, voulaient récupérer les fruits de la paix, pensant qu’elle serait là pour toujours. On se rend compte aujourd’hui que ce n’est pas le cas. Les chiffres mentionnés à Versailles sur l’évolution des dépenses des grands blocs depuis la création de la zone euro il y a 20 ans me semblent très parlants. L’Europe a augmenté ses dépenses de défense de 30%, les Etats-Unis de 66%, la Russie de 300%, la Chine de 500 ou 600%. A l’heure où le conflit armé fait son retour en Europe , on peut légitimement se demander si on a vraiment fait tout ce qu’il fallait pendant cette période de paix.

Ce qui n’est aujourd’hui pas le cas…
… Il faut avoir une vision de long terme sur les sujets de défense. Ces dernières semaines les pays européens ont lancé des actions dans l’urgence pour essayer de corriger les « gaps » à court terme. Mais il faut surtout se reposer les bonnes questions de notre indépendance stratégique, de la façon dont on veut être équipé en armement, pour être capable de dissuader suffisamment et de répondre en cas de crise. Il faut également se poser les questions des alliances internationales. Un système de sécurité efficace n’est pas composé de blocs isolés, mais il faut essayer de créer de vraies alliances, pour avoir un impact plus fort dans une conflictualité possible. De ce point de vue, l’OTAN est une alliance très importante. On a vu à quel point elle était importante pour répondre aux enjeux de ce conflit.

Les pays européens vont-ils se réarmer ?
Je pense que les pays européens vont dépenser beaucoup plus d’argent pour la défense. Est-ce une bonne nouvelle ? Je ne porte pas de jugement de valeur. C’est nécessaire. Il ne faut pas être naïf : on est dans un monde complexe, qui va le devenir encore plus, où il y aura des pénuries de ressources et donc des possibilités de tensions dans l’avenir encore plus fortes qu’au cours des dernières décennies. Il faut s’équiper, s’armer et regarder cette situation avec lucidité. Il faut donc s’organiser pour devenir puissant technologiquement, au niveau des alliances et économiquement. Parce que les armements du 21eme siècle, qui sont des systèmes très technologiques, sont très chers. Il faut les faire en étant organisé dans le cadre de partenariats. D’où ce qui se passe au niveau européen pour organiser les programmes du futur, avec un effet d’échelle suffisant pour être performant.

Ne craignez-vous pas que le réarmement européen va bénéficier en grande partie aux industries américaines ?
Je l’ai dit précédemment, il faut s’organiser pour être bien équipé. Mais cela doit se faire sur le long terme. Il faut lancer des programmes, développer des technologies, investir, récolter les fruits des investissements. Cela prend du temps, et c’est donc sur le moyen et le long terme que nous pourrons agir. A court terme, s’il y a des capacités qui n’existent pas en Europe, il faut aller les chercher là où elles existent, c’est-à-dire chez nos alliés, et très souvent chez les Américains. La notion de BITD, la base industrielle et technologie de défense bien connue en France, commence à être comprise au niveau européen. Cela reflète bien cette prise de conscience. Si nous ne sommes pas capables de lancer sur le long terme, au niveau européen, des programmes de grande taille avec des montants d’investissement très importants, avec des équipes compétentes, la seule alternative est d’aller les acheter à l’étranger. Mais nous perdrons en souveraineté. Il y a le temps court, où nous n’avons pas beaucoup de choix, et le temps long où il y a beaucoup plus de possibilités d’organisation. C’est sur celui-là qu’il faut travailler très fortement.

Justement, comment trouver le bon équilibre entre souveraineté nationale et coopération européenne pour l’industrie de défense, qui est un outil clé de la souveraineté des pays ? Est-ce que les deux objectifs sont compatibles ?
Ils sont compatibles – et quand ils semblent ne pas l’être, il faut les rendre compatibles. Si on travaille uniquement à l’échelle nationale, nous n’avons pas l’effet d’échelle dont on a besoin. Je prends l’exemple du F-35. Les Etats-Unis ont un budget de défense trois fois plus important que celui de tous les pays d’Europe combinés. Ils ont développé un avion de combat unique, le F-35. En Europe, nous en avons trois pour un budget trois fois plus petit. On ne peut pas faire jeu égal dans ces conditions. L’idée qu’on puisse tout faire en national est fausse, mais l’idée qu’on ne peut rien faire en national est également fausse. Sur les sujets où l’effet d’échelle n’est pas essentiel, c’est beaucoup plus compliqué d’arriver à un accord à plusieurs. Pour lancer des programmes en commun, il faut donc regarder les projets dans lesquels on a besoin d’investir des montants très importants et où il y a une masse critique à atteindre. J’aime comparer avec l’aviation commerciale. On a un constructeur européen qui est Airbus. Si on avait un constructeur français, un anglais, un allemand, un espagnol, il n’y aurait finalement aucun constructeur, car aucun n’aurait la taille, ni l’effet d’échelle nécessaire pour être compétitif sur le plan mondial. Dans la défense, il y a des enjeux où l’effet d’échelle est comparable. Et c’est sur ces enjeux qu’il faut se mettre ensemble.

Dans le domaine spatial, il y a également des questions de souveraineté. La constellation proposée par Thierry Breton permettrait de faire jeu égal avec les Etats-Unis. Est-ce vraiment nécessaire
Il ne faut pas laisser tomber. Les constellations sont un des domaines de taille critique où l’Europe doit être présente. Ce sont des investissements absolument considérables, dont tous les pays européens ont besoin, séparément et ensemble. C’est le sujet typique où nous avons intérêt à nous mettre ensemble. Et en plus, il faut aller vite. La démarche européenne est la bonne et, il faut y arriver. Entre avoir le bon objectif et y arriver, il y a parfois une différence. Il faut tout faire pour aider la Commission à trouver une solution pour faire cette constellation européenne, qui sera un des éléments de résilience civile et militaire dont aura besoin l’Europe.

L’accès à l’espace est également très important pour la souveraineté européenne. L’Europe traverse actuellement une période compliquée. Ariane 6 est en train d’arriver mais avec toutes les incertitudes d’un nouveau lanceur. C’est également le cas pour Vega C, dont un des moteurs est en outre fabriqué en Ukraine. Sans parler de l’arrêt de Soyuz à Kourou et Baïkonour. Comment gérer cette période compliquée pour l’accès à l’espace en Europe ?

On vient d’une époque où, au niveau mondial avec Ariane 5, on avait un positionnement unique et reconnu comme tel. Les Etats-Unis ont repris la main, à travers SpaceX qui marche très bien. La concurrence n’est pas forcément une mauvaise chose. Aujourd’hui, la priorité numéro une est de faire marcher Ariane 6. Les évènements récents ont montré l’importance stratégique de l’accès autonome à l’espace. Ariane 6 va y participer. Je suis absolument certain qu’Ariane 6 sera un excellent produit, un très bon lanceur pour les Européens. Je suis certain que ce lanceur atteindra ses objectifs. C’est un programme important avec les difficultés d’un programme en développement. Mais ce n’est pas parce que SpaceX est un bon produit qu’Ariane 6 ne sera pas un très bon produit. Ce n’est toutefois pas suffisant, Ariane 6 étant un point de passage. Car l’accès à l’espace continue à progresser. Il faut que sur ce sujet, nous travaillons en étroite coopération avec les Européens parce que c’est un domaine où il y a peu d’utilisations mais d’énormes investissements à effectuer. C’est un cas typique où nous avons intérêt à nous regrouper entre Européens. Et malheureusement on voit aujourd’hui beaucoup de projets centrifuges les uns avec les autres et beaucoup de difficultés à trouver les clés d’une coopération entre Italiens, Allemands et Français, sur les différents segments de lanceurs. Nous devons faire l’effort d’essayer de repenser l’accès à l’espace en Europe mais aussi l’organisation étatique et industrielle, pour revenir tous autour de la table avec des projets communs, plutôt que de partir chacun avec des projets concurrents, qui finalement nous affaiblissent à terme, plutôt que nous renforcer.

Dernier sujet sur la souveraineté, l’extraterritorialité, qui est une arme commerciale redoutable pour les Etats-Unis. Et ce d’autant que l’Europe n’a pas mis en place un système équivalent. Pourquoi l’Europe se laisse-t-elle faire ?

Il y a un sujet de culture. Les outils extraterritoriaux américains répondent à une logique de domination et de contrôle. Ce qui est d’ailleurs déplaisant pour nous lorsque nous y sommes soumis car ces outils sont contraignants à gérer.. Ce n’est pas la logique européenne. Est-ce qu’on veut mettre en place des outils extraterritoriaux de même nature en Europe ? Il faudra d’abord se mettre d’accord sur une réponse à 27,, ce qui risque d’être difficile étant donné la complexité du sujet.

Et la Chine ?

La Chine a plus de volonté et de capacités que l’Europe à mettre en place ce type d’outils. Elle est d’ailleurs en train de monter en puissance pour mettre en œuvre de telles règles afin de contrer la domination américaine dans ce domaine. Si l’Europe se retrouve seule face à ces grands blocs, sans outil de même nature, cela pourrait affaiblir les industriels européens. L’Europe doit être beaucoup plus déterminée dans son ambition à mettre en place des réponses pour contrer ces outils extraterritoriaux américains et demain chinois.

En matière de transition environnementale, le secteur s’est engagé dans le pari d’atteindre le « zéro émission nette » en 2050. C’est un marathon à mener à la vitesse d’un sprint. Pour y arriver, peut-on toujours rêver d’un avion moyen-courrier « zéro émission » propulsé à l’hydrogène en 2035 ?

La réponse est oui ! Mais je vais élaborer un peu. Tout ne repose pas sur l’avion à hydrogène. Chez Airbus, nous visons la mise en production et l’entrée en service d’un avion en hydrogène en 2035, mais si nous regardons l’impact de l’avion à hydrogène en 2050 sur les émissions de carbone de l’ensemble de l’aviation, il sera encore très limité. L’hydrogène est la technologie de la deuxième moitié du siècle. Nous en aurons besoin, car la décarbonation passe un jalon important en 2050 mais ne s’arrête pas là. Il faut que cela continue par la suite, avec des solutions plus efficaces d’un point de vue énergétique que celles mises en place face à l’urgence climatique.

Est-ce que le gel des choix techniques pour cet avion zéro émission est toujours prévu en 2025 ?

Nous sommes dans une phase extrêmement active sur les essais, les validations, les solutions concurrentes sur chacun des sujets, de manière à être sûr d’avoir au moins une solution qui fonctionne bien. Nous ferons le tri au fur et à mesure des résultats des essais. Notre objectif est de finir le développement des technologies pour 2025, puis de geler la configuration du projet aux alentours de 2027, pour enclencher le programme en 2028 et entrer en service en 2035. Nous sommes sur cette feuille de route et elle tient.

Quels sont les autres leviers pour appuyer cette transition environnementale ?

J’aime rappeler que nous avons plusieurs volets importants dans la décarbonation. Le premier, c’est de réduire la consommation des avions. Sur les 24.000 avions commerciaux qui volent dans le monde, environ 20% seulement sont des appareils de dernière génération. Or, nous savons qu’il y a une énorme réduction de consommation de carburant entre la dernière génération et la précédente, de l’ordre de 20 à 40%. Le deuxième, c’est que ces avions sont déjà certifiés pour utiliser 50% de « sustainable aviation fuel » (SAF, carburant aérien durable). Des carburants décarbonés à 90% par rapport au kérosène. Or, nous n’en utilisons qu’une toute petite fraction. Il est urgent de développer ces filières SAF, pour augmenter la part de carburant décarboné pour l’aviation. Patrick Pouyanné (le PDG de TotalEnergies, qui intervenait également au Paris Air Forum, NDLR) a donné un chiffre : 300.000 tonnes produites par an (en France, NDLR) à l’horizon 2030. Nous sommes sur la bonne voie et il faut accélérer très fortement.
Sur le long courrier, nous ne voyons pas encore comment nous allons faire un avion à hydrogène. Nous aurons besoin des solutions SAF, puis 100% SAF à l’horizon 2050, voire 2030. Des SAF qui ne seront pas les biocarburants d’aujourd’hui, mais des carburants de synthèse produits avec de l’énergie décarbonée, du captage de carbone, de l’hydrogène vert… Toutes les chaînes énergétiques sont à mettre en place. Le sujet est avant tout énergétique.

Peut-on imaginer se retrouver avec un successeur de l’A320 NEO qui ne soit pas à hydrogène, en parallèle de l’avion zéro émission ?

Il y a plusieurs façons de remplacer l’A320, qui est un avion couteau suisse, qui va du court courrier jusqu’au long courrier avec le XLR (version à long rayon d’action de l’A321 NEO, NDLR). Il est peu probable que nous remplacions tout cela en une fois. Il y aura plusieurs solutions technologiques différentes pour adresser les différents segments. Nous pensons que l’entrée en service de l’avion à hydrogène commencera sur le bas du segment, en court et moyen-courrier, avec des avions de petite taille au rayon d’action relativement limité. Mais cela correspond à une grande partie des vols commerciaux. Il y a plusieurs raisons à cela. La fourniture de l’hydrogène et les écosystèmes vont être régionaux, nationaux voire un peu plus. Aller très loin avec un avion à hydrogène, c’est courir le risque d’arriver dans un aéroport où il n’y en a pas. Ce n’est pas acceptable. Et comme la taille des investissements est proportionnelle à celle des avions, nous souhaitons en premier lieu investir dans un avion à hydrogène de taille modérée.

Aux Etats-Unis l’option hydrogène semble moins avancée. Est-ce qu’il n’y a pas un risque de se retrouver avec des choix technologiques très différents sur un même segment ?

Je ne partage pas votre observation sur le fait que les Etats-Unis appuient moins sur la pédale de l’accélérateur pour l’hydrogène. Ce qui est sûr, c’est que notre concurrent principal (Boeing, NDLR) voit cela arriver plus tard que nous. Mais l’écosystème hydrogène se développe aussi à grande vitesse aux Etats-Unis. Nous voyons des projets de décarbonation aller très vite, car il y a plus d’argent et une très grande conscience environnementale aux Etats-Unis. L’hydrogène n’est pas uniquement unsujet européen. Mais la conclusion reste vraie, il faut que nous avancions de façon à avoir un écosystème assez large pour que l’avion à hydrogène puisse être un avion mondial. Il y a là un gros sujet de réglementation.

L’accès à l’énergie décarbonée va être stratégique. Quelle doit être la place de l’aéronautique dans cet accès à l’énergie décarbonée ?

On ne se pose pas la question de savoir quel secteur a le droit d’acheter du pétrole ou du gaz. Il y a une logique de marché qui permet de réguler beaucoup de choses avec des forces économiques. L’avantage de la régulation par le marché, c’est que cela va à l’endroit où c’est le plus efficace, où la valeur créée est la plus importante. Il y aura un sujet de distribution de l’énergie. C’est pour cela qu’on parle de transition énergétique. Il est important de ne pas couper pétrole et gaz tout de suite, sans quoi nous aurons une course effrénée et désorganisée pour mettre la main sur ces énergies décarbonées.

Il y a un chiffre que j’aime bien citer : si l’énergie utilisée par les êtres humains en 2020, c’est 100 %, dans un monde décarboné, l’énergie dont on aura besoin en 2050, ce sera 250%. Les besoins en énergie augmentent sous l’effet de la démographie, de l’accès à l’énergie de populations qui sortent de la pauvreté. Mais les besoins augmentent aussi car les énergies décarbonées sont moins efficaces que les énergies fossiles. C’est vrai pour tous les secteurs. Aujourd’hui, sur les 100%, il n’y a que 20% d’énergie décarbonée. Ce sont ces 20% qui doivent devenir 250% en 30 ans. Le défi est donc de multiplier par 12 la quantité d’énergie décarbonée produite sur Terre pour répondre aux besoins de l’humanité en 2050.

L’aviation n’est pas un secteur qui va créer une rupture, un déséquilibre, sur la répartition de l’énergie. Nous allons puiser dans les ressources d’énergies décarbonées très graduellement, avec une transition progressive à travers des avions qui consomment moins, les SAF, puis l’hydrogène.

Il va donc falloir développer beaucoup de technologies différentes et mettre en place des écosystèmes complets en parallèle. Willie Walsh, directeur général de l’IATA disait que le coût de la transition énergétique était de l’ordre de 2.000 milliards de dollars d’ici 2050. Est-ce que l’industrie va pouvoir financer tout cela de front pour arriver au zéro émission nette ?

Aujourd’hui, ce qui est devant nous c’est avant tout une transition énergétique. Pour nous mais aussi pour les autres secteurs. Ce qui est intéressant et récent, c’est que les grands financiers de la planète ont envie d’aller investir sur la transition énergétique. Ils sont prêts. Il va y avoir de l’argent et de plus en plus de projets. Il va falloir que ce secteur investisse et il a besoin de retrouver une santé financière pour en être capable. C’est pourquoi nous prêchons énormément pour aller vers des encouragements, des incitations, plutôt que vers des taxes, des punitions, des solutions qui nous ralentissent. Il faut accélérer, pas ralentir.

Dans le cadre du « Fit for 55″, le pacte vert mis en place par l’Union européenne, est-ce qu’il n’y a pas un risque si l’aviation n’entre pas dans la taxonomie verte ?

« Fit for 55″ comprend plusieurs volets qui s’appliquent à l’aviation. Certains nous plaisent, d’autres beaucoup moins. Le sujet est de trouver les bons moyens pour réaliser cette transition. Tout le monde essaie, avec des dogmatismes, des visions différentes. Nous ne sommes pas au paquet législatif optimum. Mais, nous avons quand même un paquet qui tente de rendre possible la transformation de l’aviation avec l’utilisation des SAF avec un mandat d’incorporation à 5% en 2030. Nous pensons qu’il aurait dû être à 10%, ce qui aurait été atteignable et bien meilleur en termes de trajectoire pour être entièrement décarboné en 2050. Et nous voyons les taxes européennes arriver sur les carburants. Cela ne va pas aider les compagnies européennes à être en bonne santé pour réaliser les investissements dont elles ont besoin. Il y a un mix avec des choses bonnes et moins bonnes.

Vous seriez favorable à un système de subventions comme aux Etats-Unis ?

Je pense qu’un système de subventions, d’aides, d’incitations, est beaucoup plus fort. On fait beaucoup plus bouger les gens par l’envie, par la motivation, que par l’empêchement. Dans l’aviation, je vois que les Etats-Unis accélèrent très fortement, sous l’effet de l’encouragement de l’esprit d’entreprise, des projets qui vont gagner de l’argent, alors qu’en Europe on essaye de mettre le frein. Malheureusement, on utilise beaucoup le bâton en Europe et la carotte aux Etats-Unis. C’est dommage. Nous risquons de voir ces derniers accélérer beaucoup plus vite que nous, alors que l’Europe avait un avantage compétitif avec une conscience environnementale plus forte.

En l’absence de ces subventions, comment faire pour déverrouiller la mise en place de l’écosystème SAF ?

Il aurait fallu un mandat à 10%. Mais nous sommes déjà contents des 5%. C’est le verre à moitié plein. Mais nous voyons aussi beaucoup de compagnies aériennes prendre conscience que si elles ne s’y mettent pas elles-mêmes, à un moment donné, ce ne sera plus acceptable. Nous allons y arriver parce qu’elles se mettent au boulot et prennent des engagements. C’est très positif. Et une fois que la demande est là, l’offre va venir. Si Patrick Pouyanné dit qu’il va faire 300.000 tonnes de SAF, c’est parce qu’il pense qu’il va les vendre. Il ne les fait pas juste pour les produire. Il y a des acheteurs. Il y a une demande venue de gens qui veulent voler en étant très respectueux de la planète. ll faut que ce que nous leur apportions des solutions et que ce que nous faisons soit visible.

On avait l’impression qu’avec la guerre en Ukraine le projet de taxonomie avait été rangé au fond d’un tiroir. Mais finalement, même s’il a été semble-t-il largement amendé, il reste toujours un véritable problème pour l’industrie de défense, qui aura dû mal à l’avenir à se faire financer. D’autant que le groupe de travail sur la taxonomie continue de travailler et n’a pas été dissous. Comment l’industrie de défense va-t-elle se sortir de ce piège ?

Nous avons été parmi les premiers à pointer du doigt les incohérences en Europe sur ce sujet. Il faut toutefois regarder ce dossier avec prudence. L’agression russe sur l’Ukraine a fait prendre conscience à beaucoup de gens qu’il fallait avoir un outil de défense et de sécurité et être capable de le financer. Cela a rappelé les fondamentaux. Pour autant, la taxonomie environnementale et sociale continue d’avancer. D’ailleurs, il y a beaucoup de points très positifs dans les sujets traités. Je ne veux pas rejeter en bloc la démarche, qui est de trouver des mécanismes encourageant la transformation environnementale et sociale. Mais je pense qu’on a commis une erreur sur la compréhension fondamentale du rôle de la défense. La défense devrait être encouragée, au titre de la taxonomie sociale. Parce qu’un système de défense efficace prévient les conflits, assure la paix et donc la prospérité et permet d’avoir la capacité de financer tout ce qu’il y a à financer. Il faudrait au contraire encourager le financement des activités de défense et de sécurité. Mais il y a beaucoup de points de vue très différents en Europe sur ce qu’est la défense, comment contrôler que les armements développés pour nos forces armées ne tombent dans de mauvaises mains. C’est un sujet sur lequel il faut qu’on continue à travailler. Oui, les armements du futur sont dangereux. Il faut en assurer un très bon contrôle, veiller à ce qu’ils contribuent à la paix et pas à la déstabilisation du monde. C’est toujours plus facile de croire qu’on est mieux sans armement. C’est plus simple. Malheureusement, on vient de voir que cela ne marche pas.

Avez-vous par ailleurs senti une volonté de la part du système bancaire européen de ne plus vouloir financer l’achat d’avions pour des raisons de transition environnementale ?

Dans le civil, ce n’est pas une tendance significative. On l’a vu dans le domaine de la défense arriver par l’est et le nord de l’Europe mais aussi par l’Allemagne. Cela s’est beaucoup calmé depuis le début de la guerre avec l’Ukraine. Nous avions déjà beaucoup commencé à travailler, à expliquer et nous avions un système financier assez à l’écoute de nos arguments. Il était également attentif à l’utilisation des armements dans le cadre des exportations. Aujourd’hui, je ne vois pas l’équivalent dans le domaine de l’aviation commerciale. Pendant le Covid, nous n’avons pas eu de problème pour obtenir des financements pour les ventes d’avion. Il y a une conscience très forte que l’aviation à un avenir. C’est le seul moyen de transport qui n’a pas besoin de détruire les écosystèmes au sol qu’on prétend protéger en s’affranchissant de l’aérien. Mais le sujet du carbone reste capital.. On a réussi à convaincre que nous prenions ce sujet sérieusement et que nous avions des solutions pour le régler. A partir de là, nous trouvons des solutions pour financer les achats d’avions.

Guillaume Larrivé fusille la candidature de Pécresse

Chez les socialistes mais aussi chez les républicains les rats fuient le navire. Ainsi de nombreux républicains notamment Rachida Dati ne manquent pas de démolir la candidate du parti Républicains pour le moment venu prendre sa place à Paris voire s’installer à la tête des Républicains. De la même manière, le très à droite républicain Guilhaume Larrivée prévoit déjà l’union deuxième tour avec Macron.  Une hypothèse vraisemblable mais qui en même temps fusil complètement la candidature de Valérie Pécresse.

Il est clair que chez les républicains quand on a de tels amis on n ‘ a guère  besoin d’ennemis. Des ralliements d’opportunité, parfois de conviction mais surtout des ralliements de raisons personnelles pour se placer  dans la future majorité. Une sorte de mercato politique qui sent la trahison.Un spectacle finalement assez désolant quand on attend  quelques semaines avant la date d’un scrutin pour changer de conviction. Pas étonnant que les Français aient une telle image négative de la politique

Dans une interview accordée au Point , l’ancien directeur adjoint du cabinet de Brice Hortefeux l’affirme d’emblée : «J’aurais aimé pouvoir mettre un bulletin “Nicolas Sarkozy” dans l’urne de l’élection présidentielle. J’ai été et je reste sarkozyste.» Pour celui dont le nom avait circulé pour rejoindre le gouvernement Castex à l’été 2020, «il y a désormais de fortes convergences entre le projet présenté par LR et le projet présidentiel d’Emmanuel Macron.»

Un constat de relative uniformité idéologique qui le pousse à prévoir l’avenir de son camp en cas de réélection du locataire de l’Élysée. «C’est une excellente nouvelle pour notre pays car cela doit permettre de poser les bases d’une action commune», explique Guillaume Larrivé, selon qui «être responsable, c’est envisager, dès maintenant, publiquement, les scénarios du second tour puisque l’avenir de la France en dépend.»

Façon de savonner la planche de la candidate LR alors que Valérie Pécresse se démultiplie pour se différencier à tout prix du bilan et du programme du président-candidat.

« Mercato » politique 2022: Guillaume Peltier muté chez Zemmour

« Mercato » politique  2022: Guillaume Peltier muté chez Zemmour

 

Comme football le mercato politique est ouvert avec des mutations de certains responsables. Le dernier en date concerne Guillaume Peltier un habitué des changements de maillots puisqu’il aura été responsable au Front National, puis au MNR mouvement de Maigret puis au MPF mouvement de de Villiers en passant par l’UMP, puis les républicains et nombres de micros partis.

 

Bref l’archétype du mercenaire politique de droite ( il en existe aussi à gauche) qui certes n’aura pas réussi dans les affaires mais qui se sera fait une place en politique depuis maintenant une vingtaine d’années.

 

Et pour être élu ce responsable issu de la région parisienne a labouré le terrain des ploucs : en Touraine puis dans le Loir-et-Cher.

 

 Dernièrement il avait été exclu des organes dirigeants des républicains pour avoir signalé sa proximité avec Robert Ménard le maire de Béziers un autre itinérant de la politique passé lui de l’extrême gauche à l’extrême droite. Et récemment selon les sondages de Le Pen à Zemmour et réciproquement

Tech-Les risques d’une cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

 

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

Société-Les risques d’une cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

 

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

0 Réponses à “Les risqus cyber catastrop

Les risqus  cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

 

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

Menace de cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

Politique-Menace de  cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

 

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

Risque de  cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

 

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

Vers une cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

Vers  une cyber catastrophe systémique ? (Guillaume Poupard, ANSSI)

Pierre angulaire de la révolution numérique, la cybersécurité est aussi l’une des clés de la souveraineté technologique européenne. Guillaume Poupard, (ANSSI, l’Agence nationale de la sécurité des systèmes d’information ),  appelle la France à ne pas oublier les acteurs européens du cloud au profit des Gafam américains . (dans la Tribune, extrait)

La crise du Covid-19 a mis en évidence la fragilité des systèmes informatiques. L’Anssi a alerté fin 2020 que le nombre de victimes des cyberattaques a quadruplé en un an en France. Comment la situation évolue-t-elle en 2021 ?

GUILLAUME POUPARD - Cela ne fait que s’aggraver car la cybercriminalité se professionnalise depuis quelques années, avec pour principal objectif l’appât du gain par des réseaux organisés qui agissent comme de véritables entreprises. De fait, les attaques sont de plus en plus nombreuses et bien ficelées. Les cybercriminels ont mis en place un modèle économique du « ransomware as a service » (RaaS) qui est redoutablement efficace. Avec le RaaS, n’importe quel escroc sans compétence informatique peut devenir un cybercriminel. Les logiciels de rançon sont commercialisés clé en main sur le darkweb. Il y a des personnes qui développent les attaques, d’autres qui les vendent et d’autres qui les exécutent.

La conséquence de cette industrialisation de la cybercriminalité est l’explosion du nombre d’attaques. Entre le premier semestre 2020 et le premier semestre 2021, l’Anssi évalue la progression à +60% ! C’est donc une véritable catastrophe économique. Si on est de nature optimiste, on peut remarquer que la progression ralentit car c’était pire l’an dernier à la même époque, mais objectivement la situation est mauvaise. D’autant plus que les autres menaces, celles qui ne sont pas visibles, continuent de se développer.

Quelles sont-elles ?

L’espionnage. En parallèle de la cybercriminalité « classique » qui touche les entreprises, les collectivités et le grand public, se développe une cybercriminalité « stratégique », menée par des grands Etats avec des groupes affiliés. Cette cyberguerre existe depuis longtemps mais elle se renforce. Ces hackers mènent des campagnes de plus en plus complexes et massives, ils ont des moyens quasi-illimités et agissent dans le cadre d’un affrontement géopolitique entre les grandes puissances de ce monde. C’est la nouvelle guerre froide, mais dans le cyberespace. L’Anssi trouve des traces de ces réseaux partout.

Peut-on enrayer cette augmentation rapide et spectaculaire des cyberattaques ?

Il faut distinguer la cybercriminalité « classique » de la cybercriminalité étatique, car nous avons beaucoup plus de marge de manœuvre pour faire reculer la première. Les cyberattaques contre les entreprises et les collectivités prospèrent car personne n’est vraiment prêt. Mais ce n’est pas une fatalité, on peut agir. Si chacun fait un véritable effort, si chaque patron de PME, de TPE ou d’hôpital comprend qu’il a une responsabilité et qu’il doit allouer à sa cybersécurité un budget non-négligeable et incompressible, alors on peut casser cette dynamique et se protéger collectivement.

Il ne faut pas tout attendre de l’Etat : la cybersécurité est une responsabilité individuelle. Les particuliers doivent adopter de bons réflexes sur leurs mots de passe ou la mise à jour de leurs logiciels pour éviter de se faire piéger. Les entreprises et les collectivités doivent intégrer la dimension cyber dans tous leurs projets et porter le sujet au niveau de la direction générale. La cybersécurité est une composante de la transformation numérique de l’économie et de la société. Je crois qu’on vit une vraie prise de conscience et que dans cinq ans la cybercriminalité classique aura baissé.

Mieux se protéger collectivement permettra-t-il aussi de faire reculer la cybercriminalité étatique ?

Oui et non. Oui car il y a forcément un effet ricochet : les entreprises et organisations les mieux protégées sont moins attaquées. Une entreprise dans la supply chain par exemple, peut devenir la cible d’une cyberattaque d’origine étatique si l’objectif est d’affaiblir son client final. C’est ce qui est arrivé aux Etats-Unis avec l’attaque SolarWinds, qui a traumatisé les autorités car c’était une attaque massive contre le gouvernement fédéral et les réseaux énergétiques américains via un logiciel tiers, Orion, fourni par l’entreprise SolarWinds. Il faut donc mieux protéger à la fois les grands groupes et leurs écosystèmes.

Ceci dit, il est beaucoup plus difficile de stopper la cybercriminalité étatique car le niveau des assaillants est encore plus élevé. Pour lutter contre eux, il faut utiliser tous les moyens de renseignement et de coopération internationale. L’enjeu est de détecter au plus tôt les agressions pour les éviter ou atténuer leur gravité, mais aussi être capable de faire de l’attribution de menace pour avoir une politique de sanctions et une diplomatie plus efficaces. Aujourd’hui il est très complexe de relier de manière incontestable un réseau cybercriminel à un Etat, ce qui permet aux Etats de nier. Les militaires parlent du cyberespace comme d’un nouvel espace de conflictualité. Les Etats y préparent les conflits du futur, des agents dormants sont placés dans des secteurs stratégiques comme les transports, l’énergie, les télécoms, pour agir le jour où ils en ont besoin.

Vous êtes optimiste sur la capacité de la France à inverser la courbe des cyberattaques, mais aujourd’hui les PME, les TPE et les collectivités restent globalement mal protégées. Même les grands groupes souffrent d’énormes failles de sécurité qui sont régulièrement exploitées par les cybercriminels…

C’est vrai, mais aujourd’hui plus aucune entreprise du CAC40 ne sous-estime la menace cyber et le sujet est passé au stade de la direction générale, ce qui signifie que les budgets suivent. De plus, il y a une prise de conscience globale, à commencer par l’Etat qui a lancé sa stratégie cybersécurité en début d’année et qui consacre 1,3 milliard d’euros pour rassembler l’écosystème français de la cyber et accélérer la protection de tout le monde.

La réalité est que les plus mal protégés -TPE, collectivités, hôpitaux…- ne pensaient pas être des cibles. Ils ne sont pas idiots ni négligents, mais ils se disaient : « pourquoi serais-je attaqué alors qu’il y a tellement plus d’argent à récolter ailleurs ? » Sauf que l’expérience montre que tout le monde est attaqué, même les petits. Les petits paient même plus facilement la rançon, car l’arrêt forcé de leur activité à cause d’un ransomware peut les conduire à mettre très vite la clé sous la porte. Du coup tout le monde est en train de se protéger, mais cela prendra encore quelques années pour se mettre à niveau. C’est une course contre la montre mais je suis confiant sur le fait qu’on y arrivera.

De nombreux hôpitaux ont été attaqués depuis la crise sanitaire, dont plusieurs centres hospitaliers en France, notamment à Rouen, Dax et Villefranche-sur-Saône. Ces attaques ont révélé l’ampleur de leur impréparation. Mais ont-ils les moyens financiers, techniques et humains de bien se protéger ?

Les hackers avaient coutume de vanter une sorte de code de bonne conduite qui épargnait les hôpitaux, mais ce code a volé en éclat avec la crise sanitaire. Je doute même qu’il ait vraiment existé. A mon avis les hôpitaux étaient moins pris pour cible avant le Covid parce que les hackers voulaient éviter de se retrouver dans le radar des autorités, et attaquer un lieu sacré c’est le meilleur moyen d’attirer l’attention. Mais la réalité est que les cybercriminels n’ont aucune éthique. Le Covid-19 l’a prouvé de manière très cynique : attaquer un hôpital en pleine crise sanitaire c’est multiplier les chances qu’ils paient la rançon.

Pour revenir à votre question, la cybersécurité coûte cher, oui. Et encore plus pour un hôpital qui a déjà un budget très serré et des missions importantes de service public à mener. L’objectif pour les centres hospitaliers est qu’ils sanctuarisent entre 5% et 10% de leur budget informatique pour la cybersécurité. Ce n’est clairement pas le cas aujourd’hui mais c’est indispensable. Je ne leur jette pas la pierre car je me mets à la place d’un directeur d’hôpital qui doit choisir entre acheter des lits et des scanners ou protéger ses systèmes d’information des menaces cyber. Honnêtement, je comprends qu’il choisisse d’acheter des lits et des scanners. Surtout quand il n’a pas déjà été confronté à une crise cyber, car la menace lui paraît lointaine. Mais désormais il faut changer cette manière de penser et considérer que protéger ses systèmes informatiques relève de l’importance vitale.

Les aidez-vous à se mettre à niveau ?

Oui. L’Etat a octroyé une enveloppe de 136 millions d’euros à l’Anssi dans le cadre de sa stratégie de cybersécurité. Dans cette enveloppe, 25 millions d’euros sont consacrés aux établissements de santé. Chaque hôpital peut bénéficier d’un audit de cybersécurité et d’un plan d’action à hauteur de 140.000 euros. L’idée est de leur mettre le pied à l’étrier : on arrive, on fait l’analyse des risques, on établit avec eux une stratégie cyber, on les met en relation avec des prestataires de confiance certifiés par l’Anssi, et la machine est lancée. Les établissements de santé peuvent aussi bénéficier d’autres aides. Dans le Ségur de la santé, l’Etat déploie une enveloppe de 350 millions d’euros pour la sécurité numérique.

Quand l’Anssi intervient-il auprès des entreprises et des collectivités ?

Nous intervenons avant tout auprès des acteurs régulés, c’est-à-dire les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE). D’un côté ils ont l’obligation de présenter un niveau de sécurité élevé, et en contrepartie ils bénéficient d’un accès prioritaire à la capacité de réponse de l’Anssi en cas d’incident cyber. Des cibles que je qualifie de « politiques » bénéficient aussi de notre aide, soit en réaction à une attaque soit en anticipation. Par exemple, nous sommes intervenus en amont sur l’application TousAntiCovid, car l’impact politique et médiatique d’une attaque serait dramatique.

Quelquefois, l’Anssi peut être amené à intervenir auprès d’acteurs non-régulés comme certains établissements hospitaliers, par exemple l’an dernier à Rouen, Dax et Villefranche-sur-Saône. Dans ces cas on les a aidés en réaction à la cyberattaque et on a fait de la reconstruction, ce qui est rare car ce n’est pas dans notre ADN, mais pour les hôpitaux on peut le faire.

Parfois, l’Anssi choisit aussi d’intervenir à des endroits atypiques mais intéressants pour comprendre l’évolution de la menace, comme certaines PME ou TPE. Par exemple, nous avons passé plusieurs mois dans un Ehpad, à la grande stupéfaction de la direction qui n’a pas vraiment compris les raisons de notre présence ! Il s’avère qu’un attaquant de nature étatique qui nous intéressait particulièrement s’était installé sur les serveurs de cet Ehpad. Il ne souhaitait pas attaquer l’Ehpad mais il se servait de ce rebond pour cibler des acteurs stratégiques français. Il se pensait à l’abri sur les serveurs de cet Ehpad mais on l’a observé pendant plusieurs mois et cela nous a aidés à reprendre l’avantage sur lui.

L’Etat prévoit d’injecter 1,3 milliard d’euros pour développer l’écosystème cyber en France. Ce plan est-il à la hauteur des enjeux ?

Le fait que le sujet de la cybersécurité soit porté par le président de la République est incontestablement une grande avancée. L’argent mis sur la table et la philosophie d’action qui consiste à renforcer tout l’écosystème de la cyber, de la R&D aux startups en passant par les grands groupes, me paraissent aller dans le bon sens. Le gouvernement a intégré la question de la sécurité dans le domaine du numérique et c’est courageux car ce sont deux communautés qui ont longtemps eu du mal à se rencontrer.

Après, il est compliqué de se prononcer sur les montants car la cybersécurité est un effort permanent qui doit faire partie des coûts fixes d’une entreprise ou d’une collectivité. Ce coût est très variable, il dépend de la taille de la structure, de son secteur d’activités et d’où on part, c’est-à-dire s’il faut carrément refaire tous les systèmes d’information ou s’il faut juste moderniser les équipements et s’équiper en logiciels. Mais il faudra quand même mobiliser ces 5% à 10% du budget informatique. Cette dépense devient incompressible car la menace s’est concrétisée.

L’un des piliers de la stratégie cyber de l’Etat est la notion d’écosystème, matérialisée par la création d’un immense Campus Cyber à La Défense, dans lequel sont amenés à collaborer centres de recherche privés et publics, Etat, startups, PME et grands groupes. Mais n’est-il pas idyllique de penser que des entreprises concurrentes vont collaborer entre elles pour le bien de l’écosystème?

L’idée derrière le Campus Cyber et ses futures déclinaisons en Région c’est d’aller explorer des manières de travailler qui n’ont pas encore été tentées. Cette méthode de l’écosystème fonctionne dans le numérique, il faut l’appliquer à la cybersécurité et je constate que tous les acteurs ont envie de travailler ensemble et ont les moyens de le faire.

Donc idyllique, ça l’est forcément un peu, mais je préfère parler de pari. Pour être honnête c’était la crainte initiale et c’est pour cela que je parle d’utopie quand je m’exprime sur le Campus Cyber. A priori, c’est contre-nature pour des entreprises concurrentes de travailler les unes avec les autres. Mais cela va fonctionner car grâce à cette collaboration ils vont obtenir un avantage concurrentiel pour attaquer le marché européen voire international. Dans d’autres domaines industriels, les Français ont choisi de se regarder en chien de faïence et cela ne leur a pas porté chance. Cette erreur peut être évitée dans la cybersécurité grâce au Campus Cyber.

La différence c’est aussi que les acteurs de la cybersécurité ont l’embarras du choix, ils ne peuvent pas répondre à tous les appels d’offres car le secteur souffre d’une grosse pénurie de talents. La guerre des talents est assumée mais le Campus Cyber peut justement créer une émulation et une régulation de ce phénomène avec un code de bonne conduite où les mercenaires qui changent d’emploi tous les ans pour prendre une augmentation de 20% de salaire sont neutralisés.

La crise des talents est le principal problème du secteur de la cybersécurité, et du numérique en général. A quel point est-il difficile de recruter pour l’Anssi ?

Le recrutement est une préoccupation constante, majeure, et on y met beaucoup d’énergie. L’équation n’est pas favorable : il y a beaucoup plus d’emplois à pourvoir que de personnes pour les occuper. Mais je ne me plains pas car ce n’est pas très difficile pour l’Anssi d’attirer les talents, y compris les très bons. L’Anssi reste une marque forte, notamment pour des jeunes qui sortent d’école, qui ont soif d’apprendre et qui veulent être utiles. Travailler à l’Anssi c’est se mettre au service de la nation, côtoyer des équipes de top niveau, et réaliser des missions intéressantes et diversifiées. On voit chez nous des choses qu’on ne trouve pas ailleurs.

Après, il ne faut pas se cacher que l’Anssi est très formateur donc c’est aussi une super ligne à avoir sur le CV quand on veut passer dans le privé. Certains le regrettent. Moi je dis : oui, et alors ? La mobilité dans une carrière, c’est normal. A chaque fois qu’un talent part de l’Anssi, je prends le parti de m’en réjouir car cela veut dire que j’aurais un allié naturel dans le privé, qui est bon et qui contribue à construire l’écosystème. Ils peuvent partir du jour au lendemain par contre, quand ils estiment au bout de quelques années qu’ils doivent passer à autre chose. Donc il faut les intéresser pour les garder, mais je peux vous assurer qu’on ne s’ennuie pas à l’Anssi.

L’enjeu pour les entreprises c’est de se mettre au niveau rapidement. Quelle est l’approche la plus efficace ?

La question qui m’agace prodigieusement à la fin d’un Comex c’est quand on me demande « si vous n’aviez qu’un seul conseil ce serait quoi ? » Hé bien mon conseil, ce serait de vous y mettre sérieusement ! Aujourd’hui le sujet cyber monte dans les directions générales dans le privé, car certains ont pris la foudre et d’autres ont vu la foudre tomber pas très loin, donc ils ont compris. Mais dans le public et dans les petites entreprises on n’y est pas encore, d’où un énorme enjeu de sensibilisation. Des plans sectoriels peuvent être de bonnes idées pour mobiliser toute une filière, mais globalement il faut faire partout la même chose : prendre en compte la cybersécurité dès la conception des systèmes informatiques, améliorer la détection des menaces, l’anticipation des crises, avoir des plans de réaction et des plans de reprise d’activité en cas d’attaque… C’est ce que l’on impose aux opérateurs régulés et que l’on retrouve dans les textes européens.

En parlant d’Europe, on parle souvent de la nécessité de construire une « Europe de la cyber ». Mais concrètement, c’est quoi une « Europe de la cyber » ?

C’est une très bonne question et c’est tout l’enjeu de la présidence française de l’UE au premier semestre 2022 de le définir. L’Europe de la cyber c’est d’abord une Europe réglementaire, ce que sait très bien faire l’Europe par ailleurs. N’y voyez pas une pique contre l’Europe : sans le Règlement sur la protection des données (RGPD), les entreprises n’auraient jamais fait monter ce sujet assez haut dans la hiérarchie pour passer l’étape des budgets. Dans le domaine de la cybersécurité, c’est pareil. Depuis 2016, la directive Network and Information System Security (NIS) a fait ses preuves. Son but est d’assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information européens. En gros, la directive NIS étend à l’échelle européenne cette notion d’opérateur critique qu’on avait en France et en Allemagne. D’ailleurs, elle fonctionne tellement bien qu’on est en train de la réviser, et encore une fois, ce n’est pas ironique !

Que manque-t-il à la directive NIS dans sa version actuelle ?

Rien, justement, elle fonctionne très bien et c’est pour cela qu’il faut étendre son périmètre, passer à l’échelle pour réglementer davantage de secteurs afin de généraliser la montée en compétence cyber. La directive NIS se concentre sur la sécurité des cibles finales des cyberattaques mais il faut aussi protéger les cibles intermédiaires et les prestataires de services numériques (ESN), qui ne sont actuellement pas régulés et c’est bien dommage, à la fois pour eux-mêmes et pour leurs clients. Il faut aussi étendre NIS dans le domaine des hôpitaux : en France une centaine d’établissements hospitaliers sont concernés par NIS, dont 13 CHU, mais il faut aller plus loin car il y a 4.000 établissements hospitaliers dans le pays. On ne peut pas tout faire d’un coup car le secteur privé n’arriverait pas à suivre la demande, mais il faut étendre les obligations petit à petit car c’est en relevant le niveau de sécurité de tout le monde qu’on fera reculer la cybercriminalité.

Quels autres sujets la France devrait-elle pousser pendant sa présidence du Conseil de l’UE, au premier semestre 2022 ?

Il faut mettre en place une vraie coopération opérationnelle à l’échelle européenne. Mettre en réseau notre capacité de réponse à une cyberattaque, à un niveau technologique, stratégique et politique. Il faut une vraie solidarité européenne dans la cybersécurité car aujourd’hui, si un Etat membre demande de l’aide, on ne sait pas l’aider.

Comment ça ?

Concrètement, si un Etat membre demande de l’aide pour gérer une cyberattaque, les CERT de chaque pays [Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, Ndlr] vont échanger des informations mais ils ne sauront pas mettre en place une aide opérationnelle. Lors des incendies de l’été en Grèce, l’UE a été capable de mobiliser très vite des pompiers européens pour venir en renfort sur place. Mais dans le cas d’une crise cyber, on ne sait pas faire.

Il faut donc anticiper les crises, créer des règles et des mécanismes de solidarité qui n’existent pas encore. A l’heure actuelle si l’Anssi envoyait des renforts français pour gérer une crise cyber en Grèce par exemple, elle le ferait au détriment d’une urgence nationale. La France pousse donc l’idée de ne pas seulement faire appel à des forces publiques comme les Anssi de chaque pays, mais de mobiliser aussi le secteur privé. Des entreprises certifiées pourraient aller faire des audits, répondre à des incidents, faire de la reconstruction. Mais il faut créer le cadre réglementaire pour le rendre possible.

La cybersécurité fait partie des outils pour gagner une souveraineté technologique européenne. Construire un cloud européen indépendant des Gafam est-il indispensable ?

La souveraineté technologique est un sujet très complexe qui demande beaucoup de courage politique. Le cloud est l’un des piliers de la sécurité numérique européenne car il renferme toutes nos données et fait fonctionner nos infrastructures. La question est donc : est-on capables d’avoir à l’échelle européenne un cloud certifié complètement imperméable au droit extraterritorial étranger, notamment américain et chinois ? Si on n’est pas capables de dire clairement qu’on ne veut pas que des pays non-européens puissent accéder à nos systèmes cloud, alors je ne veux plus entendre parler de souveraineté européenne.

La France a lancé une stratégie « cloud de confiance » qui propose un entre-deux en autorisant des technologies étrangères mais uniquement sous licence et commercialisées par des entreprises européennes. Le secteur du cloud français est vent debout contre cette initiative. Est-on vraiment souverain quand on utilise sous licence des technologies de Microsoft ?

Je peux comprendre le scepticisme. Cette stratégie ne peut pas être le fossoyeur des acteurs français ou européens du cloud, car les OVH, Scaleway, Outscale et autres sont très bons. Il faut continuer à mettre la lumière sur eux avant tout.

Mais on ne peut pas non plus interdire la technologie américaine. Il y a un principe de réalité à avoir. Le fait de repositionner les acteurs américains dans leur rôle de fournisseur de technologies me paraît un compromis acceptable. Microsoft semble embrasser ce rôle, Amazon et Google c’est plus compliqué car ce n’est pas dans leur ADN. Mais il est essentiel d’imposer nos règles de manière pragmatique. Rendre ces technologies immunes au Cloud Act et à la loi FISA c’est une manière d’être souverain. Les technologies de Microsoft seront dans la coentreprise française Bleu, issue de Orange et de Capgemini, et Bleu ne mettra jamais un orteil aux Etats-Unis donc sera imperméable au droit extraterritorial américain.

L’élection présidentielle de 2022 arrive. Cela vous inquiète-t-il ?

Non. On sera attaqués, il y aura certainement des tentatives de manipulation. Il faut donc faire beaucoup de sensibilisation auprès des partis politiques et des équipes de campagne et s’assurer que les systèmes d’information soient au bon niveau. Et quand on sera attaqués il faudra bien réagir mais je suis relativement plus serein qu’il y a cinq ans.

On dit souvent que la prochaine grande crise mondiale sera une crise cyber. Partagez-vous cette crainte ?

Je pense que les menaces s’additionnent : le terrorisme, le Covid, la cyber… Du coup on réfléchit beaucoup au sein de l’Etat à la notion de multi-crise. Notre organisation est conçue pour gérer une crise à la fois, pas plusieurs. Il faut donc s’adapter à cette nouvelle donne. Une crise cyber majeure cela peut être par exemple un effondrement sectoriel lié à une vague de cyberattaques sur des infrastructures énergétiques. Cela peut être Microsoft ou Amazon qui s’éteint et cela déclenche une crise mondiale car les conséquences en cascade seraient monstrueuses. Quand on parle de « Pearl Harbor cyber » c’est en réalité très en-deçà de la réalité de la menace car Pearl Harbor était une tragédie localisée alors qu’une grande crise cyber serait systémique.

Pour une augmentation de 20% des salaires ¸(Guillaume Peltier)

Pour une augmentation de 20% des salaires ¸(Guillaume Peltier)

 

 

Une proposition qui va sans doute surprendre à gauche mais aussi à droite. Sans doute une proposition qui s’inspire des mesures de relance sociale des États-Unis. Peut-être aussi une proposition qui tient compte des perspectives de renaissance d’un inflation incontournable compte tenu notamment de l’envolée de toute les matières premières et du prix de certains composants nécessaires à l’industrie.

 

La question que soulève surtout cette proposition est celle de son financement qui serait à assurer indirectement par une taxation des transactions financières pouvant apporter jusqu’à 500 milliards voir au-delà. Des ressources qui viendraient compenser l’allégement de certaines cotisations sociales.

 

Cette mesure ne coûterait donc rien, selon Guillaume Peltier, «pas un centime de plus». «Les 490 milliards d’euros de la protection sociale seront intégralement financés par un micro-prélèvement de 2 % sur les transactions financières et les paiements électroniques, qui rapporterait 540 milliards d’euros par an à l’État», affirme-t-il, évoquant «une révolution pour les milieux de cordée et les travailleurs de première ligne, dont les salaires sont trop bas».

 

En même temps, M. Peltier prône une «règle d’or budgétaire » de «zéro déficit à l’horizon 2030». «Nous réduirons de 100 milliards d’euros les dépenses publiques », notamment avec la mise en place d’une carte Vitale biométrique «pour lutter contre les fraudes sociales». Il envisage aussi d’économiser 15 milliards sur «les retraites et les abus des arrêts maladie» et «10 milliards sur l’immigration».

 

Concernant les retraites, M. Peltier veut que «chacun cotise quarante-quatre ans sans âge légal couperet», avec une décote pour les métiers pénibles. Sur l’immigration, il propose d’organiser un référendum portant sur cinq questions, «dont la suspension de l’immigration – à l’exception des réfugiés politiques et des étudiants – et le conditionnement de l’accès aux aides sociales à cinq années de travail et de résidence en France».

 

A «l’inverse d’Emmanuel Macron», M. Peltier estime qu’il faut à la France «un président courageux, venu des provinces». Lui-même promet d’être «au service de notre futur candidat». En clair un appel net pour Xavier Bertrand.

 

Des propositions dans le chiffrage demeurent cependant encore flous surtout concernant la fiscalité sur les transactions financières et les paiements électroniques qui pourront difficilement se passer d’un accord international d’ailleurs en cours. L’idée cependant d’une relance du pouvoir d’achat paraît intéressante pour relancer une économie balbutiante sous réserve évidemment de ne pas mettre en cause la compétitivité déjà très faible du pays

« Des milliards aussi pour Airbus » (Guillaume Faury)

« Des milliards aussi pour Airbus » (Guillaume Faury)

 

Après Air France, après Renault, la liste des entreprises en difficulté risque de s’allonger. Cette fois, on parle d’Airbus qui évidemment va être fortement impactée par la crise du transport aérien. Là aussi des milliards seront nécessaires et des plans d’ajustement d’effectifs sont à craindre. Sans doute pas loin de 10 milliards seront nécessaires.

 

L’ensemble des grands groupes en France représente à peu près 20 % du PIB et 20 % des effectifs. Avec la crise , la perte de sites d’affaires pourrait atteindre 500 milliards. De quoi faire basculer dans le rouge une grande partie de ces groupes qui auront besoin d’aide de trésorerie soit sous forme de prêts, soit sous forme de subventions. Plusieurs centaines de milliards seront nécessaires pour les aider à survivre. On objectera que des facilités de prêts sont prévues avec notamment les prêts autorisés par la Banque centrale européenne. Le seul problème c’est que ces prêts considérables doivent t être remboursés en une ou deux années. Les entreprises seront structurellement atteintes dans leur rentabilité financière et pour les périodes pouvant atteindre une dizaine d’années voir l’avantage.

 

Pour Airbus « La survie est en jeu ». « Il s’agit d’une crise mondiale d’une magnitude jamais connue par notre génération. Malheureusement, l’industrie aéronautique se relèvera beaucoup plus faible et plus vulnérable qu’avant le début de la crise », a-t-il écrit aux salariés du groupe dans un courrier dévoilé par l’agence Reuters que La Tribune s’est également procuré.

 

Représentant le gros de son activité, sa branche de construction d’avions commerciaux est gravement menacée par la crise sans précédent qui frappe le transport aérien, aujourd’hui quasiment à l’arrêt à cause du Covid-19. À genoux, ne sachant pas si elles seront encore vivantes demain, les compagnies aériennes surveillent leur cash comme le lait sur le feu. L’heure est davantage aux reports de livraisons d’avions et aux annulations de commandes qu’à la réception des avions ou aux prises de commandes. Même quand le trafic reprendra, les compagnies devront se remettre de ce choc sans précédent et prendront du temps avant d’investir comme elles le faisaient…

 

Réouverture de tous les marchés (Didier Guillaume)

Réouverture de tous les marchés  (Didier Guillaume)

 

Le secteur de l’horticulture, du maraîchage connaît une véritable catastrophe avec l’impossibilité d’écouler ses produits. Des produits qui ont sollicité de la manœuvre, des matières premières et même de la fiscalité mais qui pour une part doivent être détruits faute de possibilité d’écoulement. Ainsi sur les marchés où  les magasins spécialisés on ne trouve qu’une très petite partie de la production classique. De ce fait à juste titre,  le ministre de l’agriculture réclame l’ouverture de tous les marchés. Il est vrai qu’au début l’organisation des marchés était particulièrement anarchique. Depuis les conditions d’accès aux marchandises s’effectue dans les mêmes conditions et même mieux que dans les grandes surfaces avec des règles strictes aussi bien de pénétration sur les marchés que d’accès aux étals, sans parler des règles de circulation très rigoureuse.

“Je suis favorable à l’ouverture de tous les marchés en plein air et de toutes les halles alimentaires”, a-t-il déclaré sur France 3. “J’appelle les maires de France et les préfets à inciter à rouvrir ces marchés”, à “condition qu’il y ait le respect des normes sanitaires”.

“Le marché, c’est le lieu où les personnes âgées notamment vont acheter leurs poireaux, deux pommes de terre, une salade (…) et puis surtout le marché c’est l’endroit où l’agriculture française passe 30 % de sa production de frais, de fruits et légumes”, a-t-il fait valoir.

Epargnés dans un premier temps par les mesures prises dans le cadre de l’état d’urgence sanitaire, les 10.000 marchés alimentaires de France avaient été contraints de fermer le 24 mars après la diffusion d’images sur les réseaux sociaux de personnes ne respectant pas la “distanciation sociale” sur certains marchés. Cette décision avait suscité l’indignation notamment de la Fédération des marchés de France qui avait dénoncé une “inégalité de traitement” entre la grande distribution et les marchés de rue.

Depuis, des dérogations ont été accordées au cas par cas par certaines préfectures sur la base d’un guide de bonnes pratiques sanitaires mis au point après d’intenses discussions entre le gouvernement, la fédération des marchés de France et la FNSEA notamment.

Coronavirus: Didier Guillaume pour le  maintien des marchés en plein air

 

Le  ministre de l’agriculture et de l’alimentation une fois de plus se comporte en lobby du secteur agricole en considérant qu’il faut maintenir les marchés. Or s’il y a bien lieu les règles de précaution ne sont pas respectées c’est bien sur les marchés ou l’anarchie la plus totale règne le plus souvent. Autant dans les commerces sédentaires, on peut fixer des règles, prévoir des dispositions notamment de signalétique pour réguler les conditions d’entrée, des circulations dans les magasins autant c’est impossible dans les marchés où tout le monde se bouscule devant les étalages.

Certes les marchés constituent un circuit de distribution utile et même nécessaire en particulier pour réduire les circuits et promouvoir les productions locales. ( notons cependant que sur ses marchés sont également vendus des productions venant de très loin !). En outre, promouvoir le maintien des marchés alors que la France manque cruellement de masques constituent une attitude particulièrement irresponsable. Il faudrait organiser les conditions de circulation des acheteurs comme dans les magasins avec les mêmes règles de régulation de la circulation.

« Les marchés en plein air, les halles commerciales alimentaires, c’est absolument indispensable » a dit le ministre. Malgré des images de marchés noirs de monde en période de confinement, le ministre de l’Agriculture et de l’Alimentation, Didier Guillaume, s’est opposé à leur fermeture ce jeudi soir, arguant sur notre antenne que les personnes âgées notamment « descendent en bas de leur immeuble pour se fournir au marché ». « C’est très important », a-t-il indiqué.

Selon lui, l’ouverture des marchés « n’est pas incompatible avec le confinement ». « Mais ça ne peut pas être la cohue comme avant (…). On ne peut pas se ruer sur tel ou tel étal et être collé avec les autres, il faut respecter la distance d’un mètre », a-t-il précisé.

« Si vraiment tous les français respectent cela, les marchés en plein air resteront des lieux de convivialité », a encore assuré Didier Guillaume. Il a néanmoins prévenu que les marchés resteront ouvertes « à condition que » toutes les règles « soient respectées ».

Et de conclure: « Mais aujourd’hui il faut que les préfets dans les départements assument avec les maires qu’on laisse ouverts ces marchés et si on voit que le respect des règles n’est pas là, on les ferme ».

 

Rouen: « La parole  aux scientifiques! »( Didier Guillaume)

La parole doit revenir aux scientifiques vient d’indiquer fort prudemment le ministre de l’agriculture.  Une parole pleine de bon sens car la communication du gouvernement dans ce domaine a été catastrophique depuis le début. Comme souvent au départ, le préfet et autre autorités ont voulu minimiser tous les risques liés à cette catastrophe considérant même que la situation était redevenue totalement normale. Le problème c’est que dans ce genre de situation des conséquences ne peuvent être mesurées qu’à plus long terme, par exemple l’incidence sur les nappes d’eau, les cultures ou même sur les humains. L’évaluation doit s’effectuer dans le temps avec des les outils scientifiques et non des paroles rassurantes qui ne reposent sur aucune évaluation sérieuse.

« Je ne suis pas scientifique. (…) J’étais à Rouen hier après-midi, Christophe Castaner y est allé, Jean-Michel Blanquer, Agnès Buzyn, Élisabeth Borne et le Premier ministre. La volonté du gouvernement, (…) elle est très claire: la transparence totale. Rien ne sera caché. Tout sera mis sur la table », a assuré l’ancien socialiste.

Évacuant le spectre du fameux « nuage de Tchernobyl », épisode dont les zones d’ombre ont troublé de nombreux Français, Didier Guillaume s’est indigné que l’on puisse penser que « le gouvernement voudrait cacher des choses »:

Pour autant, le ministre de l’Agriculture n’est pas capable, pour l’heure, d’évaluer la dangerosité des produits brûlés dans cette usine, classée Seveso. « Tout sera publié entre demain et après-demain sur ce qu’il s’est passé », a-t-il déclaré, reconnaissant qu’il y avait « urgence ».

Pour autant, Didier Guillaume s’est montré incapable de s’exprimer sur certaines demandes d’assouplissement sanitaires, qui interrogent, formulées par Lubrizol durant l’été. « C’est normal qu’il y ait des questions! » a sursauté le ministre, avant d’admettre qu’il était également « normal d’y répondre ».

« L’affaire Ferrand et les dérèglements de l’Etat-Macron ». Une tribune très ambigüe de Guillaume Larrivé

Dans un style très ampoulé, Guillaume Larrivé  (LR) critique Macron dans l’affaire Ferrand et en même temps conclut que Ferrand n’a pas à démissionner. Une sorte de fausses attaques peut être pour légitimer les dérives de certains responsables des Républicains (Fillon,balladur,  Sarkozy etc.). Tribune de l’Opinion

 

« L’avènement macronien devait ouvrir le règne du beau, du bien et de la vertu. Parmi les thuriféraires du nouveau Prince, un certain Richard Ferrand s’était signalé par ses gazouillis imprécateurs. Le réseau social à l’oiseau bleu garde la mémoire des réquisitoires de l’ex-directeur général des Mutuelles de Bretagne : « Nous disons à François Fillon qu’il a définitivement perdu toute autorité morale pour diriger l’Etat et parler au nom de la France », proclamait en avril 2017 le Vychinski de Carhaix-Plouguer, pourchassant alors « une droite qui voudrait que soit placé dans nos mairies et nos écoles le portrait d’un homme mis en examen. » Passons sur la balourdise du Tartuffe armoricain : chacun appréciera la sincérité du personnage.

Plus grave encore est l’accumulation, ces dernières heures, des dérèglements de l’Etat-Macron. C’est un festival. À peine la mise en examen de M. Ferrand était-elle connue que l’Elysée faisait savoir, jeudi matin, que le président de l’Assemblée nationale conservait « toute la confiance » du président de la République. Original. Sans doute une révision constitutionnelle implicite est-elle intervenue sans que nous n’y prenions garde : voilà qu’en 2019 le chef de l’exécutif prétend donner ou ôter sa confiance à celui qui préside l’assemblée législative. Cette bizarrerie est d’autant plus étrange que M. Macron accorde aujourd’hui sa confiance à un homme à qui il n’a pas le pouvoir de l’en priver alors que, en juin 2017, il l’avait retirée quand il avait le pouvoir de la maintenir. Rappelons en effet que le même M. Ferrand, alors nommé ministre par le même M. Macron, avait été prestement limogé après qu’une enquête préliminaire avait été diligentée au sujet de ses affaires immobilières bretonnes. Ne cherchez nulle logique juridique ou morale là-dedans. La seule règle qui guide ces gens, manifestement, est celle de leur intérêt du moment. Voilà le grand dérèglement.

Fange. Que l’on me comprenne bien. Je ne prends pas la plume pour me joindre ici au concert dissonant des aboyeurs qui jouent les chroniqueurs judiciaires ou les dispensateurs de moraline. J’aimerais seulement que chacun en revienne à ce qui est premier : les principes. Dans notre République, le principe de séparation des pouvoirs n’est pas une vieillerie décorative juste bonne à être évoquée devant les étudiants en droit. Il doit être pratiqué pour ce qu’il est. L’exécutif (même s’il est aujourd’hui boursouflé par le césarisme égocratique) n’a pas à décerner des brevets de vertu au législatif. Et, pardon de devoir rappeler cette évidence si méconnue, l’autorité judiciaire n’a pas un pouvoir de censure politique. Ce n’est pas parce que trois juges lillois décident de mettre en examen le président de l’Assemblée nationale (sans que l’on sache à ce stade, par définition, si des juges du fond le condamneront ou l’innocenteront un jour définitivement, lors d’un procès contradictoire devant un tribunal correctionnel, puis le cas échéant devant une cour d’appel, sous l’éventuel contrôle suprême de la Cour de cassation) que, illico presto, celui-ci serait tenu de mettre fin à la mission qu’il tient d’une élection par les députés de la nation.

Je ne défends certes pas M. Ferrand. Mais j’aimerais que la République ne tombe pas un peu plus chaque jour dans la fange : elle vaut mieux que le système de l’Etat-Macron.

Guillaume Larrivé, député LR de l’Yonne, est l’auteur de Le Coup d’Etat Macron. Le Prince contre la Nation (Editions de l’Observatoire, 2018). Il est candidat à la présidence des Républicains.