Par Pascal Tierce, membre de la commission Numérique
Une situation alarmante connue de tous
Depuis environ 4 ans, quasiment chaque semaine, une ou plusieurs administrations d’Etat, collectivités territoriales, hôpitaux, agences étatiques se font attaquer, le plus souvent avec succès. Paradoxalement, les hackers sont de plus en plus jeunes, mettant en exergue l’état de dégradation du dispositif français. Pire, aucune de ces attaques ne semble remettre en question la responsabilité des organes de direction.
Les causes de cette dégradation sont aussi connues : manque constant de prise de conscience réelle par la haute fonction publique de la menace cyber, qu’elle soit issue d’Etats étrangers ou de cybercriminels ; faible dotation et donc sous-investissements (personnels, matériels, logiciels) en cybersécurité depuis 20 ans ; positionnement souvent à un niveau ne correspondant pas aux enjeux des FSSI (fonctionnaires de la sécurité des systèmes d’information) doublé d’une carence en moyens d’action ; absence de responsabilisation des autorités, non représentation d’une autorité qualifiée en cyber auprès du ministre de tutelle, à tout le moins auprès du SG ; défaut de filière de formation (y compris continue) en cyber ; faible incitation à recourir à des prestataires français ne permettant pas l’éclosion de start-up nationales…
Si les choses évoluent dans les textes, notamment par une instruction de 2022 sur l’organisation cyber au sein des administrations, par les directives NI2 et DORA dans le domaine du security by design par exemple, dans les faits, manifestement de gros efforts restent à entreprendre…
En résumé, à la question : sommes-nous en ordre de bataille et à la hauteur des risques ? La réponse est non, encore moins avec l’arrivée de l’IA et des agents IA autonomes.
Une transformation nécessaire : quelques pistes
Comme à chaque fois que les structures n’évoluent pas avec leur temps (et avec les techniques), il s’avère impératif à un moment donné de changer profondément leur organisation.
Une difficulté tient à la diversité des acteurs : ANSSI, SGDSN, services de renseignement, ministères, opérateurs d’importance vitale (OIV), autorités de régulation, collectivités territoriales et opérateurs privés. Ces acteurs n’ont ni les mêmes missions, ni les mêmes pouvoirs, ni les mêmes objectifs. Il s’agit cependant de les rassembler sous l’étendard de la souveraineté et de l’indépendance.
Une seconde difficulté tient à ce que l’hacker n’attaque pas toujours sa cible directement mais par rebond via les chaînes d’approvisionnement et les sous-traitants. Ainsi, le prestataire d’un OIV peut se révéler le point faible du fait des connexions entre les deux.
Par ailleurs, au vu des interactions entre les domaines civil et militaire (BITD), la cybersécurité doit être considérée aujourd’hui comme duale par nature. Il n’est plus possible de concevoir une organisation globale qui ne ferait pas la promotion d’une coordination étroite entre ces deux domaines.
Dans cette vision duale et au regard de la multiplication ces dernières années des organismes à vocation cyber, il est nécessaire de clarifier les missions de chacun, d’éventuellement les regrouper et de leur assurer, outre des moyens ad hoc, un positionnement clair et optimal dans la structure étatique.
La multiplication des attaques, leur sophistication maintenant aidée par l’IA, militent pour que soit créé auprès du Premier ministre un organisme ayant des compétences élargies, afin à la fois d’informer le pouvoir exécutif (et les parlementaires), d’établir une doctrine de dissuasion cyber et d’unifier la gestion des crises majeures.
Cet organisme aurait aussi pour missions d’organiser et faire vivre la chaîne fonctionnelle de cybersécurité dans les structures de l’Etat, de veiller à son indépendance, à sa représentation au plus haut niveau de la hiérarchie, à ses dotations en moyens (personnels et équipements). Cette supervision doit s’étendre à toutes les entités dépendant des collectivités territoriales, des hôpitaux, des agences étatiques, même si elles sont indépendantes, voire des OIV. Une telle réforme passera sans doute par la voie législative. Mais il n’est pas entendable que l’on accepte des “trous dans la raquette”, sauf à autoriser un abaissement du niveau global de sécurité.
Un dernier point pourrait concerner la promotion de moyens, l’évaluation de la résilience et la responsabilisation des décideurs. Il s’agit ici 1/ d’identifier un budget cyber autonome dans chaque structure et sa programmation sur plusieurs années (horizon à 3 ans), 2/ de la constitution d’un tableau de suivi avec des indicateurs (en en limitant le nombre pour éviter des discours trop techniques qui perdraient les non initiés), 3/ d’une responsabilisation engagée des décideurs (cyber mais aussi numérique) avec une obligation de résultats.
Proposition d’architecture générale pour une meilleure gouvernance de la cybersécurité
Cet organigramme s’articule autour 1/ de la formalisation d’une chaîne de coopération renforcée autour de quatre fonctions : détecter et comprendre ; protéger et rétablir ; enquêter et poursuivre ; répondre à l’agression 2/ de l’assurance d’une circulation de l’information de façon fluide, dans son intégrité et non écoutable (classification au regard de l’IGI 1300 sur le secret de la défense nationale, protection des sources, communication rapide des indicateurs techniques, des alertes ou des attaques par des canaux d’information sécurisés).
En conséquence, cette thématique serait sortie du SGDSN pour être intégrée dans un conseil (ou office) nationalrattaché directement au Premier ministre (PM). Ses missions : définition et coordination de la politique nationale de cybersécurité (protection des infrastructures critiques et des réseaux, sécurité des administrations, souveraineté technologique, lutte contre les ingérences,…) ; arbitrage des conflits de compétences et de moyens entre ministères, notamment sur les priorités d’investissement ; évaluation des résultats au moyen d’indicateurs communs et d’un rapport annuel au Premier ministre ; gestion des crises nationales ou interministérielles.
Il paraît nécessaire qu’au sein de cette cette instance, outre le PM, les ministères de l’Intérieur, de la Justice, des Finances, des Armées ainsi que la DGSI et la DGSE soient représentés d’office. Par ailleurs, un comité stratégique interministériel renforcé pourrait réunir périodiquement les ministères, l’ANSSI et les autorités compétentes pour des échanges. A ce propos, il est utile afin de protéger l’efficacité et la capacité de réaction de l’action publique que seul ce comité stratégique ait vocation à exister, et donc que les autres structures de discussion qui pourraient avoir vu le jour disparaissent. L’idée étant de ne pas tomber dans la réunionite et le comité Théodule.
Ce conseil national piloterait les autres structures déjà en place pour tout ce qui concerne la cybersécurité :
- ANSSI avec les CSIRT ministériels (détection, analyse et réponse aux incidents sur leur périmètre) et les CSIRT territoriaux et sectoriels (assistance de proximité, formation et accompagnement spécialisé) : sécurité des réseaux civils et protection des infrastructures critiques, réponse aux incidents ;
- OSIIC : déploiement et gestion des moyens de communication sécurisés de l’Etat ;
- COMCYBER et chaînes des armées (DRSD) : cyberdéfense militaire, renseignement technique et opérations cyber militaires ;
- DGSE, DGSI… : renseignement, respect de leurs mandats légaux et de leur autonomie opérationnelle ;
- Police, Gendarmerie et Justice : enquêtes judiciaires, garanties procédurales, attribution des attaques et démantèlement des réseaux criminels ;
- CNIL : respect de l’indépendance de l’autorité mais sous la haute autorité du conseil ;
- VIGINUM : lutte contre les ingérences étrangères ;
- C4 : structure intégrée au conseil. Elle coordonne l’évaluation de la menace, prédéfinit les seuils de déclenchement (niveau de crise), les délais de décision, les conditions de mobilisation des moyens techniques, judiciaires, diplomatiques et militaires, organise les tests et exercices interministériels associant opérateurs privés et collectivités territoriales ;
- Ministères, agences étatiques, collectivités territoriales, hôpitaux, rectorats : sécurité opérationnelle de leurs propres systèmes et réseaux.
Concernant les seules agences de l’Etat, il en existe près de 1 200 actuellement dont plus de 300 à titre consultatif. Une réorganisation et un regroupement s’imposent, à l’instar d’une réforme du millefeuille administratif territorial. Moins de structures pour plus de moyens.
Il s’agit d’un schéma fonctionnel simplifié. Aussi, il convient de garder à l’esprit que ces organismes conservent leurs chaînes hiérarchiques et leurs autorités distinctes. Le conseil coordonne la politique mais ne commande pas opérationnellement ces structures. Le pragmatisme impose ici le respect des principes de subsidiarité et de responsabilisation des décideurs à tous les niveaux hiérarchiques. Ces derniers ont toute latitude pour mettre en œuvre la politique cyber dans leur domaine de compétence et leur environnement mais ils rendent compte et doivent être notés sur les résultats.
Un dernier mot sur le calendrier de la réforme : 12 mois maximum. Au-delà, rien ne se fera.
