Les clés pour comprendre la cyber-stratégie française et ses risques
Le cyberespace est devenu le nouvel échiquier de la guerre et de plus en plus d'États se préparent à se battre, investissant dans le développement de cyber-armes. La France est l'un des pays européens qui investit le plus dans les capacités cybernétiques, qui sont régulièrement utilisées dans les opérations militaires, que ce soit en réponse, en initiation ou en soutien à une opération.
L'année dernière, la ministre française de la défense Florence Parly et le CEMA (Chef d'Etat-Major des Armées) ont annoncé une nouvelle stratégie et une nouvelle doctrine pour guider la cyberdéfense et les opérations cyber-offensives. Le ministère a publié un document stratégique intitulé « Éléments publics pour la doctrine de la cyberguerre militaire » qui fournit les premières directives claires sur la manière dont la France utilisera les capacités de cyberdéfense et de cyber-offensive dans l'armée.
Ce document de la CEMA explique l'importance d'utiliser des capacités cyber-offensives pour assurer la sécurité nationale et pour faire face aux nouvelles cybermenaces. Les capacités cyber-offensives permettent aux pays de mener discrètement des opérations contre les systèmes numérisés, en remplaçant, préparant ou complétant d'autres méthodes d'action conventionnelles.
Au niveau opérationnel, ce type de cyberdélinquance est utilisé principalement pour évaluer la capacité militaire de l'adversaire, notamment en ce qui concerne sa capacité à rassembler et à extraire des informations. Enfin, cette capacité offensive est utilisée pour modifier les perceptions ou les capacités d'analyse de l'adversaire en modifiant discrètement les données auxquelles il a accès. De plus, grâce à différents types de cyber-attaques, il est possible de retourner les tentatives de piratage de l'ennemi contre lui-même, par exemple en insérant un logiciel malveillant dans l'un des documents internes qu'il sait qu'il va extraire.
Ces cyber-armes sont différentes des armes conventionnelles et présentent des risques et des défis très particuliers dans leur utilisation. L'immédiateté des cyber-actions et l'hyper-connectivité sont quelques exemples des défis majeurs auxquels sont confrontées les cyber-attaques françaises. En outre, la technologie de la cyber-protection est si sophistiquée qu'elle exige une grande précision dans son utilisation et peut entraîner des dommages collatéraux inattendus, ce qui n'est pas le cas de la plupart des armes classiques.
Un autre risque lié à sa sophistication est la difficulté de recrutement et de formation à ces capacités pour les commandants militaires qui doivent intégrer des capacités cyber-offensives dans leurs stratégies conventionnelles. L'adaptation des processus habituels pour prendre en compte les cyber-armes est complexe au niveau national, et le devient encore plus lorsque d'autres acteurs partenaires tels que l'Union européenne et l'OTAN doivent s'y ajouter. Ces défis sont brièvement mentionnés dans le document stratégique susmentionné, mais il existe d'autres défis doctrinaux et opérationnels qui doivent être pris en compte pour la cyber-stratégie française.
En ce qui concerne les défis doctrinaux liés à l'utilisation de capacités cyber-offensives, la première lacune à combler est la différence entre l'utilisation de moyens offensifs en temps de paix et en temps de guerre. En vertu du droit international public, une cyber-offensive qui cause de graves dommages peut constituer une attaque armée en donnant au pays attaqué le droit de recourir à la légitime défense. Par exemple, les forces armées israéliennes ont lancé une attaque aérienne contre le Hamas après avoir tenté sans succès de pirater des cibles israéliennes. S'ils avaient réussi à pirater n'importe quel système de survie israélien, la confrontation aurait pu dégénérer en guerre.
Un effort international plus important doit être fait pour s'assurer que les cyber-attaques utilisées en temps de paix et de guerre sont proportionnées et mesurées. Comme nous l'avons déjà mentionné, toute action dans le cyberespace comporte des risques collatéraux inimaginables. Pour l'instant, le seul effort international visant à promouvoir les bonnes pratiques passe par la « Déclaration commune sur la promotion d'un comportement responsable des États », qui est signée par certains pays, mais pas tous, et qui ne constitue pas un cadre juridique suffisant.
En lien avec le point précédent, un autre risque unique des capacités cyber-offensives est le problème de la traçabilité et de l'utilisation de la légitime défense. Quel que soit le type de cyberattaque, aucun gouvernement n'annoncerait qu'il a mené une opération visant à annuler les capacités d'un ennemi. C'est précisément ce secret qui peut conduire à un conflit international si l'attaque peut être retracée jusqu'au territoire français.
En effet, la France considère que les cyber-attaques contre des systèmes situés sur son territoire qui causent des dommages importants peuvent constituer une attaque armée autorisant le recours à la légitime défense. Par conséquent, si le pays victime de la cyberattaque réussit à identifier la France comme l'auteur, il pourrait subir des représailles. Ce risque augmente de manière exponentielle si l'on considère que, l'attaque provenant du territoire français, le gouvernement est automatiquement impliqué, alors que ce n'est peut-être pas le cas. Ce problème est partagé avec d'autres cyber-puissances.
En ce qui concerne les défis opérationnels, dans le cas de la cyberdéfense, les problèmes de stockage des données et l'utilisation de réseaux et de serveurs privés constituent toujours un risque pour la sécurité. Dans le cas de la 5G, par exemple, si Huawei était le fournisseur du Cloud dans lequel le gouvernement stocke les données de cyberdéfense, Huawei, et donc le gouvernement chinois, aurait accès à ces données lorsqu'elles sont transférées d'un endroit à un autre. L'autonomie stratégique des serveurs physiques, du système réseau et du cloud devient l'un des défis les plus importants pour la France et plus difficile à résoudre en raison du coût d'un serveur public propre avec la quantité de données stockées quotidiennement.
Enfin, le développement de cyber-attaques offensives, notamment celles visant à obtenir des informations de l'ennemi, comporte déjà une forte composante d'intelligence artificielle et la tendance à investir dans des cyber-armes autonomes s'accentue chaque jour. Comme dans presque tous les développements technologiques, les entreprises privées sont très en avance sur l'État, surtout dans tout ce qui touche à l'intelligence artificielle. Si la France ne veut pas devenir une cyberpuissance obsolète, il est essentiel que le gouvernement français s'appuie sur le développement d'entreprises privées, tout en conservant son autonomie stratégique. Ce dernier point constituera un défi majeur, surtout lorsque la plupart des entreprises privées de défense commenceront à avoir des investisseurs privés qui ne sont pas toujours des nationaux.
