Etats-Unis : une directive secrète encadre le lancement de cyberopérations

Selon le Washington Post, Barack Obama a signé, peu de temps avant sa réélection, une directive secrète autorisant les militaires américains à répondre de manière plus agressive aux attaques sur les infrastructures IT critiques du pays. Cette directive, portant le numéro 20, définit précisément, selon les sources de nos confrères, les règles d’intervention des agences fédérales américaines face aux menaces informatiques. Elle établit ainsi une différence claire entre protection des réseaux et opérations informatiques «pour guider les responsables chargés de prendre des décisions dans des délais souvent limités lorsqu’ils sont confrontés à des menaces ». La directive définit en outre les processus de contrôle des opérations hors du périmètre des réseaux gouvernementaux et de défense tout en garantissant la protection des données privées des citoyens américains et de ceux de leurs alliés, ainsi que le respect des lois de la guerre. 

L’une des sources anonymes du Washington Post souligne que cette directive ne se cantonne pas à l’actualisation d’une autre, datant de 2004, mais «pour la première fois, évoque explicitement la manière dont [les Etats-Unis] vont avoir recours à des cyberopérations ». Des interventions extérieures, donc, mais répondant à «ce qui pourrait être qualifié d’objectifs défensifs ». 

La signature de cette directive survient alors que Pentagone met la dernière touche à une proposition de règles d’engagement dans la sphère informatique, visant notamment à renforcer le rôle de ses propres spécialistes. Surtout, elle encadre le rôle d’agences qui n’ont eu de cesse de vouloir prendre, chacune, la direction des opérations de réponse aux cyberattaques. Fin février dernier, à l’occasion de la RSA Conference, à San Francisco, la NSA avait ainsi très ouvertement dévoilé ses positions. Insistant sur «l’efficacité» de l’agence de renseignement, l’ancien vice-amiral de la marine américaine Mike McConnell, et directeur de la NSA de 1992 à 1996, avait alors semblé relayer le message de l’agence : le matin même de son intervention, le Wall Street Journal se faisait l’écho de la volonté de l’agence de jouer un rôle plus important dans la cybersécurité du pays. Une bataille de l’ombre, semble-t-il : James Lexis, directeur de programme du Center for Strategic and International Studies, déplorait un peu plus tard l’absence de «débat public sur le rôle de la NSA ou du ministère de la Défense sur la cybersécurité ». Reste que la directive semble intégrer les cyberopérations comme un outil «intégré de l’effort coordonné de sécurité nationale qui comprend des mesures diplomatiques, économiques, et militaires traditionnelles ». 

Certains pourraient toutefois voir dans sa signature l’expression d’une tension à laquelle les multiples révélations sur Stuxnet - et sa famille entière - ne seraient pas étrangers. Ces révélations peuvent conduire des organisations à tenter de développer des logiciels malveillants comparables pour les retourner contre les Etats-Unis. Et comme le soulignent les sources de nos confrères, dans de telles circonstances, «le gouvernement doit être prêt à agir par anticipation ou à répondre.»