La cyberdéfense française continue de se structurer

La structuration de la cyberdéfense française vient de franchir une nouvelle étape. Le ministère des Armées vient en effet d’annoncer la signature d’une convention avec « huit grands maîtres d’œuvre industriels et principaux équipementiers du ministère : Airbus, Ariane Group, Dassault Aviation, MBDA, Naval Group, Nexter, Safran et Thales ».

Cette convention s’inscrit dans la continuité. Florence Parly avait plus tôt cette année, à l’occasion du Forum International de la Cybersécurité (FIC), plaidé pour une coopération étroite, afin de « construire, en toute confiance, une chaîne cyber défensive ‘‘de bout en bout’’ ». C’est à cette occasion que la ministre avait présenté les grandes lignes de la doctrine française en matière de lutte informatique offensive (LIO).  

Un peu plus tôt, Laurent Nuñez, secrétaire d’Etat auprès du ministère de l’Intérieur, et Guillaume Poupard, directeur général de l’Agence nationale pour la sécurité des systèmes d’information (Anssi), avaient évoqué les attaques par rebond, celles visant la chaîne logistique. Et c’est justement l’un des enjeux de cette convention : traiter ce risque.

Florence Parly l’indique ainsi : « plus le ministère renforce ses pare-feu, plus nos industriels fournisseurs sont visés, par effet de ricochet ». Et au-delà, leurs fournisseurs et partenaires, serait-on tenté de souligner. Récemment, l’Anssi a d’ailleurs sonné l’alerte sur des attaquants cherchant à « prendre position sur les réseaux de prestataires afin de récupérer les données, voire d’accéder aux réseaux, de leurs clients », ainsi que la présentation d’éléments obtenus « suite au traitement d’incidents suivant ce schéma d’attaque ».

Et les attaques sont bien là. Selon la ministre, « plus de 830 incidents de sécurité ont visé nos systèmes en 2018 ». En janvier dernier, elle évoquait « 700 événements de sécurité, dont 100 attaques qui ont ciblé les réseaux du ministère » des Armées, en 2017, tout indiquant que « ce nombre [avait] été atteint dès septembre », en 2018.

Sans surprise, cette convention a donc été rédigée par le Commandement de la cyberdéfense (COMCYBER) et la Direction générale de l’armement (DGA), en coopération avec la Direction du renseignement et de la sécurité de la défense (DRSD) et l’Anssi.

Elle repose sur quatre piliers, dont le premier n’est autre, et sans surprise, que le partage d’informations « au sein d’un cercle de confiance » - autrement dit, le partage de renseignement sur les menaces éventuellement observées chez l’un ou l’autre des acteurs concernés.

Cela ne s’arrête pas là. Au programme également, « une évolution des organisations pour traiter le cyber en tant que sujet transverse » - donc non pas rangé quelque part sous le DSI, est-on tenté d’imaginer -, « un volet important de formation et de sensibilisation », et enfin « une évolution des méthodes pour passer d’une logique de conformité à une logique de maîtrise des risques ». Osons gager toutefois que certains des acteurs concernés n’ont pas attendu cette convention pour prendre ce dernier virage.