Timothy Boerner : après Europol, "il faut une sorte de Cyberpol"

LeMagIT : Lors de votre intervention, vous avez brièvement évoqué la question de l’éducation des politiques aux enjeux de la cybercriminalité. Que vouliez-vous dire ?

Timothy Boerner : c’est probablement l’un des points les plus importants. Il est critique. Et plus généralement, il est nécessaire d’éduquer les utilisateurs à ces questions. Les efforts dans ce sens sont encore trop limités. […] Aux Etats-Unis, nous avons commencé plus tôt à nous intéresser à ces sujets, y compris du côté des utilisateurs. Et puis nous avons ces entreprises, Microsoft, eBay, etc. Mais les NTIC se diffusent à travers le monde ; nous restons peut-être juste un peu en avance de phase. Mais, en tant que spécialistes de la lutte contre la cybercriminalité, nous sommes aussi confrontés à la rotation peut-être trop rapide de nos interlocuteurs : on éduque un interlocuteur à ces questions, puis il est muté, remplacé et il faut tout recommencer. C’est même vrai au niveau opérationnel, au niveau des magistrats, etc. Et puis, malheureusement, il y a beaucoup de bureaucratie. Mais c’est vrai pour tous les pays.

Dans ce contexte, la coopération internationale peut-elle vraiment fonctionner ? N’y a-t-il pas, en matière de cybercriminalité, des pays voyous ?

C’est une question très difficile. Dans chaque pays, le sujet est traité avec une perspective et un état d’esprit différent. Nous pouvons néanmoins avoir de très bons partenariats avec certains collègues de pays comme la Russie, dans certains cas. Mais c’est tout ce dont je suis habilité à parler. En tout cas, ce n’est pas uniforme. Assurément, ce serait formidable d’avoir une sorte de traité d’assistance mutuelle avec la Russie, l’Ukraine, la Chine, par exemple, et comme entre pays occidentaux, mais ce n’est pas le cas.

On parle de cybercriminalité, de cyberdéfense ; à quel moment commence-t-on à parler de « cyber acte de guerre » ? Notamment lorsque les cyber-attaques sont conduites par des individus isolés hors de contrôle.

Tout dépend des pouvoirs qui sont donnés aux agences de lutte contre la cybercriminalité pour aller chercher leurs propres citoyens… En Europe, la législation sur la cybercriminalité n’est pas forte, par exemple. Cela renvoie aux politiques. Au-delà, [L’intégration de la cyberdéfense avec les politiques de défense nationale] est en train de venir. C’est pour dans 5 ou 10 ans. En tout cas, je l’espère. Car nous avons de très bons enquêteurs. Mais, en face, il y a des groupes très bien organisés.

Mais que peut-on faire contre une attaque massive par DDoS ?

On l’a vu en Estonie, en Géorgie… On ne peut pas faire grand chose. Au Kyrgyzstan, le vote du parlement pour la fermeture d’une base aérienne américaine servant à l’approvisionnement des troupes en Afghanistan a été précédé d’une cyber-attaque mobilisant 80 % de la bande passante du pays. C’est le genre de choses dont il faut qu’on commence à parler. Vous avez Europol ; il faut une sorte de « cyberpol ».