Cyberattaques, une menace trop peu prise au sérieux

13.05.2013 Le Monde.fr

Par Driss Aït Youssef (Président de l'Institut Léonard de Vinci, spécialiste de la sécurité) et Yves Roucaute (Professeur agrégé des facultés, directeur du MBA "Sécurité des réseaux numériques" de l'Institut Léonard de Vinci)

Ne serait-il pas temps pour notre pays de prendre conscience des nouveaux enjeux liés au numérique ? La cyberattaque menée depuis les Etats-Unis par un groupe de cyber-délinquants ayant dérobé plus de 45 millions de dollars à deux banques montre une fois encore la vulnérabilité des systèmes d'information les plus stratégiques et, apparemment, les mieux protégés.

Certes, les hackers ont-ils surestimé leur capacité à blanchir leur butin. Mais soyons assurés que les prochaines attaques seront, sans doute, mieux organisées avec, cette fois, l'appui de groupes criminels puissants disposant de moyens techniques et organisationnels solides.

Au  16e rang des pays où la cybercriminalité est la plus active, la France peut légitimement s'inquiéter. Le dernier rapport sur la cybercriminalité de la société américaine Symantec sonne d'ailleurs l'alarme de façon spectaculaire. Le cybercrime est en expansion et il paraît de plus en plus difficile de l'arrêter.

DES MOYENS INDISPENSABLES

Loin d'échapper au fléau, la France se classe seulement au 8e rang européen en termes de défense. Cyberterroristes, cybercriminels et hackers ne sont, semble-t-il, pas pris très au sérieux, malgré la publication du Livre blanc « Sécurité et défense 2013 », donnant une place à la cyberdéfense sans les moyens indispensables.

Pourtant, ce cybercrime est d'abord, dirigé contre les Etats et ses infrastructures critiques. Il est plus inquiétant et dévastateur que le terrorisme, parfois conjugué avec lui – au point d'avoir vu le Sénat des Etats-Unis en faire une question stratégique après l'attaque contre l'entreprise d'armement Lockeed Martin (2011) – découvrant enfin que ce qui avait été désastreux pour la Géorgie (2008) ou l'Estonie (2007) pouvait l'être aussi pour l'Amérique.

Cette nouvelle criminalité vise ensuite le circuit financier et bancaire, clef de voûte du système économique. Ainsi qu'on le voit aujourd'hui, et comme le démontre l'enquête du Ponemon Institute, 64% des banques et entreprises du secteur financier américain ont subi des attaques en 2012. Une inquiétude grandissante, au point que leurs dirigeants s'attendent à une augmentation plus grande encore qui devrait dépasser 75%.

La confiance dans notre système bancaire ne repose plus seulement sur la capacité des banques à investir correctement l'épargne des Français mais désormais sur sa capacité à protéger les avoirs de ses clients.

Cette cybercriminalité vise, bien entendu, toutes les grandes entreprises. Ces actes ont déjà conduit à des pertes colossales  touchant même des entreprises qui semblaient pourtant disposer de protections avancées, telles que Yahoo!, Amazon, e-Bay ou Google.

Chacun a pu découvrir, en même temps, l'un des versants peu joyeux de la mondialisation : une progression de l'espionnage inconnue jusqu'alors. Celle-ci venant des entreprises concurrentes mais aussi des Etats, en particulier de certains émergents.

AUGMENTATION DE 42 % EN 2012

Les PME et les sous-traitants restent cependant les plus importantes victimes de la cybercriminalité, avec 31% des attaques globales, soit une augmentation de 42% en 2012.  Ce secteur, terreau de l'emploi et de la recherche, se croit trop souvent à l'abri. Il n'a pas encore clairement vu les enjeux de disposer de cadres possédant la maîtrise des risques réseaux numériques et est ainsi devenu une cible de choix.

Les raisons du ciblage cybercriminel sont faciles à saisir.  D'une part ces PME sont moins protégées faute de cadres compétents et de moyens adaptés. D'autre part elles sont la porte d'entrée sur les grandes entreprises et les Etats. Enfin, elles sont souvent porteuses de projets dynamiques dans la course aux brevets et à la novation, clef de la profitabilité, de la croissance et de l'emploi.

Le récent braquage à la souris informatique n'est donc pas le premier et ne sera certainement pas le dernier. Le suivi de cette affaire avec sa réponse pénale s'annoncent difficile. Le droit international étant en retard sur les nouvelles technologies. Il est inutile d'attendre de l'Etat qu'il puisse, à lui seul, protéger l'espace vital de tout un chacun et celui des entreprises. Il n'en a pas les moyens scientifiques et techniques. Lucide, il appelle d'ailleurs  des opérateurs privés pour protéger ses infrastructures critiques.

Il est donc grand temps pour l'Etat d'accélérer le déploiement de nouveaux dispositifs pour prévenir et protéger les infrastructures, entreprises et citoyens. Temps aussi pour les entreprises, grandes ou petites, de se doter de services, d'outils et de personnels compétents pour protéger leurs patrimoines immatériels.

Une façon de rappeler cet adage populaire de bon sens : nul n'est jamais mieux protégé que par lui-même.