Le ministre de la Défense, Jean-Yves Le Drian, vient de dévoiler un plan d'un milliard d'euros sur cinq ans consacré à la cyberdéfense française. Alors que le budget de l'armée s'affiche en baisse, le gouvernement mise sur "le cyber" pour à la fois se défendre des attaques, mais aussi accompagner des opérations militaires. Le point avec le Monsieur Cyberdéfense du ministère, le contre-amiral Arnaud Coustillière. Interview.
2013 a été une année chargée avec un livre blanc et une loi de programmation militaire, qui ont redéfini la cyberdéfense française. Quid de 2014 ?
- Je suis en poste depuis 2011, et chaque année est chargée en actualités et en transformations. 2014 sera synonyme de la mise en musique de toutes les décisions prises l'an dernier, avec comme socle le Livre blanc. Les réformes vont se poursuivre selon ce qu'a annoncé le ministre : le Pacte défense cyber et le pôle d'excellence Bretagne.
Se pose aussi un enjeu de souveraineté pour que certaines industries restent indépendantes. On ne sera pas indépendants partout, mais il faut repérer les secteurs clefs pour conserver une autonomie suffisante, par exemple dans les sondes, les outils d'analyse ou les coeurs de réseau. En aidant et défendant les PME innovantes, nous espérons tendre vers une base industrielle souveraine, et s'assurer qu'elle ne soit pas rachetée par des Américains ou des Chinois.
Pourquoi cette indépendance n'a-t-elle pas été appliquée au ministère de la Défense qui a préféré renouveler son contrat avec Microsoft plutôt que d'opter pour des logiciels libres ?
- Il faut réfléchir avec plus de recul. Près de 95% des opérations militaires se font sous mandat de l'ONU dans des contextes de coalitions totalement improbables. Aujourd'hui, nous faisons la chasse à la piraterie dans le golfe indien avec les Ukrainiens et les Chinois, nous sommes au Mali avec comme principal allié le Tchad... Et pour partager avec tout le monde immédiatement, cela passe par Microsoft.
De plus, quelle est l'alternative à Microsoft quand on gère un réseau qui compte 250.000 postes de travail ? Si l'on regarde les grands opérateurs proposant du travail collaboratif, un environnement de travail évolutif, une sécurité constamment améliorée, une réactivité en cas de vulnérabilité... Microsoft s'avère le plus intéressant. Et, face aux capacités d'espionnage pointues qui pourraient nous cibler, Microsoft est aussi facile à attaquer que des logiciels libres. Enfin, quand un choix est fait avec un éditeur, il est très compliqué d'en sortir.
Au Forum international de la cybersécurité (FIC), vous avez évoqué le cyberespace comme un nouveau champ de bataille. Qu'entendez-vous par là ?
- Il s'agit d'un nouveau milieu de combats, en plus du terrestre, du maritime, de l'aérien et du spatial. On plaque ainsi au cyber, les mêmes processus que pour les autres milieux. Par exemple, nous renforçons les capacités du service de renseignement dit "d'intérêt cyberdéfense", afin de mieux détecter ceux qui risquent d'attaquer dans les prochaines minutes comme dans les prochains mois, même à partir de traces infimes.
Jean-Yves Le Drian a également évoqué des capacités offensives.
- Le ministre l'a dit et officialisé, nous disposons de capacités d'actions informatiques offensives en accompagnement des opérations militaires.
Concrètement, de quoi s'agit-il ?
- Concrètement, je ne peux pas en dire plus. Je vous renvoie vers les différents écrits en la matière. Mais la difficulté n'est pas technique. Il est plus compliqué de savoir quel comportement adopter. Quand on lance une opération, nous avons une "règle militaire d'engagement", c'est-à-dire en cas d'agression savoir si l'on a le droit de tirer. Ces règles existent mais il faut les transposer pour le cyberespace.
En somme, vous attendez une doctrine sur l'emploi de la force, ce qu'appelle de ses voeux le sénateur Jean-Marie Bockel.
- Le Livre blanc nous donne une doctrine. En cas d'attaque informatique de grande ampleur qui menace la sécurité nationale, l'Etat a une capacité de défense active pour voir qui est derrière, et peut répliquer avec tous les moyens dont il dispose, dont les moyens coercitifs du ministère de la Défense. On parle bien de tous les moyens à disposition de l'Etat, c'est-à-dire qu'en cas d'attaque informatique, la meilleure réponse n'est pas forcément une attaque informatique.
La France pourrait faire, à l'image de ce qu'a dit Barack Obama pour les Etats-Unis, répliquer par l'arme atomique en cas de cyberattaque ?
- Une attaque informatique est une agression comme une autre. Et en cas d'effets importants, nous pouvons répondre avec les moyens à notre disposition. La France a développé une capacité de lutte informatique offensive, et c'est un moyen qui s'ajoute aux autres. Elle sert à caractériser l'origine des éventuelles attaques, mais aussi à accompagner des opérations militaires.
Quel type d'attaques menez-vous lors des opérations militaires ? Coupez-vous les communications via des cyberattaques ?
- Nous l'intégrons à nos options. En fonction de l'effet recherché, nous découpons chaque action en actes militaires. Si l'on doit stabiliser une ville, alors nous allons étudier les différentes options d'actions cinétiques ou non. Et là, effectivement, la neutralisation informatique - d'un radar par exemple - peut s'avérer très intéressante. Nous n'avons pas les moyens techniques de tout faire, mais il s'agit de quelque chose de plus en plus intégré.
Entreprenez-vous des attaques informatiques dans le cadre des interventions au Mali ou en Centrafrique ?
- Non, il n'y aucun accompagnement de cadre, surtout parce que le terrain ne s'y prête pas du fait des faibles infrastructures. Mais on aurait pu imaginer l'utilisation de ce type d'actions en Libye.
Qui se charge des cyberattaques au sein du ministère ? Le Centre d'analyse de lutte informatique défensive (Calid) ? La Direction générale de l'armement (DGA) ?
- C'est une capacité du ministère de la Défense. Je ne peux pas vous en dire plus, l'organisation est classifiée. Je suis la seule tête émergée pour les opérations cyber, défensives et offensives. Tous les processus sur comment on entreprend ces actions et avec qui on les entreprend est confidentiel. Mais il est sûr que dans l'armement, la DGA dispose d'un rôle phare.
Le ministre de la Défense a cité le chiffre d'un milliard d'euros pour le budget de la cyberdéfense.
- Cette somme correspond à l'effort que le ministère va consacrer au domaine cyber de 2014 à 2019. La moitié est consacrée aux investissements, en particulier pour R&D qui est multipliée par trois, pour environ 30 millions d'euros par an, mais aussi pour un programme d'armement particulier de 350 millions d'euros. L'autre moitié est consacré aux ressources humaines, c'est-à-dire la création de 550 postes : 200 personnes supplémentaires pour la DGA-Maîtrise de l'information et 350 personnes spécialisées intérieure aux armées, notamment au sein du Calid.
/fdata%2F4220908%2Favatar-blog-1207340840-tmpphpbvDubc.jpeg){kind=avatar}
