Inde : la politique de cybersécurité nationale, reflet d’une géopolitique complexe

Révélée début mai 2013 (1), la politique nationale de cybersécurité vient d'être validée par le gouvernement indien. Comme pour nombre de ses homologues internationaux, ce document identifie un ensemble de menaces et d'acteurs menaçants qui pourraient viser essentiellement, sans surprise, les infrastructures critiques de ce pays gigantesque (2).

Cherchant à fédérer une multiplicité d'acteurs par la mise en place d'une organisation cohérente (3), cette politique a pour ambition de fournir le socle commun procédural et les mécanismes associés : partage d'informations, détection et capacités de réaction, gestion de crise, politique de formation et de recrutement de spécialistes, etc. Même si de prime abord rien ne vient troubler les rivages de Pondichéry, plusieurs éléments d'intérêt m'inspirent les remarques qui suivent. 

L'un des ces intérêts est de considérer que la mise en place d'une structure nationale spécifique, adossée à cette politique de cybersécurité, va évidemment dans le bon sens. Au bémol près que cette démarche est longue voire même très longue au point d'en devenir presque suspecte. Il y a là l'impression d'un flottement où, si les intentions politiques sont bien affichées depuis maintenant plusieurs années, leur transcription dans la réalité semble se perdre dans les bureaux de la monstrueuse administration indienne. Par ailleurs, le document validé (4) n'est qu'une "notification" d'une dizaine de pages alors que le draft de la v1 comporte 21 pages très complètes. On y trouve d'ailleurs la référence à un projet de créer des CERT sectoriels (Défense, finance, ferroviaire, pétrole et gaz, transports, ...) qui travailleraient de concert avec le CERT-In. Peut-être s'agit-il effectivement de notifier la politique de cybersécurité nationale à l'ensemble de l'administration indienne, le temps de finaliser la v1 finale ? On devrait être fixé avant l'automne, d'autant plus que se profile la création d'un Cyber Command depuis plusieurs semaines.

Un autre intérêt majeur concerne l'approche sémantique du cyberespace par l'Inde en tant qu'écosystème et comme "cinquième domaine". Ces traits caractéristiques pourraient indiquer que l'Inde fait sienne la vision de son allié et mentor américain (5). La philosophie cyber de ce dernier apparaît clairement en filigrane même si elle nécessite une assez bonne connaissance de ce qu'elle est. La touche indienne, si l'on peut dire, a trait aux aspects positifs et favorables du cyberespace, le vecteur de croissance et les "opportunités" qu'il constitue pour l'économie indienne depuis bientôt une décennie.

Pour revenir à la structuration de la pensée indienne par la vision conflictuelle du cyberespace, essentiellement des USA, nul besoin de faire des recherches complexes : rappelons-nous simplement du cyber exercice majeur effectué en septembre 2012 ou de la stratégie américaine en matière de partenariats internationaux. La recherche d'alliés fiables et puissants en est l'un des axes forts. D'autant plus que l'Inde représente sans doute le contrepoids le plus prometteur face à la Chine (6) d'un côté et à l'Iran chiite de l'autre (7).

(1) et non pas au début de ce mois de juillet comme l'on peut le lire dans la presse indienne et anglo-saxonne. La version draft v1 date même du 26 mars 2013

(2) plus de 1,2 milliards d'habitants sur près de 3,3 millions de km²

(3) le National Security Council Secretariat (NSCS) pour la coordination nationale, le National Critical Information Infrastructure Protection Center (NCIIPC) et le CERT India (CERT-In)

(4) on notera étonnamment le "2" du jour de juillet ajouté à la main et au stylo
(5) sans oublier Israël
(6) républiques d'Asie centrale, "mer de Chine", océan Indien
(7) que certains à Washington parent d'une volonté de puissance régionale avec une influence s'étendant des rivages de la Méditerranée (Syrie) en passant par l'Irak jusqu'aux zones tribales Hazaras et Baloutches (Afghanistan / Pakistan). Merci à Egéa pour l'échange à ce propos.