Les leçons de la bataille de l’Atlantique sont-elles applicables au cyberespace ?

Un certain nombre de spécialistes, la plupart marins d’eau douce, abordent pertinemment le cyberespace au travers d’analogies et de caractéristiques similaires avec le domaine maritime. D’une partie du collectif de l’Alliance Géostratégique aux Global Commons en passant par Daniel Ventre dans son dernier ouvrage, cette métaphore apparait moins surprenante lorsqu’elle émane d’un responsable de l’armée américaine.

L’originalité ici, cependant, réside dans le fait d’étudier la bataille de l’Atlantique pour la projeter comme stratégie d’entreprise afin de modeler une défense efficace face aux dangers permanents venus du cyberespace. C’est en tout cas la thèse que défend le Contre-Amiral David Simpson, vice-directeur de la DISA (l’agence du Pentagone qui s’occupe des Systèmes d’Information militaires).

La suite de cet article est à lire sur le site de l'Alliance Géostratégique.

Cybersécurité : la question controversée des règles mondiales

C'est sous ce titre un peu mystérieux et, de prime abord, presque anodin qu'un think-tank sis à Bruxelles, le Security and Defence Agenda (SDA) vient de récemment publier un rapport d'une centaine de pages plutôt ambitieux (en français ou en anglais). 

Qu'on en juge plutôt : plus de 250 experts et décideurs mondiaux (spécialistes du secteur privé, directeurs d'agences gouvernementales, responsables d'organisations internationales, chercheurs, etc.) au travers de plus de 80 interviews ont été interrogés afin de produire une synthèse de l'état des réflexions actuelles en matière de cybersécurité et des problématiques de sécurité liées au cyberespace.

En première lecture, discussions et réflexions projettent parfaitement le bouillonnement intense qui agite la cyber-sphère et ses interdépendances (praticiens, responsables politiques, secteur de la Défense et de la sécurité, recherche académique, média). Ce rapport propose aussi une initiative que je trouve foncièrement intéressante, même si elle est assurément sujette à discussion : un classement de l'état de préparation des principaux pays en matière de cyber-défense.

La méthodologie et ses résultats reposent sur un modèle élaboré par Robert Lentz. Appelé Cyber Security Maturity Model (sur le principe du CMMI pour les développements logiciels), celui-ci permet de donner une note jusqu'à 5 étoiles en terme de résilience, que M. Lentz estime être la capacité ultime recherchée par les États ou les entreprises en cas de cyber-attaque(s) majeure(s).  Au-delà du choix des critères, pertinents tout en étant critiquables, on relèvera que la France obtient 4 étoiles, tout comme les USA. Seuls Israël, la Suède et la Finlande obtiennent la note la plus élevée de 4,5 étoiles.

Cependant, si l'on tient compte des différents choix politiques et stratégiques récemment faits parmi les grandes nations, sur les tendances que l'on peut projeter dans les mois et les quelques années qui viennent et si l'on ajoute la LIO, c'est à dire l'ensemble des capacités offensives vraisemblables, on risquerait sans doute d'obtenir un classement différent. En réalité, cela importe peu pour le moment : ce rapport possède de réelles qualités mais également des défauts (sa vision atlantico-atlantiste, par exemple). Reconnaissons le travail important ici réalisé, le brassage d'idées, les pistes et les solutions proposées qui permettent d'alimenter et d'enrichir un débat qui ne fait que commencer.

Cybersécurité et développement au menu de l'ECOSOC (ONU)

Le 29 novembre 2011 s'est tenu à l'École militaire un colloque ayant pour thème le cyberespace comme "nouveau domaine de la pensée stratégique". Organisé par le Centre de Recherche des écoles de Saint-Cyr Coëtquidan (CREC) et l'Alliance Géostratégique (AGS), cette journée a pu souligner combien ce domaine est complexe et en devenir et combien il ne peut / ne doit être résumé à ses aspects les plus médiatiques (Anonymous, Stuxnet, ...) ou réduits aux seuls paramètres techniques.

Au niveau international, il est possible de distinguer d'autres facteurs tout aussi importants car ils touchent aux règles du jeu (régulation, compétences juridictionnelles) afin de tenter de mettre un peu d'ordre dans une conflictualité permanente, protéiforme et d'intensité variable. L'aspect normatif et légal est donc essentiel à ceci près qu'il n'en n'existe pas de spécifique (une variété d'accords et de textes s'appliquent ou peuvent s'appliquer) ou, du moins, qu'existent des tentatives plus ou moins avancées dans différentes organisations. Certains États n'ont pas attendu d'hypothétiques accords pour faire part de leurs propres règles d'opérations et d'engagement. Notons alors combien il sera difficile de converger, d'autant plus qu'une des principales dynamiques est le fait de l'OTAN qui, sans être illégitime sur les aspects de "Global Commons" ("Biens Publics mondiaux") devrait in fine apporter sa contribution, de mon point de vue, à l'organisation mondiale la plus légitime : l'ONU.

  

La semaine dernière d'ailleurs, le Conseil Économique et Social des Nations Unies (ECOSOC) a organisé un Special Event d'une demi-journée autour de la cybersécurité et du développement. Cet événement abordait une triple thématique :

- Sensibiliser les membres d'ECOSOC en dressant un panorama des enjeux et des défis soulevés par la cybersécurité dans le cadre du développement;

- Identifier l'ensemble des bonnes pratiques en termes de politiques et d'initiatives au niveau mondial pour construire une culture cybersécurité;

- Explorer les options de réponse globale vis à vis de la cybercriminalité.

Au final, l'objectif était "d'avancer des idées sur les éléments clé requis en termes de réponse globale et de canevas en réponse à la problématique cybersécurité / cybercriminalité". J'avoue ne pas avoir encore eu le temps de regarder les presque 3h du podcast disponible. S'il y a un(e) volontaire, la communauté lui en saura gré ! ;) 

J'aimerai enfin signaler l'un des documents disponibles (dans le cadre de cet événement) qui, méritera une analyse approfondie, puisqu'il permet d'en savoir un peu plus sur les rapports de force, les propositions et les loupés autour du cyberespace au sein de l'enceinte des Nations Unies. J'ai, par exemple, appris que "la Russie avait proposé un traité dès 1998 qui proposait de bannir du cyberespace tout usage à des fins militaires" ! Cette proposition, clairvoyante et par ailleurs déjà évoquée en 2010 par CIDRIS, était simplement en avance d'une bonne décennie sur les...Global Commons et anticipait la montée en puissance des risques dans et par le cyberespace.