Affirmation de la cyberpuissance USA et ruptures stratégiques

Si depuis juillet 2013 le tsunami de l'affaire Snowden (1) nous a habitué à des révélations régulières et parfois spectaculaires, la semaine qui vient de s'écouler marque un tournant ainsi qu'une rupture. Tournant parce que de "l'affaire délicate" Gemalto (2) à Equation Group (3), l'ampleur des moyens déployés pour espionner toutes les communications électroniques de la planète permet, à ceux qui en avaient encore, de ne plus se faire aucune illusion sur l'absolue nécessité de bien protéger les informations qui le méritent. Rupture technologique mais aussi stratégique et bien-sûr politique. Comme le relève avec acuité Eric Le Boucher dans les Échos (4), les États-Unis d'Amérique "hyperpuissance" sont devenus "cyberpuissance". Y affirmant leur hégémonie dans le cyberespace tandis que leur repli des affaires du monde "réel", annoncé depuis des années par Obama et en cours de réalisation, les place dans une position de plus en plus isolationniste.

Top Twitter (août 2012)

Après l'Alliance Géostratégique et Nicolas Caproni, j'ai décidé de publier mon propre Top Twitter que je souhaite complémentaire même s'il possède de nombreux recouvrements. Il recense les Twittos, auxquels je suis abonné, qui publient régulièrement et apportent à mon sens un petit plus en termes d'information(s) et de valeur-ajoutée de celle-ci. Quelque autres représentent un vrai coup de coeur, sans autre ambition qu'exister et faire entendre une petite musique bien à eux/elles.

Organisé par thèmes, ce Top Twitter ne tient aucunement compte de la nationalité, même si Français et francophones sont très fortement représentés. L'ordre alphabétique n'a aucune importance et il y aura sans doute des mécontent(e)s et des mécontentes. S'ils/elles travaillent bien :) d'ici là, rendez-vous est donné à la prochaine fournée, fin 2012, probablement !

La cyberdéfense française doit-elle être réservée aux (seuls) militaires ?

Cette réflexion à deux voix (Clarisse et Si vis pacem) répond aux propositions du Colonel Chauvancy dans son billet intitulé “De la cyberdéfense technicienne à la cyberdéfense stratégique”, auquel Si vis pacem avait apporté un commentaire, peu convaincu par certaines idées. De fil en aiguille, Clarisse a rejoint la discussion, puis le besoin de formaliser s’est fait sentir, de soumettre publiquement des contre-propositions et certaines pistes à explorer.

(source)

De notre point de vue et plus que jamais, il s’avère qu’il faille sans délai affermir la réflexion stratégique de la France dans le cyberespace vis-à-vis des enjeux, de sa propre organisation et de ses collaborations. La suite est à lire sur l'Alliance Géostratégique !

L'Inde et le Japon se rapprochent dans le nucléaire, le maritime et la cybersécurité

La zone Moyen-Orient et Asie est assurément la zone du monde la plus conflictuelle depuis des années. Cette vaste zone concentrant maintenant les 2/3 de la population mondiale et une bonne moitié de la richesse produite fait face à une recomposition rapide. Tout d'abord régionale mais aussi globale, on assiste à une modification en profondeur des équilibres géopolitiques et stratégiques issus de plusieurs chocs majeurs et successifs : écroulement de l'URSS, attentats du 11 septembre 2001 (et leurs conséquences en Afghanistan puis en Irak), enfin révoltes arabes dont sans doute de nouvelles pages restent encore à écrire. 

 

(Source)

En parallèle, la Chine est devenue l'acteur majeur et incontournable de cette zone mais aussi, plus largement, de la planète entière. Ce vaste pays, sous-continent à l'instar de son voisin Indien, ne fait pas preuve de plus de volonté hégémonique ou belliciste que certains de ses voisins de la zone Pacifique*. Pékin de par sa puissance économique, ses réserves monétaires et la modernisation rapide (mais qualitative) de ses forces armées génère une augmentation des tensions dans cette partie du globe.

C'est dans ce cadre que l'Inde et le Japon ont entamé, depuis quelques années,  un processus de rapprochement sous la forme d'un dialogue stratégique. Le sixième round de ces discussions s'est tenu la semaine dernière à New Delhi et a permis des avancées significatives dans plusieurs domaines. D'abord le nucléaire civil pour lequel le Japon a fait savoir que certains éléments restaient à préciser avant d'envisager une coopération approfondie. Parmi les réserves, la non signature du traité sur la non-prolifération des armes nucléaires par l'Inde. De par son histoire, le Japon possède une sensibilité particulière pour ce domaine même si non dénué d'obsessions paradoxales.

(Source)

Ensuite le domaine maritime, particulièrement important puisqu'il englobe une vaste zone allant de l'Océan Indien en passant par la mer Jaune, la mer de Chine méridionale, la mer du Japon et enfin l'océan Pacifique. De nombreuses problématiques interdépendantes et parfois antagonistes en découlent : piraterie au large de la Corne africaine, routes mondiales de transport de marchandises et des hydrocarbures, différends territoriaux, manœuvres et intimidations, etc. La coopération indo-japonaise a donc convenu d'un important exercice naval conjoint en juin au large du Japon qui intégrera un fort volet de sécurité maritime focalisée sur la lutte  contre la piraterie et terrorisme maritime.

Enfin, la coopération sera renforcée dans le domaine de la cybersécurité, devenu stratégique pour les principales puissances mondiales. Tous ont été frappés ces derniers mois par de nombreux incidents d'importance variable et à des degrés divers. Certains de ces incidents ont pu toucher la sécurité nationale respective de l'Inde et du Japon. On comprend dès lors l'intérêt d'initier les mécanismes d'un dialogue privilégié et stratégique entre ces deux pays. Cette initiative sera d'ailleurs à suivre attentivement car elle pourrait correspondre à l'établissement d'une plate-forme commune à laquelle d'autres parties prenantes de la région pourraient venir s'agréger (Corée du Sud, Philippines, Thaïlande voire Australie).

* États-Unis en tête !

Sources : 

- http://articles.timesofindia.indiatimes.com/2012-05-01/india/31526524_1_japanese-counterpart-koichiro-gemba-japan-maritime-self-defence-force-focus-on-maritime-security

- http://english.cri.cn/6966/2012/05/01/3241s696541.htm

Article paru sur le site de l'Alliance Géostratégique ce même jour

Cyber-opérations et stratégie : quelle(s) doctrine(s), quel(s) concept(s) ?

Il n'y a pas qu'en France et, en particulier au sein des alliés de l'Alliance Géostratégique, que les pensées, les réflexions, les concepts et les échanges autour du cyberespace ont lieu. Les États-Unis, dont ce blog se fait souvent l'écho des progrès et avancées en observateur parfois fasciné mais toujours vigilant, semblent être dans une position étonnamment similaire. 

Développant depuis des mois et à marche forcée une panoplie complète d'outils, de moyens, de structures hautement spécialisées, en gréant d'autres avec un personnel de plus en plus nombreux qui, d'ici une décennie sera (presque) recruté et formé au berceau, un cyber-arsenal de lutte dans le cyberespace est en train de se créer. Avec souvent une tendance à la posture ou à l'exagération (des capacités adverses). Mais sans véritable doctrine ni concept d'emploi précis. On peut même dire que celles-ci se construisent dynamiquement autant chez les militaires que chez les sénateurs.

Dans un avenir proche, l'influence grandissante d'opérations non-cinétiques dans le cyberespace en soutien, en complément ou en préalable d'opérations cinétiques se verra confirmer.  Leur prépondérance à devenir centrales dans la conduite de futures opérations militaires (ou de sécurité extérieure) font l'objet de réflexions et d'échanges parfois passionnés et souvent passionnants.

L'une des questions majeures, soulevant de nombreuses difficultés et qui sont, pour le moment insolubles, est l'intégration de l'utilisation de l'arme* cybernétique et de ses effets capacitaires et non-cinétiques au niveau stratégique. Une interrogation soulevée à différentes reprises par le blog allié Egea (ici et là) qu'il convient pour le moment de relayer. Il conviendra aussi d'y contribuer dans un avenir (très) proche. Opinions et commentaires sont donc les bienvenus en attendant.

* arme au sens Armée de terre, de l'air ou Marine...les trois autres dimensions

Les leçons de la bataille de l’Atlantique sont-elles applicables au cyberespace ?

Un certain nombre de spécialistes, la plupart marins d’eau douce, abordent pertinemment le cyberespace au travers d’analogies et de caractéristiques similaires avec le domaine maritime. D’une partie du collectif de l’Alliance Géostratégique aux Global Commons en passant par Daniel Ventre dans son dernier ouvrage, cette métaphore apparait moins surprenante lorsqu’elle émane d’un responsable de l’armée américaine.

L’originalité ici, cependant, réside dans le fait d’étudier la bataille de l’Atlantique pour la projeter comme stratégie d’entreprise afin de modeler une défense efficace face aux dangers permanents venus du cyberespace. C’est en tout cas la thèse que défend le Contre-Amiral David Simpson, vice-directeur de la DISA (l’agence du Pentagone qui s’occupe des Systèmes d’Information militaires).

La suite de cet article est à lire sur le site de l'Alliance Géostratégique.

ERTS² 2012 : des systèmes embarqués et temps réel comme révélateurs des contradictions de la gouvernance européenne

La conférence ERTS² 2012 s’est tenue durant 3 jours (1-3 février 2012) au Centre des Congrès de Toulouse. Quoi de plus logique, en effet, que d’accueillir la 6ème édition européenne bâtie autour des questions de systèmes embarqués et de logiciels temps réel (Embedded Real Time Systems…ERTS) dans la première région industrielle et économique européenne pour les activités aéronautiques et spatiales ? 

Sous le patronage de l’A3F Midi-Pyrénées et de la SEE, et avec de prestigieux partenaires comme Airbus ou le pôle de compétitivité Aerospace Valley, travaux de recherche, innovation et applications industrielles ont été présentés, discutés et partagés.

Il faut avant tout comprendre la problématique Embedded/Real Time (Embarqué / temps réel), qui a envahi notre vie quotidienne depuis des années : véhicule personnel, transports en commun, énergie, communication, etc. tous les domaines qui transportent quelque chose (énergie, données, personnes) sont concernés. La criticité de certains équipements mis en œuvre atteint même un paroxysme avec l’élévation du nombre des paramètres (donc des contraintes) lorsque l’on dispose d’un système qui transporte des dizaines de personnes sur la terre ferme (métro, train) ou dans les airs (avion).

La suite est à lire sur l'Alliance Géostratégique.

Cybersécurité USA : le volet normatif comme outil de puissance et de volonté stratégique

En quelques mois, la problématique de la sécurité et des enjeux liés au cyberespace est passée du statut d'émergente à majeure. Dorénavant, la plupart des puissances mondiales se trouvent embarquées dans un train disposant de plusieurs classes. Mais dans la locomotive se trouve un seul et même "patron" : les États-Unis d'Amérique.

Bien décidés à ne pas se laisser attaquer sans réagir ou, plus simplement, ne pas se laisser distancer technologiquement, la stratégie Obama officialisée en 2011 suivie de ses Executive orders a permis de concevoir cette locomotive. Déclinée en volets plus opérationnels et opératifs par le Pentagone, le DHS et l'ensemble de la machinerie fédérale, la mise en œuvre de moyens subordonnés assortie d'une montée en puissance constitue les premiers essais sur les rails (du cyberespace).

Pour autant, on peut avoir l'impression qu'il existe une certaine sous-estimation du sérieux et de la volonté avec lesquels l'administration américaine a décidé et d'investir et de s'inscrire dans le cyberespace en puissance dominante. Autant par héritage sociologique, historique et économique qu'en conséquence d'une plus vaste pensée stratégique voire d'une certaine ontologie relativement récente. 

Superpuissance depuis bientôt un siècle et désormais seule à l'être, les USA feront tout pour conserver cette position avec les avantages (les droits ?) que cela leur confère. Face à la Chine, et bien commodément, chacun voit en l'autre la justification de ses propres efforts dans un trouble jeu de poker menteur. Le rapport complexe est cependant d'une nature différente de celui qui eut cours durant la Guerre Froide, même si l'on retrouve des mécanismes similaires en plus d'une une animosité supposée, déguisée ou instrumentalisée.

Pour revenir cependant à l'objet de cet article, notons le travail en amont effectué au travers de programmes et de structures comme les "cyber-cadets du Pentagone" : il s'agit de détecter, développer et pérenniser un véritable vivier de compétences "cyber" à l'échelle nationale. Plus transversal est le fait de renforcer les aspects normatifs qui, là encore, sont perçus en deçà de l'importance qu'ils ont dans un dispositif global de leadership voire de contrôle, quelque soit le domaine visé. C'est en cela que la  déclaration plutôt discrète de la création d'un laboratoire dans l’État du Maryland, adossé au NIST et sponsorisé par le ministère du Commerce, est un événement qui est tout sauf secondaire.

Cette annonce est effectuée dans le cadre du programme NCCoE (National Cybersecurity Center of Excellence) qui est une collaboration de type PPP (Partenariat Public Privé) ayant pour principal objectif "d'accélérer l'adoption généralisée d'outils et de technologies intégrées de cybersécurité". Il s'agit donc d'accélérer l'innovation (volet recherche) et d'améliorer les dispositifs de protection au quotidien (volet défense).

Le fait de s'appuyer sur le NIST, qui est l'agence nationale des "normes et de la technologie", recèle un avantage compétitif et tactique primordial : l'appui d'un organisme d'experts internationalement reconnus, doté d'un capital intellectuel et technologique sans équivalent. Qui, justement, est l'une des références en matière de normes internationales. 

Pour ce qui concerne la sécurité (de l'information) et la cybersécurité, les praticiens connaissent tous la série des Special Publications SP-800. Unique, brillante et évolutive, elle sert depuis des années de référentiel mondial implicite très facilement adopté et/ou adapté "localement" (par pays). Le fait pour les États-Unis d'être également leader en matière de publications à vocation internationales et normatives participe aussi à l'établissement et au maintien de leur superpuissance.

HBGary/Anonymous : nouvelles révélations

L'information a surgi hier de l'autre côté de l'Atlantique et semble être relativement passée inaperçue de ce côté-ci. Tout du moins en Gaule, se pâmant peut-être devant le suspense Hitchcockien de l'affaire dite de Bercy (se pâmant...ou pas ! :).

Début février 2011, et entrant dans le champ des mesures de rétorsion dans l'affaire Wikileaks, des pirates (qualifiés à tort ou raison de l'étiquette Anonymous)  pénètrent le Système d'Information d'HBGary, une société spécialisée dans la...sécurité de l'Information (les cordonniers, toussa) et récupèrent des dizaines de milliers de courriels confidentiels et sensibles pour la plupart d'entre eux.

L'information du jour concerne les attaques, apparemment réussies, dont ont été la cible des entreprises d'envergure mondiale : DuPont, Johnson & Johnson, Walt Disney, SonyCorp ou encore General Electric. L'affaire ou plutôt les affaires, ne s'arrête(nt) pas là puisque c'est le FBI qui est sur la brèche et révèle que DuPont subit là sa deuxième série d'attaque en moins d'un an ! La première série d'attaques ayant été du type Google,  affaire largement médiatisée et ayant donné lieu à des frictions certaines entre le géant de Mountain View, le gouvernement chinois mais aussi américain (même si moins médiatisé).

Au-delà de l'importance économique et concurrentielle de ces affaires, on découvre à travers les mails dérobés le portrait d'un espionnage élevé au niveau industriel dont les pirates opèrent à partir de la Chine, de la Russie et d'autres pays. Les autorités américaines poussent évidemment un énième cri d'alarme en soulignant que les dangers de ces cyber-attaques sont sous-estimés. L'affaire DuPont le prouve d'une certaine manière mais il est difficile de réduire une douzaine d'attaques forcément d'importance puisque touchant de grandes entreprises tandis que c'est toute l'industrie qui subit en permanence ces  cyber-assauts. 

C'est ce que dit Steven Chabinsky, l'un des responsables de la cyber division du FBI qui s'inquiète de la permanence et de l'augmentation incroyable de ces attaques. On apprend d'ailleurs, sans surprise d'ailleurs, que tous les secteurs sont visés : l'énergie, l'industrie pharmaceutique, les entreprises de défense, etc. 

Que dire de plus si ce n'est que l'article* d'où j'ai extrait ces informations recèle d'informations très intéressantes. On y apprend, entre autre, comment la 2ème attaque sur DuPont a pu fonctionner : les ordinateurs portables de certains de ses cadres  avaient été "piégés" lors d'un voyage d'affaires en...Chine. Sans forcément les partager, on comprend aussi les silences de nombreux responsables du fait des contraintes légales américaines mais aussi de l'atteinte en terme d'image de marque vis à vis de leurs clients.

Cet article met davantage en lumière, puisqu'il semble que c'est nécessaire, la réalité d'une guerre qui se déroule dans l'ombre depuis des décennies mais franchit un nouveau palier par l'usage des technologies de l'information : la guerre économique mondiale où le cyberespace semble avoir atteint sa "taille d'adulte" dans les échanges d'informations et les transactions dématérialisées. Et il ne faudrait pas croire que cette guerre ne concerne que les États-Unis, la Russie ou la Chine : les nations dites moyennes, font aussi partie du jeu. Sous-estimer la réalité stratégique des enjeux ou balayer les conséquences sous couvert de restrictions budgétaires n'est plus de l'ordre de la légèreté ou de l'inconscience : c'est celui de l'irresponsabilité** politique, économique et technologique.

* Pour les non-anglophones, la traduction Google devrait suffire.  
** Le lecteur, dans sa bienveillance, reconnaîtra que si je me montre offensif sur ce sujet (une fois encore), veillera également à noter la constance de mes propos en cohérence avec le titre de ce blog :) Si tu veux la paix... 

La cybersécurité en France et en Europe : déclassement ou opportunité(s) ?

Alors que sur le Vieux Continent on cherche tant bien que mal à se positionner dans la lutte contre les cyber-menaces, les États-Unis et plus singulièrement le "DoD" (Department of Defense / Ministère de la Défense), communiquent à un autre niveau mais surtout progressent rapidement. J'y reviendrai dans un prochain billet.

Une première parenthèse : on peut même penser que les évolutions de la "Sainte Trinité" (doctrine / moyens / capacités) devancent la communication car aussi grands communicants soient-ils, l'avance technologique et/ou capacitaire et la protection du secret demeurent aussi l'une de leurs forces.

Une seconde parenthèse concerne une précision, liée à l'un des mes précédents billets abruptement (mais justement, je maintiens ma position !) intitulé "Oui-Oui et les cyber-menaces". Je me moquais gentiment de l'agence européenne pour la sécurité des réseaux et de l'information (ENISA) et de son homologue française, l'ANSSI. Ces deux entités, aux missions assez différentes mais complémentaires, souffrent de handicaps majeurs : pour l'ENISA c'est d'être une agence intégrée européenne avec ce que cela induit en terme de stratégie(s) et de décision(s). Depuis sa création, l'ambition initiale a vite été confrontée à la réalité : légitimité des agences nationales et des CERT, budgets modestes, objectifs vite revus à la baisse. Comme d'autres agences en leur temps, celle-ci devra à l'avenir trouver sa place parmi les dispositifs nationaux, sous peine de n'être qu'un nouveau "machin".

Pour l'ANSSI, c'est plus compliqué : feue la DCSSI possède une légitimité sur la scène nationale et au-delà, une expertise reconnue mais l'inconvénient majeur de n'avoir pas une taille critique. Les budgets sont certes en hausse et le nombre de postes ouverts a sensiblement augmenté ces dernières années mais tout cela n'en fait pas le fer de lance que la France, "cinquième puissance économique mondiale", est en droit d'attendre. D'autant plus qu'en Europe, elle est un acteur mais aussi une cible pour des menaces allant du terrorisme en passant par le renseignement économique et industriel. Et que les réseaux et les systèmes d'information sont au cœur de ces problématiques.

Est-ce que pour autant les dès sont jetés ? Nous pouvons le craindre, malheureusement. En particulier quand on sait que l'OTAN, lors de son dernier sommet, a placé la cybersécurité comme l'un des domaines d'importance que l'Alliance va devoir adresser.

Alors d'un côté, on peut laisser aller et se dire que conserver une petite agence au niveau national, intégrée dans un système otanien doté de moyens et de ressources plus importantes, est du bon sens. Surtout à l'heure où les économies sont partout annoncées.

D'un autre côté, certains décideurs (et leurs conseillers) ont-ils bien mesuré l'intérêt que la France (et certains de ses voisins européens) aurai(en)t à se lancer dans le train de la lutte contre les cyber menaces ? Car derrière ce qui peut paraître abscons et extrêmement virtuel, des emplois de haute-technicité et des nouveaux outils (concepts, méthodologies, technologies) sont à intégrer et à créer. Et ce savoir-faire pourrait être, en partie, exporté (donc vendu) par la suite.

A croire que l'adage "la sécurité est un coût, pas un investissement" demeurera inscrit encore longtemps dans le marbre !

La sécurité immergée dans la complexité systémique

La sécurité de l'information ne vit pas en vase clos et de ce fait, doit être mise dans un contexte de perspective plus globale. D'autant plus qu'essayer de garantir un niveau de risques acceptable dans un environnement interdépendant où les menaces, les enjeux et les technologies évoluent rapidement, nécessite une approche bien plus souple et ouverte qu'une simple analyse de risques à laquelle vient se greffer un système de management de la S.I.

Des termes comme systémique, prospective et géostratégie ne sont pas de simples figures de style que l'on entendrait dans les salons feutrés de certaines discussions où la rhétorique l'emporterait sur la réalité. Ces disciplines participent à la réflexion d'ensemble qu'un responsable de la sécurité se doit d'avoir constamment, au risque de ne faire qu'un simple travail de technicien, oubliant dans quel cadre le système qu'il doit protéger s'insert et interagit et quels sont les enjeux politiques, économiques et stratégiques pouvant peser de manière indirecte mais parfois aussi directe.

C'est dans cet esprit que je porte au lecteur attentif et francophone (les autres aussi are welcome :) quelques liens qui servent à ma veille quotidienne et qui, parfois, m'aident à anticiper ou mieux comprendre certaines tendances.

Le blog Secret Défense de J-D Merchet qui est probablement le blog français des affaires militaires le plus consulté.
Celui de son homologue Jean Guisnel, Défense Ouverte.
Mon blog défense, mis à jour régulièrement avec des sujets d'actualité.
Le dessous des cartes qui, je le pense, n'a aucun rapport avec l'excellente émission de vulgarisation sur Arte.
Alliance géostratégique, assurément intéressant, avec des articles pertinents et d'une certaine profondeur.
Enfin Rapport de conflits, créé et animé par un citoyen belge, petit pays dont nous sommes beaucoup à espérer que les tensions actuelles déboucheront sur une solution politique viable et non sécessionniste.

Cette liste n'est bien-sûr pas exhaustive mais elle participe, je l'espère, comme base fiable à la prise en compte de la complexité que la sécurité de l'information doit prendre en compte. Bonne(s) lecture(s).