Doter la stratégie de cyberdéfense et d’influence d’une composante offensive !

Dans le cadre du projet de loi de finances 2023, je suis intervenu ce 1er décembre en qualité de rapporteur pour avis de la commission des Affaires étrangères, de la Défense et des Forces armées pour le programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement).

J’ai réitéré l’idée devant le ministre Franck Riester qu’il nous faut assumer une posture moins passive dans le domaine de la cybersécurité en nous dotant d’une stratégie offensive face aux cyber-attaques et d’un directeur national de la cybersécurité, tout en nous coordonnant avec nos principaux partenaires, car c’est un combat sans frontières.

> Rapport pour avis de MM. Olivier CADIC et Mickaël VALLET sur les crédits de l’action n°2 « Coordination de la sécurité et de la défense » du programme 129 (17 nov 2022) Lire
> L’Essentiel : “Doter la stratégie de cyberdéfense et d’influence d’une composante offensive” Lire

VERBATIM

Monsieur le Président, Monsieur le Ministre, Chers Collègues,

L’avis sur les crédits du programme 129 que nous allons vous présenter, avec mon collègue Mickaël Vallet, porte sur la coordination de la sécurité et de la défense, et plus précisément sur la cyberdéfense et les stratégies d’influence que le Président de la République vient d’élever au rang de nouvelle fonction stratégique dans le cadre de son discours de Toulon du 9 novembre dernier.

L’enjeu de la guerre informationnelle, que j’avais mentionné lors des débats sur la loi de programmation militaire en 2018, est enfin pleinement reconnu. Je m’en félicite.

J’avais salué la création de Viginum l’an dernier.

Mais je reste circonspect, en observant le champ restreint de ses missions qui s’arrêtent à la caractérisation de situations d’ingérence et de désinformation, sans pouvoir intervenir dans la réponse – ou la contre-attaque – à apporter, nous sommes loin de Taiwan qui répond à une désinformation en 2 heures et 200 mots.

J’espère que l’impulsion donnée par la revue nationale stratégique sera de nature à rendre plus efficace nos actions de contre ingérence.

La passivité est une erreur qui nous a couté très cher. Je parle de l’opération de désinformation dont l’armée française a été victime dans l’affaire de Bounti au Mali en janvier. Les leçons en ont été tirées. L’efficace riposte pour déjouer le stratagème de Wagner du charnier de Gossi l’a démontré. Il nous faut maintenant assumer une posture plus offensive y compris dans le domaine de la cybersécurité.

Il nous faut un nouvel ordre de bataille car les menaces de cybersécurité croissent suivant un rythme exponentiel. L’augmentation des moyens humains et budgétaires du SGDSN cette année comme les précédentes doit être saluée.

Malgré cela, la progression des attaques contre les services publics, les collectivités territoriales et les établissements de santé n’a pas été ralentie.

Nos capacités techniques, notamment l’expertise de l’ANSSI, sont reconnus par nos partenaires. Mais allons-nous nous contenter de regarder chaque année le compteur s’affoler et tendre l’autre joue lorsque les hackers auront paralysé un hôpital de plus ?

Nos principaux partenaires, américains et britanniques, ont compris qu’aller entraver les cybercriminels sur leur terrain, c’est aussi prévenir les attaques avant qu’elles n’arrivent et ainsi pratiquer une forme de dissuasion numérique.

Je formule donc la proposition que nous nous dotions d’une stratégie offensive face aux cyber-attaques, que nous nous dotions d’un directeur national de la cybersécurité et que nous nous coordonnions avec nos principaux partenaires, car c’est un combat sans frontières.

Pour conclure, je voudrais insister sur deux points :
1-La nécessité de continuer à former tous les acteurs en cybersécurité, à commencer par les simples utilisateurs ; et en conséquence rechercher les responsabilités des gestionnaires de collectivités ou d’administrations, s’ils n’ont pas suivi les recommandations en matière de sécurité informatique, à l’image de la sécurité-incendie.

2-Alerter sur la nocivité du paiement des rançons. Ceux qui sont contraints de payer pour sauver leur entreprise doivent savoir qu’ils alimentent les revenus de la cybercriminalité qui dépassent désormais ceux du narcotrafic. Ils contribuent également au financement du terrorisme.

J’émets un avis favorable à l’adoption de ce volet des crédits de la mission Direction de l’action du Gouvernement.