Rarement, la Défense n’a eu autant tremblé d’être réduite à “une armée de confetti” en attendant son budget de l’année. Il est finalement stable, avec une dotation de 31,4 milliards d’euros. Un budget de continuité, en attendant les conclusion du Livre blanc sur la Défense dont le rendu est attendu pour le mois de janvier. Le grand rendez-vous sera 2014, avec l’adoption du projet quinquennal de la loi de programmation militaire.

Dans cette atmosphère grise, il y a bien un secteur qui arbore des couleurs flamboyantes : la cyberdéfense. Tous les corps sont concernés, civil et militaire, services de renseignement et forces conventionnelles.

Des effectifs triplés

Rattachée directement au Premier ministre, l’Agence nationale de la sécurité des systèmes d’information (Anssi) est en charge de la cybersécurité en France depuis sa création en 2008. Elle recrutera 75 postes en 2013 a annoncé Kader Arif, ministre délégué auprès du ministre de la Défense.

Son directeur, Patrick Pailloux s’en félicitait lors d’une intervention à l’École militaire fin octobre :

L’Anssi est la seule administration à recruter, y compris depuis le nouveau gouvernement.

Les chiffres parlent d’eux-mêmes : l’agence comptait 120 agents en 2009, leur nombre devrait tripler pour atteindre 360 agents en 2013. L’effort budgétaire a suivi, passant de 45 millions d’euros en 2009 à 75 millions en 2012 selon le rapport Bockel sur la cyberdéfense.

Le Calid (Centre d’analyse en lutte informatique défensive) occupe des fonctions complémentaires à celles de l’Anssi. C’est à sa tête que se trouve l’officier général à la cyberdéfense, le contre-amiral Arnaud Coustillière. Lui aussi peut avoir le sourire. Ses effectifs vont doubler. Il compte aujourd’hui 20 personnes qui atteindront 40 l’année prochaine “afin d’être opérationnel vingt-quatre heures sur vingt-quatre et sept jours sur sept” selon le ministère de la Défense. Un souhait émis par le sénateur Bockel dans son rapport.

Autre structure du ministère, les équipes de la Direction générale de l’armement (DGA) devraient être largement renforcées. Lors d’un déplacement début septembre sur l’un des principaux sites de la cyberdéfense, à Bruz (Ille-et-Vilaine), le ministre Jean-Yves Le Drian, a annoncé la création de 200 emplois pour la cyberdéfense d’ici à 2015.

Les peurs des cyberdéfenseurs

Les responsables français de la cyberdéfense ont parfois des sueurs froides. Le contre-amiral Coustillière et le directeur ...

La DGSE, grand gagnante

Les services de renseignement ne sont pas en reste. La DPSD (Direction de la protection et de la sécurité de la défense) le service maison de l’hôtel de Brienne, va recevoir des moyens pour assurer son mandat élargi.

Il comprend des missions de contre-ingérence et de contrôle ainsi que d’assistance dans le champ de la cybersécurité, a expliqué le contre-amiral Arnaud Coustillière, invité par le groupe Défense & Stratégie, proche des milieux de la Défense. En cas d’attaque informatique, les rôles sont répartis selon l’intensité : ministère de la Défense seul (DPSD et Calid) pour les attaques de moyenne intensité, Anssi et Calid pour les attaques plus solides, a détaillé le cyberofficier. Malgré un budget globalement en baisse, la DPSD poursuit les investissements dans “[les] activités de cyberdéfense.”

Les services extérieurs, la Direction générale de la sécurité extérieure (DGSE), bénéficient pleinement du nouvel élan. Les services du boulevard Mortier disposaient déjà de moyens en augmentation, du fait “de la priorité donnée à la fonction ‘connaissance et anticipation’”, note le rapport sur la Défense de la commission des finances. Avec la cyberdéfense apparaît “une nouvelle priorité, compte tenu de l’évolution des menaces en la matière”. Sur les 95 emplois, 18 seront dédiés à la cyberdéfense.

Pour rester attractif, et offrir mieux “[qu'] un traitement de fonctionnaire ordinaire”, la DGSE utilise un tour de passe-passe administratif, décrit par La Tribune. Le patron des services peut “procéder à la fusion de plusieurs ETPT (équivalent temps plein annuel travaillé)” selon un représentant du ministère de la Défense auditionné à la commission de la défense de l’Assemblée. En clair, proposer l’enveloppe de plusieurs salaires sur un seul poste.

Le tabou offensif

Offrir des salaires attractifs a partiellement pallié les difficultés de recrutement. Devant les députés, le chef d’État-major des armées, l’amiral Guillaud, avait expliqué qu’en matière de sécurité des systèmes d’information, “[la DGSE] ne pouvait recruter davantage, tant le vivier – où puisent Thales, Areva ou d’autres administrations – est réduit’”, rappelle La Tribune.

Le cyberbluff a commencé

Le sénateur Jean-Marie Bockel a rendu public le 19 juillet un rapport sur la cyberdéfense. Le volet offensif y occupe une ...

Autre solution en voie d’expérimentation : une réserve cyber-citoyenne. Arnaud Coustillière a évoqué 50 volontaires en voie de recrutement lors de son intervention devant Défense & Stratégie. Sans aller dans l’opérationnel, ces volontaires auront pour fonction de faire de la sensibilisation, “[d']améliorer la résilience de la société” selon les termes de l’amiral.

Ces recrutements confirment l’importance accordée à la cyberdéfense. Et aux capacités offensives ? Dans son rapport, le sénateur Bockel invitait l’exécutif à clarifier sa doctrine. L’épisode Stuxnet, et celui plus récent d’Aramco – la compagnie pétrolière saoudienne victime d’une grave cyberattaque cet été – ont ravivé les craintes autant qu’elles ont aiguisé les envies. Les responsables de la cyberdéfense se murent dans le silence dès qu’il s’agit de capacités offensives. Le contre-amiral Coustillière renvoie vers le livre blanc, quant à Patrick Pailloux, de l’Anssi, il répondait à l’École de guerre “ne rien penser” à ce sujet.

Un “Pearl harbor numérique” ? À intervalles réguliers, l’expression revient dans le bouche de responsables de la cyberdéfense, surtout américains. Le sécretaire de la Défense, Léon Panetta, a exprimé ses craintes d’une telle cybercatastrophe lors d’un discours à New York le 11 octobre dernier.

En France, l’expression n’est pas employée en l’état, mais les craintes existent. Elles ont été exprimées publiquement la semaine dernière par les deux principaux responsables de la cyberdéfense. Le contre-amiral Coustillière a été nommé officier général à la cyberdéfense le 1er juillet 2011. Il est entre autres à la tête du centre d’analyse en lutte informatique défensive, le Calid.

“Un espace de confrontation”

Dans son intervention organisée par le cercle Défense et Stratégie mercredi, il a décrit son cauchemar. Un plan simple, en plusieurs temps, qui pourrait aboutir à des dommages irréversibles. Et de rappeler qu’un “changement de dimension” s’est produit depuis quelques années, faisant du cyberespace “un espace de confrontation, quelque soit le nom qu’on lui donne”. Une précaution oratoire pour éviter le terme contesté de cyberguerre…

Le contre-amiral Coustillière a évoqué un plan en trois temps, trois phases distinctes qui ne peuvent être menées que par “une structure” importante, avec un niveau élevé de renseignement. Comprendre, plutôt par un État que par un petit groupe de pirates informatiques.

La première phase vise à désorganiser la cible (là encore un État) : fausses rumeurs et mouvements de protestations sur les réseaux sociaux, attaques par dénis de service (DDoS) sur les sites institutionnels (les sites de députés par exemple), puis attaques de réseaux locaux peu protégés. La seconde phase vise à “désorganiser la société”. Les services de sécurités sont monopolisés, leurs moyens saturés.

En cause : des attaques sur installations vitales, en cherchant “le maillon faible” sur ces systèmes déjà bien protégés, ainsi que de nouvelles attaques par dénis de service ciblant des banques. Le climat est alors propice pour lancer des actions offensives plus complexes, avec des répercussions potentiellement mortelles. Sur les infrastructures de transport par exemple.

L’âge du cyberespionnage

Ainsi dépeint, le tableau ressemble à une dystopie cyberpunk. Un scénario catastrophe plus lointain que l’espionnage via Internet, grande préoccupation du moment :

Des gigas [octets] de données s’échappent de nos industries.

Bercy, le piratage qui tombe à pic

Faut-il avoir peur du piratage de 150 ordinateurs au ministère de l'Economie et des Finances? C'est surtout l'occasion pour ...

Préoccupation largement partagée par Patrick Pailloux, le directeur de l’Agence nationale de la sécurité des systèmes d’informations (ANSSI), second bras armé de la cyberdéfense. Quatre sujets l’empêchent, plus ou moins, de dormir, a-t-il expliqué à l’institut des hautes études de la défense nationale : la cybercriminalité, les tentatives de déstabilisation, le sabotage et le cyberespionnage donc.

“À côté de ce qui se passe aujourd’hui, c’était de la gnognote la guerre froide” attaque-t-il. Un modus operandi basique par exemple, disponible au patron un peu dégourdi qui traîne “sur des forums underground”, parle anglais et dispose de quelques centaines d’euros. Usurper l’identité d’un proche de la cible (au hasard, un concurrent), envoyer un email depuis cette fausse identité à la cible.

Au mail est attaché une pièce jointe, un cheval de Troie, acheté sur Internet. “Des usines à fabriquer des virus” permettent de changer les signatures chiffrées des logiciels malveillants. En somme, d’empêcher les antivirus de les identifier et donc de les rendre inopérants. Un peu de débrouillardise, quelques poignées d’euros et un zeste de renseignements suffisent pour obtenir des informations confidentielles sur ses concurrents. Des pratiques interdites, mais courantes.

Conclusions communes des deux hauts responsables : améliorer l’hygiène informatique et préparer la résilience des citoyens. A cette fin, une réserve citoyenne pour la cyberdéfense est en cours de création et les cyberdéfenseurs se chargent de faire passer le message.