La cyberdéfense française doit-elle être réservée aux (seuls) militaires ?

Cette réflexion à deux voix (Clarisse et Si vis pacem) répond aux propositions du Colonel Chauvancy dans son billet intitulé “De la cyberdéfense technicienne à la cyberdéfense stratégique”, auquel Si vis pacem avait apporté un commentaire, peu convaincu par certaines idées. De fil en aiguille, Clarisse a rejoint la discussion, puis le besoin de formaliser s’est fait sentir, de soumettre publiquement des contre-propositions et certaines pistes à explorer.

De notre point de vue et plus que jamais, il s’avère qu’il faille sans délai affermir la réflexion stratégique de la France dans le cyberespace vis-à-vis des enjeux, de sa propre organisation et de ses collaborations.  Commençons par noter que le propos du Colonel Chauvancy est global, puisqu’il propose que la France se dote de la pensée et des moyens nécessaires pour devenir une « puissance du cyberespace » avec les « instruments qui en découlent ». Ne faudrait-il pas (plutôt écrire la phrase à l’envers) ou postuler différemment, c’est-à-dire commencer par “construire les instruments”, afin de pouvoir ensuite s’en servir ensuite pour forger la “puissance qui en découlera” ?

L’idée que la France prétende devenir une “cyber-puissance” de premier rang est intéressante, mais est-elle possible, sinon souhaitable ? Nous n’en sommes pas sûrs, et ce pour les raisons suivantes :

La première raison, majeure, est l’incongruité d’élaborer des objectifs ambitieux en période de restrictions budgétaires, caractérisée par un réel déficit capacitaire, souffrant en plus d’une double absence : celle d’un cadre d’emploi et d’un cadre juridique adapté.

La seconde raison est que la définition d’un tel objectif revient à conditionner la réflexion d’ensemble, c’est-à-dire à la biaiser, la corseter et la vriller, pour au final accoucher de concepts et de notions stratégiques cérébralement intéressants, mais qui n’auront aucune traduction possible en termes opératifs.

Enfin, la troisième raison est que la France aurait tout à gagner à rechercher l’optimisation du rapport puissance/efficacité au travers d’une certaine forme d’agilité (technique, organisationnelle), organisée autour d’une structure déjà établie¹ (“au hasard” l’ANSSI) disposant des compétences, de l’expérience et d’un Centre Opérationnel (le COSSI). Par la suite et en fonction des évolutions économiques, possiblement positives à moyen terme, les forces armées pourraient être dotées de leur propre agence, qui entretiendrait une relation riche et privilégiée avec l’ANSSI, puisqu’il s’agirait d’un essaimage partageant un génome commun.

On pourrait développer et poursuivre au-delà de la problématique nationale : il n’est pas interdit de penser “interopérabilité”, “transversalité” ou “coopération européenne renforcée”, qui ne sont pas des gros mots ! La coopération européenne renforcée étant d’ailleurs une proposition déjà évoquée par Si vis pacem.

Cette opinion dépassionnée, plutôt émise par pragmatisme que par doxa inamovible, a l’avantage d’offrir un cadre communautaire européen. Ce cadre offre sans doute la voie médiane entre un cavalier seul, bien peu à propos à notre époque, et un certain renoncement atlantiste (participation/délégation à l’OTAN).

Un “noyau dur” constitué de quelques pays européens moteurs et intéressés par cette collaboration renforcée permettrait de pallier une proposition sûrement très ambitieuse. Pour autant, il n’est justement pas interdit d’avoir des ambitions, mais à la hauteur des moyens financiers actuels et futurs (c’est-à-dire : en baisse), puisque ce sont eux qui déterminent les marges de manœuvre face aux souhaits de l’État.

La quatrième raison nous paraît relever d’un aspect méthodologique en ouvrant la réflexion au-delà des seuls militaires, qui sont interdépendants et interconnectés avec les infrastructures civiles. L’inverse pourrait facilement passer pour une vision passéiste et qui ne correspond plus aux réalités politiques et stratégiques de toute nation moderne et adaptée au 21ème siècle : elle dispose d’un ensemble d’outils, de moyens et de personnes qui constituent un seul et même levier, celui de la défense et de la sécurité de l’État.

(Source)

Alors comment développer l’esprit d’un cyber-commandement français et sur quoi le construire ?

On peut déjà se poser quelques questions simples sur les caractéristiques nécessaires à ce cyber-commandement :

• Doit-il être issu du milieu dans lequel il envoie ses combattants ?
• Suffit-il qu’il en comprenne la mentalité et en maîtrise les caractéristiques pour être compétent ?
• Sur quels critères et à partir de quel “niveau” sa dissuasion devient-elle pleinement efficace ?
• Quels sont nos adversaires et que doivent-ils craindre ?

En creusant un peu le sujet, au fil des lectures, la réponse proposée par l’article de départ nous paraît laisser de côté l’une des composantes fondamentales de tout ou partie des cyber-menaces : l’utilisation et l’imbrication des secteurs civil et non-étatique dans la chaîne de décision et de commandement opérationnel.

En effet, plusieurs États d’Asie utilisent déjà ou réfléchissent à l’opportunité d’utiliser des “cyber-milices” pour des actions défensives et offensives, dans un cadre parfaitement délimité et assumé² :

• l’Inde (“India has also reportedly been considering using patriotic hackers for offensive operations.”);
• la Chine (“China, of course, is widely suspected of using patriotic hackers and cyber militias for defense and offense.”);
• le Japon (“Japan needs to establish a cyber militia in order to defend itself from attacks. Offense will always have the upper hand over defense so the government will always struggle to keep up.”).

Ces cyber-milices sont par définition des individus et des citoyens avec une éthique personnelle et des intérêts qui peuvent être différents de ceux des forces armées et de leur commandement. Il peut aussi y avoir un gouffre de nature et d’échelle en ce qui concerne les enjeux du combat entre un cyber-milicien et le cyber-commandement, qu’il soit militaire ou civil.

Ce qui amène à considérer les problématiques politiques et sociales induites avant de pouvoir proposer une structure de cyber-commandement. Son organisation et ses moyens pourraient d’ailleurs être différents selon que l’on intègre les éléments suivants : un commandement uniquement militaire est-il capable d’encadrer des milices ? Si la réponse est positive, plans et ordres de bataille doivent intégrer ce fait. Enfin, le contrôle de l’obéissance des civils encadrés (miliciens enrôlés sous commandement militaire) est-il possible dans :

• une démocratie ?
• un État non-féodal ?
• un État non-tribal ?
• ou non-autoritaire ?

Pensons également au besoin de contrôle des armes distribuées aux civils irréguliers et de leur usage possible, après et pendant ! Un phénomène de prolifération ou de retournement des armes contre les forces armées, au profit ou menaçant une entreprise ou un autre État doit-il être envisagé ? Dans ce cas, quels mécanismes de protection – voire de désactivation – sont-ils à intégrer dès la conception de ces armes ?

On peut ainsi continuer à lister les questions (très) nombreuses ! À qui va servir l’expérience acquise par ces civils ? Pour quoi faire ? Et sur le long terme ? Peut-on ensuite contrôler la dissémination de ces savoirs/méthodes/techniques acquises au combat dans un milieu non-militaire ? Qui a le savoir, et au final, qui possède les compétences ? Qui assure leur contrôle ? Etc. etc.

Cette première réflexion débouche et bute sur le dogme français de la non-externalisation des compétences régaliennes. Un interdit apparent qu’il pourrait être nécessaire de faire évoluer – mais pas forcément de transgresser -, soit en inventant un autre modèle, soit en le modifiant vers une refonte structurelle et opérationnelle, réellement innovante et garante des valeurs, de l’éthique et de la philosophie de la défense nationale.

Une seconde réflexion a comme point de départ ce commentaire lu sur le blog allié Egéa : «Aucune -je dis bien aucune, protection informatique opérationnelle, ne peut résister à la communauté (civile). C’est pourquoi les stratégies dans le cyberespace reposent d’abord et principalement sur la segmentation (rester hors de portée de la masse).»

Cette incorporation du civil nous parait être une nécessité : l’imbrication des composantes/compétences et des pratiques militaires et civiles est en effet à l’image de l’imbrication constatée des cybermenaces et de la cybercriminalité, à l’image de celle du milieu, un espace-temps des réversibilités/asymétries mirorables, se reflétant à l’infini. Ce qui laisse supposer qu’une attaque peut être renversée en contre-attaque, et inversement. Chaque combattant/échelon du commandement doit donc être capable d’une adaptation quasi-instantanée, autant mentale qu’opérationnelle, entre le défensif et l’offensif. D’où des glissements et des chevauchement possibles de compétences et de hiérarchie qu’il faudra savoir traduire en basculement idoines lors d’opérations.

On sait depuis l’Antiquité – en ce qui concerne la sécurité des accès, la falsification et la contrefaçon – que tout ce qui est fait par la main de l’homme peut être refait. Le cyberespace n’échappe pas à cette loi. Étant encore dans sa période Moyen-Âge, un bon artisan peut devancer, côtoyer ou épauler mais aussi vaincre l’industriel et l’institutionnel. Chacun a besoin des compétences de l’autre. Commander et opérer en symbiose est le nouveau défi, un décloisonnement général et contrôlé, son indispensable corollaire.

Une seule pensée (militaire, stratège, etc.) ne peut prétendre embrasser tous les aspects de la problématique cyber, parce qu’elle est ample, complexe, nouvelle et donc évolutive. Une seule pensée ne peut non plus prétendre la capter ni la contraindre à rester dans son seul périmètre, parce que sa composante duale, c’est-à-dire civile (et citoyenne), nécessite aussi de savoir l’aborder au travers de cette richesse et sous l’angle de cette double identité.

Inclure des pratiques novatrices et ouvertes correspond donc à la complexité du monde et à ses changements profonds, loin d’être achevés : écroulement de l’URSS, attaques du 11/09, révoltes arabes…  Et demain ?

Clarisse et Si vis pacem

alliance géostratégique