Guillaume Poupard (ANSSI) : “Avec la 5G, nous entrons dans le domaine de la sécurité nationale”

La France fait face à de nombreux défis liés à la cybersécurité. L’ANSSI, qui fête ses 10 ans cette année, travaille en ce sens, souvent dans l’ombre, avec une efficacité certaine et une influence grandissante.

Ces cinq dernières années, le monde de la sécurité et le monde du numérique ont su se réconcilier, et travaillent désormais ensemble, comprenant que la sécurité est l’un des piliers du numérique. Pourtant, les menaces sont aussi fortes que changeantes, et sont autant de défis à relever. Invité de la première édition du salon Ready For IT, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), Guillaume Poupard, s’est confié au micro de Clubic, faisant un bilan des dernières années sur le terrain de la cybersécurité, dressant le constat actuel de la sécurité informatique, et se projetant sur les prochaines années, avec l’arrivée de la 5G en ligne de mire, qui ne rassure pas vraiment le gendarme de la sécurité informatique.

Clubic : Dans le rapport 2018 de l’ANSSI, 1 869 signalements ont été recensés, soit 30% de moins que l’année précédente. Comment doit-on interpréter ces chiffres ? Les menaces évoluent-elles déjà sur ce premier semestre 2019 ?

Guillaume Poupard : Nous avons, d’un côté, des cibles potentielles qui se protègent de mieux en mieux. Il y a eu une prise de conscience, une mise en oeuvre d’un numérique plus sûr, plus raisonnable, au niveau des entreprises mais aussi des autres acteurs. Je suis cependant très inquiet pour les PME, pour les collectivités territoriales et les petits acteurs qui, aujourd’hui, subissent la transformation numérique. Pour les grands acteurs, qui sont plus organisés et qui ont une DSI (une direction des systèmes d’information), les choses ont bien évolué.

En termes de menace, nous avons des attaquants qui s’adaptent très vite. Les grandes tendances que l’on a aujourd’hui sont : d’une part une évolution de la criminalité, avec de vrais méchants, de vraies mafias qui gagnent beaucoup d’argent et deviennent très fortes. Il peut y avoir une criminalité d’État également, des États qui n’hésitent pas à franchir les règles de base du droit international pour se financer, dans certains cas, notamment les États sous embargo. Ces groupes mafieux font du rançonnage et vont bloquer les données et les systèmes de leurs victimes. Une entreprise qui fait plusieurs millions de chiffre d’affaires ne génère plus d’argent lorsqu’elle est privée de ses réseaux, ce qui l’incite à payer très vite. Il y a vraiment une évolution très inquiétante de la cybercriminalité, depuis quelques mois, avec des attaquants très efficaces et des victimes qui subissent des conséquences qui peuvent être très graves pour elles au niveau économique.

« Les attaquants passent désormais “par la fenêtre”, par les prestataires, pour attaquer leurs cibles »
D’autre part, et jusqu’à maintenant, les attaquants s’en prenaient à leur cible de façon directe. Les cibles primaires sont devenues plus sérieuses, alors les attaquants passent désormais par la fenêtre, que sont les prestataires ou la supply chain. Le temps où chacun avait son réseau et le protégeait est révolu. Aujourd’hui, la plupart des entreprises font appel à des prestataires, qui ont des droits d’accès très importants sur les réseaux, pour les administrer notamment. Et cela, les attaquants l’ont compris. Aujourd’hui, les hackers passent par des prestataires qui ne sont pas au niveau, pour attaquer leurs cibles. Quand nous parlons de prestataires, cela peut être une société qui met en ligne et gère le site internet d’une entreprise, ou ce que l’on appelait avant les SSII ou, aujourd’hui, les entreprises de services du numérique. Un attaquant qui parvient à passer par un prestataire obtient de fait les droits pour accéder au système. Pour la cible primaire, il est compliqué de se protéger parce que finalement, les accès sont les accès légitimes d’un prestataire que l’on paye pour faire ce travail là.

L’ANSSI fête ses 10 ans le 4 juin. Quel bilan – la question est bateau – pourriez-vous tirer de cette première décennie ?

En 2008, durant des travaux stratégiques, des gens avaient dit que dorénavant, parmi toutes les menaces qui pesaient sur la France, qu’elles soient militaires ou naturelles, il y en avait une nouvelle, numérique. L’année suivante, l’agence fut créée. Que s’est-il passé en 10 ans ?

La menace s’est réalisée, et nous allons continuer à nous développer. L’agence joue un rôle très important en matière de réglementation, en matière de conseil ou d’aide aux victimes. D’autres acteurs étatiques ont gagné en compétences, comme le ministère de l’Intérieur, le ministère des Armées, l’Éducation nationale etc. L’anniversaire est une occasion de fêter cela, de se congratuler du travail réalisé, mais aussi d’observer le travail qui reste à faire. Le message que je porterai, c’est de s’ouvrir beaucoup plus à l’avenir. Il faut une véritable ouverture entre différents mondes qui se connaissent, qui s’apprécient mais qui ne sont pas encore assez perméables. Je voudrais par exemple que nous travaillions davantage avec le monde de la recherche, de l’innovation, de l’entreprise, les petites comme les grandes. On gagnera si nous travaillons plus ensemble, en dépassant les petites frontières administratives. Aujourd’hui, nous avons cette maturité pour co-construire cette cybersécurité de demain. Dans ma bouche, ce ne sont pas que des mots, en tout cas je l’espère.

« Huawei et la guerre économique sino-américaine ? Il faut dépassionner et objectiver au maximum »
Vous envisagez aussi un renforcement de la coopération étatique ?

La coopération entre les États est en train de se mettre en place. Elle est compliquée, pour une question de souveraineté nationale. Chaque État doit se prendre en main pour porter sa cybersécurité, c’est indispensable. Se pose ensuite la question de la coopération entre les États. Nous pouvons établir cela de façon bilatérale avec des partenaires, typiquement les Allemands ou les Britanniques, avec lesquels nous sommes proches. La France souhaite pousser cela à l’échelle européenne au niveau opérationnel, diplomatique, réglementaire et au niveau de sujets techniques comme la certification par exemple. La certification, c’est être capable de transmettre de la confiance. Cela a du sens à l’échelle internationale. Si l’on prend une voiture autonome, à titre d’exemple, dans l’intérêt des industriels, des clients ou des États eux-mêmes, nous devons être capables de monter à l’échelle européenne. D’autres sujets, comme la stabilité du cyberespace, les droits internationaux dans le cyberespace, les règles des bons ou mauvais comportements dans le cyberespace, posent plein de questions de droit. Il faut mettre tous les États autour de la table, dans le cadre de l’ONU par exemple, pour se dire qu’il existe des fondamentaux et qu’il faut les partager (Source CLUBIC – contributeur Alexandre BOERO)

Posted in Non classé.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *