De la cybersécurité à la cyberdéfense ?

Depuis quelques années, la cybersécurité est devenue un sujet d’actualité pour la majeure partie de la société : pour les entreprises, qui ont besoin de protéger leurs installations et leurs biens ; pour les individus, qui cherchent à protéger leurs smartphones, leurs comptes bancaires, leurs données personnelles, etc. ; et bien évidemment pour les gouvernements, alors que la plupart d’entre eux entament une réflexion critique sur le cyberespace, ses avantages et ses menaces.

De ce fait, les années 2017 et 2018 ont vu les Etats adopter de nouvelles lois et stratégies visant à améliorer la cybersécurité et développer de nouvelles protections pour les infrastructures critiques. Des annonces d’augmentations des dépenses dans le domaine de la cybersécurité ont souvent accompagné ces nouvelles mesures.

Les exemples d’action sont nombreux, au niveau international :

• les objectifs fixés par la Politique de sécurité et de défense commune et l’annonce de 13 milliards d’euros de budget dédiés au fonds européen de défense ;
• la Déclaration du Sommet de l’OTAN de 2018, à Bruxelles lors de laquelle les membres de l’organisation ont réaffirmé leur volonté de mettre pleinement en œuvre les engagements pris en matière de cyberdéfense.

Comme au niveau national :

• la revue stratégique de cyberdéfense en France ;
• le programme britannique de renforcement des capacités en matière de cybersécurité ainsi que les priorités de Theresa May en matière de sécurité nationale telles que la cyberguerre, la collecte de renseignements et les forces spéciales ;

L’une des questions intéressantes soulevées par ces discussions est celle de l’importance de l’attribution des cyberattaques (il est intéressant à ce titre de lire la déclaration conjointe au Parlement et à la Commission européenne sur le sujet de la cybersécurité).

En mai 2018, Kaspersky Lab a participé aux auditions de la mission d’information sur la cyberdéfense de la commission de la défense à l’Assemblée nationale, aux côtés d’autres acteurs publics et privés. Nous sommes fiers d’avoir pu contribuer aux réflexions en cours et faire avancer le travail parlementaire sur ce sujet. Le rapport final aborde des problèmes de méthodologie et de définition de la cyberdéfense et de la cybersécurité ; décrit les structures de gouvernance de la cybersécurité dans les pays clés et présente le modèle français de cyber-protection. Les députés formulent plusieurs recommandations, parmi lesquelles :

• élaborer une loi « cyber » couvrant l’ensemble des questions et des acteurs;
• créer des espaces de stockage souverains nationaux et européens pour stocker des données sensibles sur des territoires sous juridiction nationale ou européenne ;
• développer des programmes de primes aux bogues (bug bounty) pour les autorités publiques ;
• soutenir le développement de la cryptographie et du cryptage et investir dans le développement de solutions « cyberoffensives »;
• augmenter le budget et les ressources humaines de l’ANSSI ;
• créer une école de cyberdéfense pour développer une culture partagée entre les différents acteurs de la chaîne cybernétique.

Confiance, transparence et ouverture sont les conditions du succès de la cybersécurité. Concrètement, ceci se traduit par des programmes de partage des vulnérabilités et une protection juridique des chercheurs en sécurité qui les identifient ; davantage d’investissements dans les compétences informatiques et la promotion de la « cyberhygiène » auprès du grand public ; du dialogue entre les entreprises et les acteurs de la cybersécurité, et enfin un plus grand nombre de partenariats public-privé (PPP) dans le domaine.

Kaspersky Lab est l’un de ces acteurs de la cybersécurité qui donne le cap : en 2017, nous avons initié la Global Transparency Initiative pour impliquer la communauté de la sécurité informatique et les autres parties prenantes dans la validation et la vérification de la fiabilité de nos produits et opérations. Cette année, nous ouvrons ainsi notre premier « Centre de transparence » à Zurich (Suisse) qui nous permettra dans un premier temps de collecter, traiter et stocker les données de nos clients en Suisse.

Des chantiers à suivre alors !