Paradoxalement, l’Agence nationale de la sécurité des systèmes d’information (Anssi) trouve un motif de se réjouir des attaques informatiques qui se sont multipliées ces derniers mois : elles ont permis une prise de conscience des enjeux de la cybersécurité.
« Si l’on cherche un slogan, 2016, c’est l’année de la prise de conscience par l’ensemble de nos publics des questions de cybersécurité », a expliqué Guillaume Poupard, le directeur général de l’Anssi, qui présentait le rapport annuel de ses services.
« Les attaques se sont multipliées, (…) en France et à l’étranger, leur médiatisation aussi, leurs impacts également. Tout cela, évidemment, ouvre les yeux », a-t-il relevé. « 2016, c’est vraiment le tournant entre une période où il y avait encore un doute sur la menace, et une période où la question n’est plus de savoir s’il y a un risque, mais comment on fait pour se prémunir contre ce risque », a-t-il souligné.
Cette prise de conscience a été « forcée pour certains », a rappelé le patron de l’Anssi, puisque la loi de programmation militaire exige des opérateurs d’importance vitale (OIV, indispensables au bon fonctionnement du pays) qu’ils musclent leur cyberdéfense. « Avec comme logique que leur sécurité, ce n’est pas leur problème à eux, c’est le problème de la nation. »
Evoquant l’année en cours, Guillaume Poupard estime déjà que « 2017 s’annonce comme un bon cru » en matière de cybercriminalité. « Il y aura toujours des attaques », a-t-il prévenu. Mais « le champ des attaques va certainement se déplacer » ; selon lui, si « les réseaux les plus classiques vont être de mieux en mieux protégés », sa « crainte »est que les cybercriminels « partent plutôt sur des attaques à des fins de sabotage de systèmes industriels, de systèmes d’importance vitale, de transport, énergétiques, etc., soit à des fins de conflits entre Etats, soit à des fins de terrorisme ». L’idée est donc d’anticiper, de préparer la défense, afin de limiter les dégâts.
Toutes les attaques informatiques ont démontré à quel point les entreprises dépendent actuellement de ce domaine. Preuve en est la panna informatique géante qui a frappé British Airways. Des dizaines de milliers de passagers victimes de centaines d’annulations de vols s’entassant dans les halls des aéroports londoniens à la recherche d’informations.
Agence gouvernementale chargée de coordonner la cyberdéfense de la France, garante de la sécurité des communications du gouvernement et interlocutrice des opérateurs d’importance vitale, l’Anssi a reçu 3235 signalements d’événements de sécurité numérique l’an dernier, et elle est intervenue dans vingt opérations importantes.
L’Anssi, qui joue volontiers le rôle de « pompier cyber », n’est cependant pas intervenue à chaque grande attaque. Elle ne l’a notamment pas fait auprès des quatre « grandes victimes » qu’a récemment fait WannaCry en France, parmi lesquelles le constructeur automobile français Renault qui a indiqué avoir été affecté et des sites de production étaient à l’arrêt en France mais aussi en Slovénie, dans la filiale de Renault, Revoz.
Ses moyens étant limitée, l’Agence s’emploie à certifier tout un écosystème de prestataires pour auditer les systèmes sensibles, détecter les incidents, réagir, etc. Elle songe même à faire payer ses services, selon Guillaume Poupard, pour qui « l’idée est de rester sur les cas les plus graves, les plus atypiques », et bien sûr sur la protection des services de l’Etat.
