« Une cyberdéfense centralisée ne peut pas tout protéger ».

Après l’attaque russe contre l’Ukraine, les responsables de la politique de sécurité appellent de plus en plus au développement de cybercapacités offensives en Allemagne. Dans un entretien accordé à c’t, le Dr Sven Herpig, responsable du domaine thématique de la politique internationale de cybersécurité à la Fondation Nouvelle Responsabilité (SNV), plaide en revanche plutôt pour une cybersécurité civile à grande échelle.

c’t : Les autorités ukrainiennes ont appelé les volontaires du monde entier à participer à des cyberattaques contre la Russie. Pensez-vous qu’il soit judicieux d’y participer ?

Dr. Sven Herpig : Non. Bien sûr, des volontaires pourraient embêter des cibles en Russie, mais ce sera loin d’être décisif pour la guerre. En même temps, c’est assez dangereux pour trois raisons. D’une part, parce que les personnes qui y participent se mettent elles-mêmes dans le collimateur des Russes. D’autre part, certaines de ces opérations pourraient ne pas être du tout dans l’intérêt de l’Ukraine ou toucher la population en Russie, qui n’est en grande partie pas responsable de ce conflit.

Troisièmement, de tels pirates libres pénètrent probablement dans des systèmes qui sont peu protégés. Pour ceux-là, il faut partir du principe que les services de renseignement ukrainiens ou occidentaux, par exemple, sont déjà à l’intérieur. Ainsi, la partie russe pourrait apprendre qu’elle n’a pas suffisamment protégé ces systèmes. On peut ainsi indirectement brûler les accès des services de renseignement du côté desquels on se trouve en fait.

c’t : Quelle est la position de l’Allemagne en matière de cyberdéfense ? Dans le passé, les cyberattaques des criminels ont montré la vulnérabilité.

Herpig : Actuellement, la question est de savoir dans quelle mesure les groupes cybercriminels, qui ont peut-être encore des accès récupérés mais non traités dans certaines organisations, les priorisent. En cas d’incidents multiples survenant en parallèle, par exemple dans des hôpitaux, les ressources gouvernementales en matière d’assistance sont relativement vite épuisées.

c’t : Que faudrait-il faire pour améliorer la protection ?

Herpig : Je pense que nous devons nous améliorer de manière subsidiaire. Une cyberdéfense centralisée ne peut pas tout protéger. On peut beaucoup parler de changements législatifs ou de plus de ressources pour le BSI. Mais en fin de compte, nous devons nous améliorer à grande échelle. Nous avons besoin de plus d’équipes mobiles de réponse aux incidents (MIRT), y compris dans les Länder, qui apportent leur soutien directement sur place en cas d’incidents simultanés. Nous devons également faire beaucoup plus dans le domaine des communes.

c’t : Certaines voix demandent que l’armée allemande soit utilisée pour la cyberdéfense à l’échelle nationale.

Herpig : Je suis d’avis qu’une cybersécurité civile est suffisante. Que la Bundeswehr protège ses propres systèmes, ils sont déjà assez occupés avec ça.

c’t : Pourquoi êtes-vous favorable à une cyberdéfense civile ?

Herpig : Parce que le secteur civil est historiquement relativement fort. Il jouit d’une plus grande confiance de la part des organisations, des entreprises et de la population. Mais aussi parce qu’une grande partie des cyberopérations ne se déroulent pas pendant une situation de défense. L’espionnage, le sabotage, la surveillance et surtout la cybercriminalité sont des activités quotidiennes. Je pense qu’il est totalement inapproprié de mettre l’armée sur le coup, comme le font en partie les États-Unis. L’armée n’est pas là pour s’occuper des cybercriminels ou pour contrer l’espionnage économique.

c’t : Comment évaluez-vous les demandes de développement de capacités offensives, c’est-à-dire les cyberattaques ou les hackbacks ?

Herpig : Il existe déjà une base juridique pour les cyberopérations accompagnant les mandats à l’étranger. Le domaine du hackback, c’est-à-dire par exemple la dégradation de capacités dans des réseaux étrangers, est un sujet complexe. Il peut y avoir des cas limites, où une cyberopération offensive conduit ponctuellement à un succès tactique temporaire. Mais dans presque tous les cas d’application, nous sommes bien mieux placés si nous utilisons les quelques ressources disponibles, comme des spécialistes, pour sécuriser nos systèmes.

c’t : N’avons-nous pas besoin de cybercapacités offensives au moins comme potentiel de dissuasion ?

Herpig : J’ai vu peu ou pas de scénarios où les cyberopérations ont un effet dissuasif. Surtout quand nous parlons d’un changement d’époque et que l’Allemagne veut se doter d’un équipement militaire de pointe. Cela a probablement un effet plus dissuasif, si l’on croit aux théories de la dissuasion. La meilleure dissuasion dans le cyberespace reste l’impossibilité pour les adversaires d’atteindre leurs objectifs tactiques. Et c’est pourquoi nous devrions également travailler sur ce point.