A l'occasion d'un point presse sur les Assises de la Sécurité, le directeur général de l'ANSSI est revenu en détail sur les annonces effectuées le matin même ainsi que sur l'actualité de la sécurité informatique, à une exception près (l'attaque de l'Elysée). Il s'est surtout livré à une discussion ouverte sur les thèmes qui préoccupent aujourd'hui les acteurs de la sécurité.

Notre confrère Philippe Guerrier d'IT Espresso ouvre le bal. "Il y a eu une attaque informatique à l'Elysée au printemps dernier, durant la passation de pouvoir me semble-t-il. Pouvez-vous nous en dire plus ? ". La question est à peine terminée que tombe la réponse : "Je ne ferais aucun commentaire sur cette affaire". Une tellle réponse ne fait qu'aiguiser notre curiosité. Un autre relance habilement le sujet en tentant de noyer le poisson. Même réponse : je ne dirais rien. Point final. Un troisième lui fait remarquer que la communication sur les attaques qui ont visé Bercy ont fait l'objet d'une communication, certes maîtrisée, mais relativement complète. Il s'étonne donc de ce silence. Même réponse, calme, souriante mais déterminée. Nous-mêmes essayons une autre technique en lui demandant sur quels critères d'attaques ou d'institutions décide-t-il de communiquer. Là encore même mutisme, tout juste consent-il à dire que c'est "le client" qui décide ou non de communiquer et en l'espèce l'Elysée ne souhaite pas en dire plus. Il est évident que ce mutisme débride les imaginations et chacun y va de son interprétation plus ou moins fantaisiste.

Un secret défense bien gardé

Jean Guisnel qui avait révélé l'affaire expliquait que l'attaque était de même envergure que celle qui avait visé Bercy en 2011. " Il y a des attaques qui visent à fermer un site Internet ou à la saturer, précisait Jean Guisnel dans son article le 11 juillet dernier. L'Elysée a fait face à une pénétration de son système d'information. D'après mes sources, c'est une attaque qui fait appel à des technologies de très haut niveau". Nos propres sources que nous avons ensuite interrogé confirment aujourd'hui ces propos et même les amplifient. " Il y a une dimension géopolitique" nous a déclaré notre interlocuteur. Lui-même s'est refusé à donner plus de détails car l'affaire est réellement stratégique. Dans ces conditions, on comprend mieux le mutisme forcené de P. Pailloux qui, comme il l'indiquera plus tard dans le point presse : "le secret défense c'est sérieux. Si on ne le respecte pas on va en prison".

Des systèmes industriels menacés

A propos de la sécurité des systèmes industriels qu'il estime menacée, il déclare que c'est une priorité pour l'ANSSI et que ce sujet va devenir primordial dans les deux ou trois années à venir. "Je préférerais dire que les clignotants sont au vert et que tout ca s'apaise mais ce n'est pas le cas". Nous lui faisons remarquer que le terme "industriels" n'est pas forcément le plus adapté car il peut recouvrir un périmètre moins large que celui qui est concerné. En effet, par systèmes industriels, on peut englober l'ensemble des systèmes d'information susceptibles de piloter les transports ou encore les installations de fournitures d'énergie.

Origine des équipements et risques

Interrogé sur le rapport Bockel et tout particlièrement les projets d'interdiction des routeurs et autres équipements de coeur de réseaux d'origine chinoise, M. Pailloux indique qu'il convient d'adopter une posture plus large. " La question est de s'assurer que les systèmes font ce pourquoi ils on été conçus. C'est un problème d'analyse de risque. Dans le secret défense, lorsqu'il y a des informations qui peuvent mettre en cause la survie de la nation, on exige que la totalité du matériel soit sous contrôle national". Il prend ainsi l'exemple du téléphone Théorême fabriqué par Thales de conception 100% française.. M. Pailloux considère également que rapport constitue un bon point d'entrée pour le Livre Blanc sur la Défense et la Sécurité Nationale qui doit être publié fin 2012 ou début 2013.

Rappelons que le Livre Blanc est remis à jour tous les quatre ou cinq ans (le précédent date de 2008) et constitue la doctrine militaire de la France pour les années à venir. Dans la lettre de mission remise au rapporteur par le Président de la République, les notions de Cybersécurité et de cyberdéfense sont clairement énoncées, rappelle Patrick Pailloux. "C'est un travail indispensable. Durant les 5 dernières années nous avons fait évoluer notre stratégie, nos priorités. Cela ne signifie pas que nous nous sommes trompés dans le précédent Livre Blanc mais les choses vont plus vite que nous le pensions".

Contre le BYOD, tout contre

Sur le sujet BYOD, les positions sont radicalement tranchées. "Je suis violemment contre", rappelle-t-il. "Attention, je ne suis pas contre les tablettes mais je suis contre leur utilisation comme terminal professionnel." Il souligne que des grandes entreprises américaines font aujourd'hui marche arrière sur ce sujet et récuse les arguments de confort voire de productivité apportées par le BYOD. "Il faut résister à cette tendance", martèle Patrick Pailloux. Ce n'est d'ailleurs pas tant le BYOD lui-même que réfute M. Pailloux, mais l'absence de règles de conduite qui l'accompagne, et le refus des utilisateurs de s'en voir imposer.

Interrogé sur la création à terme de sanctions pour les entreprises qui ne respecteraient pas les règles d'hygiène prescrites, M. Pailloux indique que sa position a évolué. "J'ai longtemps pensé que les sanctions étaient inutiles car il n'y avait pas de maturité suffisante de la part des utilisateurs. Pour l'instant notre position n'a pas changé. Mais je pense que dans les années à venir, nous n'éviterons pas un certain retour à différentes formes de pressions ou de sanctions en fonction des contextes et des situations." Il y a là effectivement une certaine logique inévitable dès lors que les mauvais élèves ignorent jusqu'au précautions les plus basiques.

NFC... l'immature

Interrogé sur un sujet radicalement différent, le NFC, M. Pailloux considère que la technologie n'est pas "totalement mure en termes de sécurité. Pour les moyens de paiement, c'est la confiance qui est le plus important. Dans le domaine des cartes bancaires, il existe de la fraude mais elle est maîtrisée. Ce n'est pas le cas pour le NFC."

Un palmarès des maux

Dernier thème abordé, en guide de conclusion, Patrick Pailloux s'est livré à un mini-palmarès des menaces auxquelles ses équipes sont aujourd'hui confrontées. "La première, c'est l'espionnage. Elle n'est pas nouvelle, mais c'est une véritable plaie. La seconde est pour l'instant encore une demi-menace dont on distingue encore mal l'évolution: c'est le Hacktivisme, autrement dit la volonté de revendiquer voire de déstabiliser en utilisant l'attaque informatique comme moyen. La troisième menace, que l'on voit aujourd'hui clairement se développer, c'est le Sabotage. Il y a encore un an, on n'avait pas de cas, mais on a depuis franchi le Rubicon". On peut s'étonner que la cybercriminalité ne soit pas présente dans ce palmarès. M. Pailloux l'explique en rappelant que si c'est une vraie réalité pour le grand public, elle n'est pas dans le champ d'action de l'ANSSI.

De nos envoyés spéciaux à Monaco: Stéphane Larcher et Loïc Duval




Noter cet article (de 1 = Nul à 5 = Excellent) Valider

Dossier

RSS
12



Événements SSI