Les organisations sont insuffisamment protégées pour faire face à des attaques informatiques de plus en plus élaborées. Élever le niveau de cybersécurité est une urgence pour préserver la compétitivité économique et la souveraineté nationale. C’est ce que met en évidence une étude du CAS.

Sous l’effet conjugué du développement du cyberespionnage, de la cybercriminalité et de la militarisation du cyberspace utilisé à des fins stratégiques, les attaques informatiques se multiplient et se complexifient. Elles menacent la compétitivité économique et la souveraineté nationale des états. Parallèlement, des usages nouveaux liés à la mobilité (smartphone, tablette) accroissent les vulnérabilités des systèmes d’information. D’ici 2020, le développement de l’Internet des objets avec 50 milliards d’objets connectés aux réseaux, va étendre ces menaces au monde réel. De quoi susciter les inquiétudes des Etats et des citoyens. Un rapport récent du Centre d’analyse stratégique (CAS) insiste sur la nécessité d’agir en urgence. Pour Antton Achiary, Joël Hamelin et Dominique Auverlot, auteurs de cette étude, la sécurité des systèmes d’information est aujourd’hui une priorité stratégique mondiale.

Force est de constater que le niveau de protection des organisations et des particuliers est en deça de ce qu’il faudrait attendre, quand bien même ces questions sont aujourd’hui inscrits comme des priorités. Confrontés à cette menace, les organisation et les particuliers sont soit désarmés, soit encore peu conscients des risques encourus et de leurs conséquences économiques et financière. Des attaques informatiques peuvent piller le patrimoine informationnel des entreprises et toucher des infrastructures stratégiques.

Selon l’étude du Centre d’analyse stratégique, le coût financier de la cybercriminalité a atteint en 2012 les 110 Mds de dollars (le trafic de drogues a représenté 288 Mds). 63% des entreprises de plus de 200 salariés ont formalisé une politique de sécurité de l’information, mais seulement 14% d’entre elles évaluent systématiquement les impacts financiers des incidents de sécurité. Seulement 38% des Français sont conscients que le téléchargement d’applications et d’utilitaires sur smartphones et tablettes est un facteur de risque.

Le Livre blanc sur la défense et la sécurité nationale paru en 2008 avait ainsi consacré la sécurité des systèmes d’information comme l’une des quatre priorités stratégiques pour la France : c’est un enjeu de compétitivité et de souveraineté nationale.

Pour augmenter le niveau de sécurité, tout en tirant profit des avantages d’un Internet ouvert et décentralisé, les organisations doivent adopter une démarche rationnelle d’analyse de risques afin de mettre en œuvre une réponse adaptée sur le plan technique et organisationnel. L’offre nationale de solutions de sécurité doit également se structurer pour permettre une meilleure valorisation des compétences technologiques françaises et garantir un plus haut degré de souveraineté.

Afin de contrer ces menaces, les auteurs de l’étude formulent plusieurs propositions résumées en quatre points: renforcer les exigences de sécurité imposées aux opérateurs d’importance vitale (OIV), sous le contrôle de l’Agence nationale de la sécurité des systèmes d’information (ANSSI); élargir les missions de l’ANSSI pour accompagner le développement de l’offre française de solutions de cybersécurité; développer et mettre à la disposition des petites et moyennes entreprises des outils simples pour gérer les risques; evoir le cadre juridique afin de conduire, sous le contrôle de l’ANSSI et d’un comité d’éthique ad hoc, des expérimentations sur la sécurité des logiciels et les moyens de traiter les attaques.