Intervention de Patrick Pailloux

Il y a eu un retour d'expérience détaillé concernant l'affaire de l'Estonie. Un accord de coopération a d'ailleurs été signé par la France avec ce pays en novembre dernier. La principale faille de l'Estonie dans le domaine de la cyber-sécurité, est qu'il s'agit de l'un des pays utilisant le plus Internet. Le conseil des ministres lui-même est retransmis en direct sur la toile.

La menace grandit au fur et à mesure que l'on s'interconnecte. Les moyens utilisés contre l'Estonie étaient extrêmement simples et il s'agissait d'une attaque élémentaire. Elle n'a coûté que quelques centaines de dollars par jour, ne mobilisant que quelques milliers de machines seulement.

Les États les mieux équipés doivent plutôt être considérés comme les États les moins en retard. Ainsi les États-Unis sont en pointe, mais ils restent extrêmement fragiles et ils le reconnaissent eux-mêmes.

En Europe, le Royaume-Uni et l'Allemagne sont les pays ayant le mieux pris la mesure de la situation. Néanmoins aucun État n'est significativement plus protégé que les autres. Les Britanniques viennent d'annoncer un programme d'investissement de 650 millions de livres sterling dans le domaine de la cyber-défense.

Historiquement il y avait peu d'échanges internationaux dans le domaine de la défense des systèmes d'information, chacun gardant jalousement secret ses propres dispositifs. Cependant, la situation a beaucoup évolué dans ce domaine : nous subissons tous les mêmes attaques venant a priori des mêmes commanditaires, difficiles à détecter. La coopération dans ce domaine est, par exemple, explicitement mentionné dans l'accord de défense signé avec le Royaume-Uni en novembre dernier. Les coopérations bilatérales sont assez efficaces, mais elles en sont à leurs prémices.

La situation est plus complexe sur le plan multilatéral. Elle n'est que très peu développée, sauf peut-être dans des domaines très techniques, tels que l'échange de signatures virales ou d'adresses IP malveillantes.

L'action européenne a évolué dans le bon sens. Il existe une agence européenne – l'ENISA (European Network and Information Security Agency) –, basée à Héraklion, et dont l'efficacité va croissant. L'engagement communautaire peut se déployer selon deux axes.

Étant mutuellement dépendants, avec des systèmes très intégrés, nous devons veiller à ce que chaque pays de l'Union dispose d'un niveau minimum de sécurité. Il faut donc aider nos partenaires les moins bien dotés à s'équiper d'une capacité de défense.

La deuxième dimension de l'action européenne concerne la résilience des réseaux. L'ensemble de la réglementation dans ce domaine est décidé à Bruxelles et celle-ci est relativement pauvre en matière de sécurité. Mais les choses sont en train d'évoluer. Par exemple, la transposition du paquet télécom comprend une obligation de déclaration d'incident.