À propos de l’article 19, il me semble naturel que l’on renforce les prérogatives de l’ANSSI pour qu’elle puisse mettre en place, dans certaines structures d’intérêt, des systèmes de détection d’attaques qui, directement ou indirectement, vont toucher les intérêts de l’État. Ensuite, il revient à l’ANSSI, qui est au point d’équilibre entre la cyberprotection, le renseignement et l’offensive, de décider ou pas du transfert des marqueurs, par exemple. C’est fondamentalement le SGDSN qui sera à la manœuvre dans ce domaine. Ce que je dis simplement, c’est que, agissant sur délégation de l’ANSSI, il faut que, si cette attaque touche le ministère des Armées, mes chaînes de détection me permettent de la corroborer et de mesurer son amplitude et son agressivité. C’est un environnement sur lequel nous devrons travailler avec l’ANSSI, pour définir un protocole, des règles de bonne conduite, etc.
Je n’exerce pas de responsabilités directes dans la protection des câbles, qu’ils touchent le territoire national ou qu’ils se trouvent dans les eaux territoriales. Quant aux satellites de communication, seuls les satellites militaires relèvent de ma responsabilité ; les satellites civils relèvent de l’ANSSI. Cependant, lorsque les intérêts français sont touchés, le COMCYBER a le devoir de soutenir ceux qui les défendent dans un champ non militaire et il a la responsabilité de développer des scénarios qui permettent de neutraliser l’agresseur ou de diminuer les effets de son attaque. C’est ainsi que j’interviens, indirectement, en proposant des options de nature militaire au niveau politique.
En ce qui concerne la formation, je reprendrai une des conclusions de la revue stratégique cyber : nous devons former nos concitoyens, dès le plus jeune âge, à la notion de cybersécurité. C’est très bien d’avoir un téléphone portable ou d’être inscrit sur Facebook ; encore faut-il en mesurer les conséquences. Plus tôt nous les sensibiliserons à cette culture et nous les responsabiliserons dans leur utilisation des outils connectés à internet, mieux ce sera. Ce qui est vrai pour nos concitoyens l’est également pour le ministère des Armées mais, même si l’on peut toujours mieux faire, je crois que celui-ci a pris un peu d’avance dans ce domaine. Le véritable enjeu réside plutôt dans l’organisation de la formation continue. Je veux en effet m’assurer que le niveau de professionnalisation des opérateurs du COMCYBER demeure le plus haut possible.
La DGA s’est engagée, il y a quelques années, dans l’expertise de l’intelligence artificielle. Frédéric Valette, l’un des adjoints du DGA, chargé du domaine cyber, avec qui je collabore étroitement, me tient informé de l’évolution des programmes et des investissements réalisés dans ce domaine. Je n’ai donc pas d’inquiétudes : la DGA m’accompagnera dans la mise en place et l’intégration de l’intelligence artificielle. Celle-ci suscite beaucoup d’interrogations, qu’il s’agisse du management de l’information dans les états-majors, de la manière dont le deep learning et la robotisation permettront d’améliorer le fonctionnement de la cyberdéfense… L’enjeu pour moi est de faire en sorte que, dans la trajectoire de la LPM, la révision de l’ensemble de l’architecture de détection et de supervision puisse coïncider avec le moment où les techniques liées à l’intelligence artificielle arriveront à maturité : le but, et nous y travaillons avec Frédéric Valette, est d’éviter toute obsolescence dans les programmes que nous avons lancés et de faire en sorte que, dès que la virtualisation et le deep learning arriveront à maturité, on puisse les intégrer naturellement dans les architectures en cours d’élaboration.
M. le président. Je laisse la parole à Jean-François Eliaou, pour une dernière question, qui sera brève.
M. Jean-François Eliaou. Permettez-moi de revenir sur l’article 21, Mon général. Les acteurs du COMCYBER pourraient-ils être confrontés à des problèmes de judiciarisation pénale dans leur activité de protection sur le territoire national ?
Général Olivier Bonnet de Paillerets. Je ne vois pas quel scénario pourrait les mettre en danger car, dans le cadre de la détection et de la supervision, nous ne faisons à aucun moment appel à des capacités actives ; nous n’utilisons que des capacités passives qui entrent dans un champ réglementaire qui me semble très bordé. Le COMCYBER et l’ANSSI peuvent, en vertu de l’article 21 de la dernière LPM, neutraliser les effets d’une attaque sur le territoire national par des moyens actifs. Cette possibilité existe, mais elle est parfaitement encadrée.
M. le président. Merci pour vos réponses, Mon général.
Représentants d’associations professionnelles nationales de militaires (mardi 27 février 2018)
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://videos.assemblee-nationale.fr/video.5621804_5a957aac7d54e.commission-de-la-defense--auditions--sur-le-projet-de-loi-de-programmation-militaire-27-fevrier-2018
Représentants de syndicats des personnels civils de la défense (mercredi 28 février 2018)
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5623014_5a965e10d6c3f.commission-de-la-defense--auditions--sur-le-projet-de-loi-de-programmation-militaire-28-fevrier-2018
M. Thierry Gaiffe, président de la commission défense du Comité Richelieu, et M. Nicolas Corouge, vice-président du Comité Richelieu (mercredi 28 février 2018)
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5623014_5a965e10d6c3f.commission-de-la-defense--auditions--sur-le-projet-de-loi-de-programmation-militaire-28-fevrier-2018
M. Stéphane Mayer, président de Nexter (mercredi 28 février 2018)
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5624702_5a96a5ff81ec0.commission-de-la-defense--auditions--sur-le-projet-de-loi-de-programmation-militaire-28-fevrier-2018
M. Éric Trappier, président-directeur général de Dassault Aviation (mercredi 28 février 2018)
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5624702_5a96a5ff81ec0.commission-de-la-defense--auditions--sur-le-projet-de-loi-de-programmation-militaire-28-fevrier-2018
M. Hervé Guillou, président-directeur général de Naval Group (mardi 6 mars 2018)
La commission de la Défense nationale et des forces armées auditionne M. Hervé Guillou, président-directeur général de Naval Group, sur le projet de loi de programmation militaire.
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5632477_5a9eb8c03f56d.commission-de-la-defense--m-herve-guillou-pdg-naval-group-et-m-patrice-caine-pdt-thales-sur-le-6-mars-2018
M. Patrice Caine, président de Thales (mardi 6 mars 2018)
La commission de la Défense nationale et des forces armées auditionne M. Patrice Caine, président de Thales, sur le projet de loi de programmation militaire.
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5632477_5a9eb8c03f56d.commission-de-la-defense--m-herve-guillou-pdg-naval-group-et-m-patrice-caine-pdt-thales-sur-le-6-mars-2018
M. Guillaume Faury, président d’Airbus Commercial Aircraft (mercredi 7 mars 2018)
La commission de la Défense nationale et des forces armées auditionne M. Guillaume Faury, président d’Airbus Commercial Aircraft, sur le projet de loi de programmation militaire
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5638678_5a9f99b2572a5.commission-de-la-defense--m-guillaume-faury-pdt-d-airbus-commercial-aircraft-sur-le-projet-de-lo-7-mars-2018
M. Philippe Petitcolin, directeur général de Safran (mercredi 7 mars 2018)
La commission de la Défense nationale et des forces armées auditionne M. Philippe Petitcolin, directeur général de Safran, sur le projet de loi de programmation militaire
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5645341_5a9ffb135c217.commission-de-la-defense--m-philippe-petitcolin-dg-de-safran-et-m-emmanuel-levacher-pdt-de-rena-7-mars-2018
M. Emmanuel Levacher, président de Renault Trucks Defense (mercredi 7 mars 2018)
La commission de la Défense nationale et des forces armées auditionne de M. Emmanuel Levacher, président de Renault Trucks Defense, sur le projet de loi de programmation militaire
Les débats sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :
http://www.assemblee-nationale.tv/video.5645341_5a9ffb135c217.commission-de-la-defense--m-philippe-petitcolin-dg-de-safran-et-m-emmanuel-levacher-pdt-de-rena-7-mars-2018
M. le général Jean-François Ferlet, directeur du renseignement militaire (jeudi 8 mars 2018)
M. le président Jean-Jacques Bridey. C’est la première fois, Mon général, que nous vous recevons pour une audition. De nombreuses questions vous seront donc certainement posées. De votre côté, je ne doute pas que vous ayez beaucoup de choses à nous expliquer relativement au fonctionnement de votre direction, comme au sujet du contenu du projet de loi de programmation militaire (LPM).
M. le général Jean-François Ferlet, directeur du renseignement militaire. Merci Monsieur le président pour votre accueil. Je vous exposerai quels sont, vus de la direction du renseignement militaire (DRM), les enjeux de cette LPM.
Permettez-moi tout d’abord de me présenter. J’ai débuté ma carrière dans l’armée de l’air comme pilote de chasse, spécialisé dans un premier temps dans la défense aérienne, puis dans un second temps dans la reconnaissance aérienne tactique. Assez classiquement, ma carrière m’a mené du commandement d’un escadron de reconnaissance à celui de la base aérienne de Djibouti. Ces engagements ont été entrecoupés de passages en état-major dans le domaine des plans et des programmes d’armement liés à la fonction renseignement.
En deuxième partie de carrière, mes engagements ont été avant tout opérationnels : en 2014-2015, j’ai ainsi effectué une année dans le Sahel, en tant que général adjoint chargé des opérations de l’opération Serval, pour le premier mois, puis de l’opération Barkhane, pour les onze mois suivants. À l’issue, j’ai pris le commandement du centre de planification et de conduite des opérations, qui est l’outil de commandement stratégique de toutes les opérations militaires françaises, tant sur le territoire national qu’à l’étranger. Il est situé à Balard. Mon tropisme est donc plutôt opérationnel. Cela me permet de ne pas perdre de vue l’une des raisons d’être de la DRM.
Le projet de LPM fait clairement porter l’effort sur la fonction de connaissance et d’anticipation, qui comprend à la fois nos capacités dans le domaine du renseignement et celles du monde cyber. Il répond ainsi à de nombreuses attentes de la DRM, notamment en matière de ressources humaines, de finances, de grands programmes d’armement et de dispositions normatives.
Avant d’entrer dans le vif du sujet, je vous brosserai un rapide tableau de la DRM dans son environnement. Pour rester simple, la direction du renseignement militaire est le service de renseignement des armées. Je remplis ma mission sous une double tutelle, puisque je sers sous les ordres du chef d’état-major des armées, mais je suis également conseiller de la ministre des Armées en matière de renseignement d’intérêt militaire.
Au niveau interministériel, je fais partie des six directeurs des services de renseignement, dit du « premier cercle », regroupés autour du coordinateur national du renseignement et de la lutte contre le terrorisme. Au niveau international, j’entretiens d’importants échanges avec mes homologues étrangers des services de renseignement partenaires.
Ma mission se résume en trois volets. Le premier aspect a trait à l’appui direct en renseignement aux opérations. La DRM déploie des hommes et des capteurs sur les théâtres d’opérations et participe activement à l’analyse du renseignement collecté sur ces zones. Vient ensuite l’anticipation, conçue comme une aide à la prise de décision et à la réorientation des actions ; dans ce domaine, nous travaillons à un horizon de six mois à un an. Enfin, la veille stratégique est une mission permanente, que nous remplissons au quotidien en complément de ces deux premières missions.
La DRM est en interaction avec de nombreux acteurs ; elle appartient concurremment à trois ensembles.
Le premier constitue la famille interarmées du renseignement ; la DRM y travaille en étroite collaboration et concertation avec les armées. La DRM compte un peu moins de 2 000 personnes, tandis que la fonction interarmées du renseignement (FIR), c’est-à-dire les capacités de renseignement mises en œuvre par les armées, représente environ 8 000 personnes supplémentaires, qui disposent de moyens dédiés, variant selon leur milieu d’exercice.
Au sein de cette FIR, j’occupe la fonction de « tête de chaîne ». Sur des sujets aussi divers que le domaine capacitaire, la formation, le recrutement, le pilotage des métiers du renseignement, la doctrine et la coordination des programmes majeurs, la DRM joue un rôle de coordination. Je veille ainsi à ce que toutes les actions lancées dans le domaine du renseignement soient les plus cohérentes possible.
Le deuxième ensemble constitue la communauté nationale du renseignement. S’y trouvent les six services de renseignement du « premier cercle » : direction générale de la sécurité extérieure (DGSE), direction générale de la sécurité intérieure (DGSI), le service du traitement du renseignement et action contre les circuits financiers clandestins (TRACFIN), la direction nationale du renseignement et des enquêtes douanières (DNRED) et la direction du renseignement et de la sécurité de la défense (DRSD), regroupés avec la DRM autour de M. le préfet Pierre Bousquet de Florian, coordonnateur national du renseignement et de la lutte contre le terrorisme (CNR-LT).
Nous nous réunissons au moins tous les quinze jours pour traiter des sujets qui intéressent l’ensemble de la communauté nationale du renseignement, comme la formation de nos agents par l’Académie du renseignement, la mutualisation des capacités techniques des services de renseignement ou la coordination de nos partenariats internationaux. Au travers d’une structure de coordination rassemblant l’ensemble des services, l’état-major des armées (EMA) et la direction générale de l’armement (DGA), nous suivons les programmes qui ont fait l’objet d’une mutualisation, non seulement pour des raisons d’économie et de coût, mais aussi pour des raisons d’efficacité, de convergence et d’interopérabilité. Le dialogue est donc très fluide entre nos services.
Nous sommes le service référent dans le domaine de l’image et la DGSE l’est dans le domaine du renseignement d’origine électromagnétique. Élaboré sous l’égide du CNR-LT, le plan national d’orientation du renseignement (PNOR) fixe nos orientations. Il détermine, pour chaque service, qui est « menant » et qui est « concourant » sur tel ou tel sujet.
Le troisième ensemble constitue la communauté des services de renseignement au niveau international. La DRM échange des informations avec un peu plus de 70 pays dans des conditions très cadrées et normées. Nous étendons d’ailleurs encore ce réseau.
Le partenariat avec nos homologues étrangers s’inscrit à différents niveaux. Au premier rang de nos partenaires se trouvent bien sûr les Américains. Nous avons énormément d’échanges avec eux, au niveau central, entre agences de renseignement, et sur le terrain, notamment au Sahel où le soutien américain en moyens aériens de surveillance et de reconnaissance est déterminant pour nos opérations.
Ces échanges de renseignements avec les Américains sont très importants. Ils se sont encore développés davantage depuis l’été dernier, sous l’impulsion du Secrétaire à la Défense, le général James Mattis. Il souhaite en effet que les services de renseignement américains travaillent beaucoup plus avec leurs partenaires étrangers, notamment la France qui est un acteur volontaire, crédible et particulièrement engagé dans la lutte contre le terrorisme. Mais sans aller jusqu’à une formule de Six Eyes, nous avons obtenu des accords bilatéraux de partage du renseignement.
Nous avons d’autres partenaires, à différents niveaux. Notre premier partenaire, au niveau européen, est l’Allemagne. Nos relations et nos échanges sont marqués par un haut niveau de confiance. Cela nous permet d’aller très loin dans les échanges de renseignement, notamment dans le domaine de l’imagerie spatiale. L’Allemagne est aussi notre principal partenaire capacitaire, comme en témoigne sa participation déterminante au programme d’observation CSO (composante spatiale optique).
N’oublions pas d’autres échanges internationaux, qui ont lieu sous l’égide de l’Organisation du traité de l’Atlantique Nord (OTAN) ou de l’Europe de la défense. Dans le cadre de cette dernière, le président de la République a lancé en septembre dernier une nouvelle initiative, l’Initiative européenne d’Intervention (IEI), visant à développer une culture stratégique et opérationnelle commune entre pays désireux de mettre en place une capacité européenne d’intervention renforcée. Un de ses volets consistera à former un équivalent du groupe d’anticipation stratégique (GAS) français, permettant de partager une vision des grands enjeux à un horizon de deux ans – car il ne sert à rien de travailler au-delà de cet horizon dans ce cadre. Nous voulons également œuvrer ensemble sur des sujets d’intérêt commun. Les États approchés pour participer à cette initiative devraient signer fin mai une lettre d’intention qui définira la manière dont nous allons travailler de concert.
En matière de renseignement, l’Europe de la défense existe déjà d’une certaine manière. Nous avons en effet établi des partenariats de partage capacitaire dans le domaine spatial, ayant signé des protocoles de coopération avec certains pays européens. Ces coopérations fonctionnent bien. La France est à la pointe du renseignement en imagerie spatiale optique, alors que l’Allemagne s’est spécialisée dans l’imagerie spatiale radar. Le radar a l’avantage de fonctionner par tous les temps. Il est d’une autre nature que l’imagerie optique et apporte des renseignements très complémentaires.
Au sein de la communauté Helios ainsi constituée, nous partageons avec nos partenaires des images de nos satellites contre des images des satellites radar allemands SAR-Lupe mais aussi des images des satellites radars italiens COSMO-SkyMed.
S’agissant de l’OTAN, les choses sont un peu différentes. Évidemment, lorsque nous participons à une opération de l’OTAN, nous partageons notre renseignement avec l’Alliance et les pays alliés engagés. Nous sommes ainsi engagés dans le dispositif de l’OTAN « Enhanced Forward Presence » (EFP) déployé dans les pays baltes et qui contribue au mécanisme de réassurance dans le cadre de la défense collective des pays de l’OTAN. Nous lui apportons un appui en matière de renseignement, en produisant quasiment quotidiennement des notes destinées aux pays de l’OTAN participant à ces opérations. Les productions de la DRM sont d’autant plus appréciées que rares sont les pays qui disposent, comme la France, d’une palette de capteurs large et complète, permettant de garantir une autonomie stratégique.
J’attire votre attention sur un point particulier. En matière de renseignement, la règle veut que les échanges reposent sur une logique de réciprocité. La seule exception à cette règle est notre soutien sans réserve et sans contrepartie à tous les pays européens qui s’engagent au Sahel, que ce soit dans le cadre de l’opération Barkhane, de l’EUTM ou de la MINUSMA, mission de l’ONU de maintien de la paix au Mali.
Je conclurai sur la coopération en abordant le soutien que nous apportons à l’initiative des pays du G5 Sahel. Ils viennent de mettre sur pied la « force conjointe Sahel » et ont besoin d’un soutien en renseignements pour pouvoir agir efficacement. La France leur fournit ce soutien et nous leur apportons également un appui dans le domaine de la formation, du conseil, du monitoring, de façon à leur permettre de monter en puissance sur le volet renseignement.
J’en termine ainsi sur les principales missions et sur l’environnement de la DRM. J’en viens aux principaux défis auxquels elle est confrontée aujourd’hui.
Le premier défi est opérationnel. Un fort tropisme oriente nos capteurs vers la lutte antiterroriste. Elle constitue en effet une menace immédiate. Mais nous sommes aussi en charge de l’anticipation et de la veille stratégique, de sorte que nous veillons à garder un juste équilibre entre nos différentes missions. Les États-puissances font leur retour et de nouveaux acteurs proliférants apparaissent : nous devons garder un œil de ce côté, en continuant à suivre leur évolution, leur stratégie et leur montée en puissance. Nous nous devons en effet de nous prémunir contre toute surprise stratégique. Ce grand écart doit être tenu en permanence. La veille stratégique participe en effet de la crédibilité de notre dissuasion nucléaire.
Plus technique, le second défi est celui du big data et du traitement de masse des données. Nous devons faire porter notre effort sur ce domaine. Par le passé, nous nous sommes concentrés sur le renouvellement de nos capacités en matière de capteurs. Mais ce renouvellement des systèmes satellitaires est désormais acquis.
Le renseignement recueilli provient de quatre origines : les capteurs électromagnétiques, les images, le renseignement humain et le renseignement d’origine cyber, qui se développe très rapidement. Dans ce dernier cas, il s’agit de sources plus ou moins ouvertes.
Or, aujourd’hui, les capacités toujours plus grandes de ces capteurs, disposant d’un débit toujours plus élevé, nous placent en face d’un « tsunami des données ». Nous sommes submergés par des données dont la masse croît de manière exponentielle. Il ne saurait être question d’y faire face en se contentant seulement de demander des moyens supplémentaires en exploitants ou en analystes. Nous devons au contraire trouver des solutions plus innovantes, à base d’outils d’intelligence artificielle. Voilà où nous devons porter nos efforts dans les années qui viennent.
Il ne sert en effet à rien de collecter toujours plus de données et de renseignements si nous n’arrivons pas à les exploiter en tirant de nos bases des données les informations pertinentes au moment utile.
D’un point de vue technique, un deuxième défi se pose à nous. Chacun avait autrefois tendance à développer ses propres réseaux sécurisés, puisque nous traitons tous d’informations sensibles. Aujourd’hui, au contraire, le besoin accru d’échanger des renseignements, que ce soit d’un ministère à l’autre ou avec nos partenaires internationaux, nécessite des réseaux sécurisés et interconnectables. Cet impératif se révèle parfois difficile à concilier avec celui de la sécurité des opérations et de la protection de nos sources les plus sensibles. L’interconnexion et l’interopérabilité des réseaux constituent donc un autre défi.
Globalement, dans les domaines techniques, la technologie évolue très vite. Or ce n’est pas forcément la technologie militaire qui entraîne le mouvement. C’est pourquoi les programmes d’armement classiques, tels qu’ils sont menés sous l’égide de la DGA, ne sont pas forcément adaptés à l’évolution de ces nouveaux outils très évolutifs que sont les systèmes d’information. Puisque la technologie transforme rapidement les usages, nous constatons souvent qu’il existe des outils disponibles « sur étagère » déjà susceptibles, moyennant quelques adaptations, de répondre à nos besoins.
Sous l’égide de l’initiative « Innovation défense » portée par la DGA, avec l’appui attentif de la ministre des Armées et le soutien des armées, la DRM va développer l’intelligence campus. Il s’agit de regrouper autour de nos centres, pour l’essentiel basés à Creil, des capacités du monde académique, du monde de la recherche et du monde l’industrie. La mise en relation directe de ces différentes personnes et de ces compétences va nous permettre d’améliorer le cycle d’acquisition de ces nouveaux outils qui évoluent très vite dans le civil. Nous nous devons donc de nous adapter en permanence. L’initiative prochainement lancée s’appuiera ainsi sur le triptyque suivant : monde universitaire, recherche et acquisition.
Tous ces défis ne sauraient nous faire oublier les exigences fortes qui pèsent sur la DRM aujourd’hui.
Je commencerai par la conformité avec le cadre légal, qui est en évolution permanente. La loi du 24 juillet 2015 définit le renseignement comme une politique publique qui concourt à la stratégie de sécurité nationale et à la défense des intérêts fondamentaux de la Nation. Cette politique relève de la compétence exclusive de l’État. Cette loi a été complétée par celle du 30 novembre 2015 relative à la surveillance des communications internationales et par celle du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, qui comporte des dispositions relatives aux interceptions empruntant la voie hertzienne.
L’ensemble de ces dispositions ne s’applique qu’aux mesures mises en œuvre sur le territoire national ou à partir du territoire national. Compte tenu de ses missions en opérations en dehors des frontières, la DRM est donc moins « touchée » par la loi que les services qui agissent sur le territoire national. Néanmoins, la mise en œuvre de ces techniques de renseignement a nécessité une adaptation de nos outils.
Traditionnellement, nos linguistes, intercepteurs et analystes travaillaient directement « au pied du capteur » dans nos centres d’écoute. Aujourd’hui, pour permettre à la Commission nationale de contrôle des techniques de renseignement (CNCTR) de contrôler effectivement nos activités, nous devons rapatrier les interceptions électromagnétiques dans des data center, que nous appelons des entrepôts, et en avoir une traçabilité complète.
Cela requiert une adaptation à ce cadre légal de nos outils, mais également de nos techniques de travail. L’exploitation en mode « centralisée » nécessite ainsi des supports particuliers. Certains outils développés dans le cadre de la mutualisation technique constituent la première brique d’un édifice d’exploitation des données qui sera fondé sur l’intelligence artificielle.
La seconde exigence qui pèse sur nous est de nous adapter en permanence à la menace, ou du moins à l’environnement et aux techniques utilisées par ceux qui nous intéressent. L’emploi des technologies numériques, typiquement les smartphones, se banalise, tout comme l’utilisation des réseaux sociaux. Certaines messageries très sécurisées, telles Whatsapp ou Telegram, nous posent de réelles difficultés.
Face à ce défi qui confère des capacités nivelantes à nos adversaires, l’enjeu est d’abord de réagir vite et moins de voir loin, même si ces deux enjeux ne sont pas nécessairement antagonistes.
Un premier frein existe dans ce domaine de l’innovation et du renseignement. Par exemple, il est difficile de donner à des acteurs privés l’accès à des bases de données contenant des informations sensibles. Jusqu’à présent, toutes les règles de sécurité ont été édictées dans une logique de recherche du risque zéro. Nous travaillons aujourd’hui pour évoluer vers une approche du risque maîtrisé.
Un autre frein culturel est la peur de l’échec. Quand le ministère lance un programme d’armement, beaucoup de précautions sont prises en amont, comme la conduite d’études de levée de risques. Ainsi, nous ne lançons un programme qu’en ayant minimisé le risque. Pourtant, les montants en jeu ne sont pas tous comparables à ceux des grands programmes d’armement. C’est un domaine où nous devrions accepter de prendre plus de risques, quitte à nous tromper parfois. Si nous faisons fausse route, nous devons pouvoir abandonner un outil et nous intéresser à un autre.
Aujourd’hui, notre « culture d’entreprise » est au contraire si prégnante que nous ne commençons un programme d’armement qu’en ayant la certitude de pouvoir le mener à terme. Compte tenu des coûts engagés, il serait cependant possible de prendre quelques risques dans le domaine de l’innovation, où des start-up offrent parfois des solutions méritant d’être explorées.
La troisième exigence qui pèse sur la DRM est l’amélioration permanente de la coopération et de la coordination entre les services, rappelée dans la Revue stratégique.
Nous sommes loin des clichés habituels de la « guerre des services ». Il existe une vraie collaboration entre les services, dont je peux témoigner. Au-delà des réunions destinées à traiter de sujets communs, qui se tiennent tous les quinze jours autour du CNR-LT, les services coopèrent entre eux au quotidien : au niveau central, en échangeant tous les documents qui pourraient intéresser les uns et les autres ; et à un niveau plus subsidiaire, lorsque nous avons des sujets d’intérêt commun, en créant des cellules ad hoc.
La plus importante est la cellule Allat, dédiée à la lutte antiterroriste et hébergée par la DGSI. Elle regroupe sur un même plateau des représentants de l’ensemble des services concernés, du premier ou du second cercle, qui sont connectés à leurs propres réseaux informatiques sécurisés, et permet de fusionner l’information qui intéresse la lutte antiterroriste sur le territoire national. Mais nous pourrions également citer la cellule Hermès, qui traite de sujets liés au renseignement et intéressant un ou plusieurs services.
Plus généralement, et c’est devenu la règle, lorsque plusieurs services ont un sujet commun d’intérêt, nous produisons des notes bi-timbres, tri-timbres ou multi-timbres, qui permettent d’avoir une approche plus globale et plus pertinente et de la partager. Nous sommes beaucoup plus efficaces à plusieurs que chacun isolément sur un même sujet. La démarche est particulièrement vertueuse.
Nous pouvons donc constater que les choses sont en train de changer, et que la culture interservices se met en place. Cette évolution est aussi portée par l’Académie du renseignement. Celle-ci permet non pas de former, au sens académique du terme, nos personnels puisque nous avons nos spécificités et nos propres centres de formation, mais de mettre en relation des représentants ou des stagiaires de chaque service, ce qui favorise une meilleure connaissance mutuelle et une meilleure interconnexion entre les services.
Ensuite, le fait de mutualiser nos capacités techniques, dont je vous ai parlé tout à l’heure, va renforcer la culture interservices. Quand on travaille sur les mêmes outils, il est beaucoup plus facile de communiquer et de se comprendre.
Ainsi, une vraie dynamique est en train de se développer, et cela va s’intensifier dans le futur. J’ajoute qu’au niveau tactique, des cellules un peu plus confidentielles ont été créées en interservices. Elles répondent à des problématiques très particulières sur lesquelles nous nous devons d’avoir une grande réactivité, ce que ne permet pas l’échange à un niveau supérieur.
La quatrième exigence est d’investir des champs nouveaux de confrontation que sont l’espace cyber et l’espace exo-atmosphérique.
Le fait d’une présence adaptée dans l’espace cyber constitue un vrai enjeu pour la DRM. Nous voyons tout le potentiel qu’il y a à exploiter le renseignement disponible sur le web, qu’on fusionnera ensuite avec des renseignements issus d’autres capteurs, images, électromagnétiques ou renseignements d’origine humaine.
Pour l’instant, l’approche est assez incrémentale. Nous avons créé en 2015, au sein de la DRM, le Centre de recherche et d’analyse cyber (CRAC) qui est dédié à la recherche dans le monde du web. Ce centre nécessite des compétences et des outils très particuliers. Nous considérons aujourd’hui que seulement 4 % des informations sur internet sont directement accessibles au travers des moteurs de recherche traditionnels comme Google. Mais nous nous intéressons à ce qui est beaucoup plus dissimulé – le deep web et le dark web, qui est encore plus caché. C’est une véritable mine de renseignements, à condition de savoir y accéder. Aujourd’hui, nous développons cette capacité, qui est très intéressante et prometteuse. Le CRAC emploie environ 90 personnes, et la future LPM devrait nous apporter quelques moyens supplémentaires.
Investir l’espace exo-atmosphérique constitue un autre enjeu.
De multiples acteurs sont impliqués : le Commandement interarmées de l’espace, dont vous avez auditionné le chef, et qui mène les opérations dans l’espace ; le Commandement de la défense aérienne et des opérations aériennes de l’armée de l’air, qui est chargé d’établir la situation spatiale ; et la DRM qui est chargée d’évaluer la menace spatiale à l’encontre de nos intérêts nationaux.
Grâce à des capteurs qui permettent de surveiller assez finement l’espace, nous savons qu’il s’y passe quelque chose. Aujourd’hui, pour vous donner un exemple très concret, des microsatellites gravitent autour de nos satellites les plus sensibles. Nous voyons bien que leur cinématique n’est absolument pas normale et qu’elle est suspecte, voire inamicale, de la part de certains pays.
Pour faire face à ces défis, la DRM a lancé un projet majeur et structurant pour dans les années à venir : l’innovation technologique.
La DRM a lancé le projet intelligence campus en 2015. Aujourd’hui, ce projet prend forme. Il sera structuré sous l’égide de l’initiative Innovation Défense du ministère des Armées. L’idée est de regrouper plusieurs acteurs sur la base de Creil : nos spécialistes du renseignement, nos experts, avec des chercheurs, des industriels et des start-up. Il s’agit de répondre à tous les défis qui s’offrent à nous en matière d’exploitation, notamment dans le traitement de l’image et la « Geo-Int » – c’est-à-dire du renseignement géo-localisé et géo-référencé – qui sont des pôles d’excellence et d’expertise de la DRM.
Comme je l’ai dit précédemment, ce projet est structuré en trois piliers : la formation, la recherche et l’innovation.
En 2020, le centre de formation interarmées au renseignement, le CFIAR, qui est aujourd’hui situé à Strasbourg, déménagera à Creil, l’objectif étant de le rapprocher de mes centres d’expertise. On pourra sans doute, de cette façon, dégager de fortes synergies. Ainsi, le CFIAR participera lui aussi à la montée en puissance d’intelligence campus.
Dans le domaine de la recherche, nous avons déjà passé un certain nombre de protocoles entre nos centres et plusieurs universités, écoles d’ingénieurs et centres de recherche, et nous allons poursuivre ces partenariats.
Toutefois, ce projet a longtemps été porté par la DRM seule. Nous allons l’ouvrir très rapidement aux autres services de renseignement. En effet, nous nous apercevons que, dans ce domaine, nous avons tous les mêmes besoins et les mêmes difficultés. Donc, ce qui pourra émerger comme solutions techniques et comme outils, notamment d’intelligence artificielle, issus de cette initiative intelligence campus, profitera aux autres services de renseignement.
Très concrètement, nous avons procédé à d’importants recrutements de personnels civils parce que nous n’avions pas cette capacité dans les armées, et ce recrutement va continuer sa montée en puissance, avec de nouveaux experts dans de nouveaux domaines. Les data analysts et les data scientists, vont notamment nous permettre d’évaluer les produits d’intelligence artificielle et de big data qui nous sont proposés. Toutes les semaines, une start-up ou une entreprise m’appelle pour me dire qu’elle a créé un outil formidable qui est la solution à tous mes problèmes ! Certes, les présentations Power Point font rêver. Mais, derrière, il faut que nous soyons capables d’évaluer ces outils et de les faire tourner sur des bases de données. Nous le ferons d’abord sur des bases de données fictives que nous aurons créées pour protéger les nôtres tant que nous n’aurons pas d’assurance sur ce qui nous est proposé. Ensuite, nous ferons tourner ces outils en grandeur réelle pour pouvoir en mesurer la pertinence. Vous comprenez pourquoi j’ai besoin de cette expertise.
Mais l’innovation n’est pas contradictoire avec les programmes qui sont pensés au sein de la DGA, en particulier le projet Architecture de traitement et d’exploitation massive de l’information multi-service (ARTEMIS).
Ce n’est pas vraiment un outil, mais une architecture, une structure d’accueil qui va nous permettre d’intégrer ces différents outils dans différents domaines du renseignement pour nous aider à exploiter et analyser des données qui sont très hétérogènes – une image, une bande-son, une écoute, un papier, une carte, etc. Il faut être capable de fusionner tout cela pour en sortir une analyse pertinente.
Le projet ARTEMIS vise donc à fédérer tous ces outils et à les intégrer avec une architecture ouverte et souple, qui nous donnera cette capacité d’évolution qui est nécessaire dans ce milieu. Et toutes les initiatives qui seront lancées et qui aboutiront à des acquisitions d’outils se feront en lien étroit avec la DGA pour qu’à terme, ces outils puissent s’intégrer dans cette architecture globale ARTEMIS.
Pour conduire le projet intelligence campus, j’ai demandé à la DGA de me mettre à disposition un chef de projet. Le délégué a nommé l’ingénieur général de l’armement de première classe Caroline Gervais à mes côtés pour piloter ce projet et développer l’innovation au sein de la DRM en liaison étroite avec les initiatives lancées au sein de la DGA.
Je souhaiterais aborder maintenant avec vous nos ressources humaines, qui sont à la fois une richesse de la DRM, car nous avons des experts de très haut niveau, mais en même temps un point de vigilance dans le cadre de la loi de programmation militaire.
Entre 2013 et 2020, les effectifs de la DRM auront augmenté de 30 % – c’est la trajectoire telle qu’elle se précise aujourd’hui. Mais il faut poursuivre cette croissance, car les métiers de la DRM se transforment. Nous avons besoin d’experts, on nous demande toujours plus, on a de plus en plus de capteurs, on a toujours plus d’informations à exploiter, mais les effectifs des militaires spécialistes du renseignement n’ont pas évolué au même rythme.
Mon principal vivier d’experts se situe dans les armées. Je ne recrute pas moi-même de militaires. Les militaires de la DRM viennent des armées, donc de la fonction interarmées du renseignement, et font des allers et retours entre les armées et la DRM. Il est très important que l’augmentation des effectifs de la DRM et des unités de la FIR soit accompagnée d’une politique de recrutements d’officiers et de sous-officiers pour honorer ces nouveaux besoins. Il faut également savoir qu’il y a un important temps de latence entre le moment où nous décidons de recruter un sous-officier et son affectation effective dans les unités renseignement et que la formation des experts dans le domaine du renseignement prend du temps. Nous devons anticiper tout cela.
Je vous parlais tout à l’heure de mon rôle de « tête de chaîne » dans la fonction interarmées du renseignement. Une de mes principales préoccupations est de m’assurer que demain, la DRM et les armées auront les spécialistes dont elles auront besoin.
Certaines spécialités vont disparaître dans nos rangs. Par exemple, nous employons aujourd’hui des spécialistes très pointus dans le domaine de l’interception HF, qui avec des expertises particulières. Mais demain, les traitements seront automatisés et nous n’aurons plus besoin de ces expertises. En revanche, nous aurons besoin d’autres spécialistes, notamment les data scientists dont je vous parlais tout à l’heure.
Aujourd’hui, j’ai un vrai déficit en militaires. Encore une fois, il s’agit de spécialistes qui n’existaient pas avant dans les armées, qu’il nous faut recruter, former et dont il nous faut accroître le nombre. Aujourd’hui je compense – en tout cas partiellement – ce déficit par le recrutement de civils. Mais il y a déjà 30 % de civils à la DRM et il m’est très difficile d’aller au-delà, car je suis par ailleurs soumis à des contraintes de projection de personnels du renseignement sur les théâtres d’opérations, et que je ne peux pas y projeter de civils. Nous pouvons contourner le problème en leur faisant signer des contrats de réserve, qui leur permettent de partir en opération, mais la marge de manœuvre est limitée. Aujourd’hui, certains postes en opération ne sont pas honorés, faute de militaires disposant des bonnes compétences.
Nous devons donc recruter et, comme je l’ai déjà dit, travailler sur l’attractivité des métiers du renseignement. Compte tenu du contexte sécuritaire dans lequel nous vivons, nous n’avons pas trop de mal à recruter, du moins des spécialistes de haut niveau. Mais il est plus difficile de recruter des experts de catégorie B, et surtout de les fidéliser car ces experts sont très demandés dans le monde civil Souvent, ils viennent chez nous pour une première expérience, pour se faire un CV, puis ils vont chercher un autre emploi à l’extérieur. C’est un problème.
Aujourd’hui, le CNR-LT nous aide à travailler sur la mobilité interservices, pour proposer à chacun d’entre eux des parcours attractifs, valorisants et qualifiants. Même dans le domaine des RH, il faut faire preuve d’innovation et sortir des schémas traditionnels de recrutement et de déroulement de carrière. Nous devons construire des « boîtes à outils » innovantes en matière de recrutement, et combler nos carences avec d’autres types de contrats afin de faire face à ces missions, malgré la concurrence du monde civil. Nous avons de nombreux projets, et j’y reviendrai, si vous le voulez, à l’occasion des questions.
Nous nous intéressons aussi au télétravail, qui n’est peut-être pas assez exploité dans le domaine du renseignement. Tout n’est pas classifié dans ce que nous traitons, et un certain nombre de tâches peuvent être sous-traitées, notamment en télétravail. Nous travaillons, là encore, en lien étroit avec la direction des ressources humaines du ministère des Armées.
La dernière question que je souhaitais aborder est celle de la biométrie. Dans la nouvelle loi de programmation militaire, celle-ci fait l’objet d’une avancée notable, que nous appelions de nos vœux.
Jusqu’à présent, nous étions très contraints dans le domaine de la biométrie, dans la mesure où l’on ne pouvait faire de relevés biométriques que sur les personnes neutralisées ou capturées, ou sur les personnes que nous recrutons – les personnels civils de recrutement local (PCRL) – pour accomplir différentes tâches sur nos emprises en opérations.
Nous avons obtenu de pouvoir appliquer ces techniques de biométrie un peu plus largement à toute personne représentant une menace pour la sécurité de nos forces ou des populations civiles locales. Cela ouvre, par exemple, des perspectives d’identification de terroristes qui se seraient dissimulés au sein de la population locale, à partir de traces relevées sur des engins explosifs ou des caches d’armes.
M. le président. La LPM n’est pas encore votée !
Général Jean-François Ferlet. Justement, nous anticipons son application. En effet, nous étudions actuellement la rédaction de directives, que nous appelons des « règles d’engagement », pour encadrer les prélèvements biométriques – sur qui, pourquoi, sur quels critères, avec quelles règles. Il ne s’agit pas de mettre en base de données biométriques toutes les populations, mais de définir des règles, au cas où la loi serait votée en l’état. Nous travaillons en lien avec la direction des affaires juridiques sur ces sujets. Si vous le souhaitez, nous pourrons y revenir au moment des questions.
M. le président. Je suppose que vous en aurez sur le sujet.
Général Jean-François Ferlet. Pour conclure, je reprendrai les idées-forces de mon exposé introductif.
Dans les années qui viennent, il faudra porter notre effort sur l’exploitation des renseignements. Nos capteurs sont extrêmement performants et reconnus par nos partenaires, mais l’exploitation est un vrai souci. Nous devons vraiment nous y atteler, pour ne pas être submergés par les données.
Il faut aussi investir des champs nouveaux, les nouveaux champs de bataille dont je parlais tout à l’heure : le domaine cyber, l’espace. Ces capacités sont encore en phase de montée en puissance mais elles sont très prometteuses.
Enfin, il faut veiller à un certain équilibre, en portant attention à la menace terroriste sans oublier, dans un contexte de retour des États-puissance sur la scène internationale, la surveillance et la veille stratégique, qui restent essentiels pour la DRM.
J’espère avoir été à peu près complet et clair. Je suis prêt à répondre à vos questions.
M. le président. Merci, Mon général. Nous commencerons par M. Loïc Kervran, qui siège à la Délégation parlementaire au renseignement.
M. Loïc Kervran. Merci, Mon général, pour cette présentation exhaustive. Je voudrais revenir sur les missions de la DRM.
Vous avez présenté comme un défi le maintien de l’équilibre entre veille stratégique et lutte antiterroriste. On pourrait aussi penser à l’appui direct aux forces en opérations, au targeting et aux forensics que vous avez évoqués.
Ensuite, on pourrait s’interroger sur votre champ de compétence géographique. En effet, on a appris récemment par la presse, à la suite de fuites relatives à l’attentat de Saint-Étienne-du-Rouvray, que la DRM avait émis des notes, notamment sur Adel Kermiche, à côté de beaucoup d’autres services qui travaillaient sur les mêmes personnes.
Enfin, vous avez évoqué l’excellence de la DRM en termes de renseignement d’origine image, et de renseignement d’origine électromagnétique. En revanche, vous avez peu évoqué le renseignement d’origine humaine. La DRM a peut-être aussi des capacités en ce domaine, mais ne rencontre-t-elle pas, parfois, certaines difficultés pour traiter les sources, dans un système où le turnover est de quatre mois ? Le traitement des sources est sans doute assez différent de celui d’autres acteurs comme la DGSE, qui peuvent être présents sur les mêmes territoires.
Sur ces différents points, faudrait-il, selon vous, recentrer les missions de la DRM, pour qu’elle puisse continuer à contribuer de façon essentielle à la souveraineté et à l’indépendance de la France ? Je pense notamment au ciblage, ou targeting.
M. Fabien Gouttefarde. Ma première question concerne les effectifs. Loïc Kervran et moi-même avons rencontré d’autres services de la communauté du renseignement qui nous ont donné, dans le cadre de la future LPM, le nombre d’équivalents temps plein (ETP) qu’il était prévu de leur accorder. D’après le texte, entre 2019 et 2025, il y en aurait 1 500 pour toute la communauté du renseignement. Pouvez-vous nous donner votre chiffre, et la façon dont seront répartis ces effectifs supplémentaires ?
Ma seconde question concerne les moyens de surveillance, les systèmes spatiaux CERES – Capacité de renseignement électromagnétique spatiale – et MUSIS – Multinational Space-based Imaging System, c’est-à-dire, en français, système multinational d'imagerie spatiale. Pouvez-vous nous parler du calendrier de déploiement de ces appareils, de leur date de lancement, et de la plus-value de ces satellites ?
Mme Marianne Dubois. On sait qu’au Sahel, des alliances mouvantes se forment entre les différents groupuscules. Vous avez parlé tout à l’heure des linguistes. Est-ce vous arrivez à trouver les bonnes personnes ? Ces personnes sont-elles fiables ? Combien de temps vous faut-il pour analyser un renseignement, apprécier sa véracité et répondre ?
M. Fabien Lainé. Merci, Mon général, pour cet exposé exhaustif des missions et des enjeux de la DRM. Je voudrais revenir sur l’article 23 de la LPM et sur le fichier BIOPEX dont vous avez parlé tout à l’heure. De nombreux parlementaires s’interrogent. On comprend bien que pour renforcer les moyens d’investigation, il faut élargir le champ d’application des techniques biométriques, et que les prélèvements salivaires peuvent rendre bien des services. Vous avez dit qu’il ne s’agissait pas de mettre dans un fichier tous les paramètres biométriques de l’Afrique, et que vous réfléchissiez à des règles. Pouvez-vous nous en dire un peu plus ? Je pense que cela pourra éviter le dépôt de certains amendements.
M. Yannick Favennec Becot. Le volume des informations collectées augmente de façon exponentielle avec les avancées technologiques des satellites et des communications. Le traitement de ces données représente évidemment un véritable défi pour le renseignement militaire. L’intelligence artificielle devrait pouvoir analyser une grande partie des tâches actuellement assumées par les analystes. Mais dans quels délais ? Quelles sont vos attentes dans ce domaine ?
Par ailleurs, pensez-vous que la LPM soit suffisamment offensive pour tout ce qui concerne le renseignement dans l’espace ? Là encore, quelles sont vos attentes ?
M. Joaquim Pueyo. Le projet de LPM prévoit un effort notable concernant les personnels, avec la création de 1 500 postes supplémentaires entre 2019 et 2025. Il prévoit également l’acquisition de matériels, comme des avions de surveillance et de reconnaissance stratégique. Enfin, dans le domaine spatial, des programmes doivent aboutir ; je pense au programme MUSIS et au système CERES
Vous avez démontré l’importance fondamentale du renseignement, tout en exprimant quelques inquiétudes par rapport à l’exploitation des données. Inutile en effet de mettre en place une logistique considérable si on ne sait pas exploiter celles-ci. Pensez-vous que les 1 500 postes qui seront créés à partir de 2019 seront suffisants pour pouvoir exploiter les données ? Quelle sera la qualité des personnels que vous allez recruter ? Vous nous avez dit en effet qu’il était difficile de les fidéliser.
M. le président. Cher collègue, il est prévu de recruter 1 500 personnes jusqu’en 2022, puis 1 500 par an – soit, au total, 6 000 personnes jusqu’en 2025.
Général Jean-François Ferlet. Faut-il recentrer les missions de la DRM ? Non. Nous devons remplir toutes nos missions – et c’est un « nous » collectif, je ne vise pas la DRM en particulier. Mais, encore une fois, nous devons veiller à maintenir des équilibres, et ne pas nous focaliser sur une seule menace, celle qui est la plus prégnante aujourd’hui, mais couvrir l’ensemble du spectre, pour ne pas être surpris par une menace qui pourrait émerger et que nous n’aurions pas vu venir.
Une commission d’enquête a été mise en place après l’attentat de Saint-Étienne-du-Rouvray, et je m’y rendrai cet après-midi.
Plus globalement, comme je le disais tout à l’heure, il est facile d’aller fouiller a posteriori dans des bases de données quand on sait ce que l’on cherche. Je vous ai d’ailleurs parlé du risque de se faire submerger par les données. Nous pouvons avoir des informations dans une base de données, sans être capable de trouver l’information pertinente au bon moment. C’est tout l’enjeu des outils d’intelligence artificielle que nous devons développer. Ce ne sont pas les RH, seules, qui régleront le problème. Nous devons donc nous doter de ces outils, qui nous permettront de faire des analyses plus pertinentes.
M. Loïc Kervran. Pourquoi la DRM travaillait-elle sur cette chaîne, comme beaucoup d’autres services qui, eux, travaillent plutôt sur le territoire national ?
Général Jean-François Ferlet. Chacun de nous a un périmètre d’action bien défini. Nous ne travaillons pas sur le territoire national. En revanche, lorsque nous travaillons sur des djihadistes à l’étranger, compte tenu des nouvelles technologies, des réseaux sociaux et des interconnexions entre les djihadistes du monde entier, il arrive que nous tombions sur des personnes qui ont des liens avec d’autres personnes qui vivent ou vont retourner en France.
La règle qui est appliquée systématiquement aujourd’hui sur ce type de cas est très simple et elle est la suivante : transmettre immédiatement le renseignement que nous trouvons– même si ce n’est pas dans notre mission – au service de renseignement qui pourrait en avoir besoin ; en l’occurrence, la DGSI. De la même façon, si nous trouvons des informations sur des comptes bancaires de terroristes dans le Sahel, nous les transmettons à TRACFIN. Et, dans le doute, nous le donnons quand même. Cela n’arrange pas forcément les autres services de renseignement, qui rencontrent les mêmes problèmes que moi en matière de gestion des données.
J’en viens aux capteurs ROHUM – acronyme de « renseignement d’origine humaine ». Le traitement des sources est effectivement une activité très sensible. Nous avons des capacités dans les armées et dans chaque service. Moi-même, je suis plutôt en interaction avec ce que fait la DGSE à l’étranger, puisque nous travaillons, nous aussi, essentiellement à l’étranger. Voilà pourquoi le traitement des sources est coordonné, sur les théâtres, avec la DGSE. Nous faisons bien attention à ne pas traiter deux fois la même source, au risque de perturber l’action de l’un ou de l’autre, voire de se faire instrumentaliser.
Vous avez évoqué la difficulté que représente l’important turnover des militaires en opérations extérieures – en général, quatre ou six mois. Malgré tout, nous ne pouvons pas fonctionner autrement. Il a donc fallu faire en sorte de pallier cet inconvénient.
Nous avons des régiments spécialisés sur les théâtres d’opérations, en auto-relève, dans le traitement des sources humaines. Nos militaires restent effectivement quatre ou six mois en OPEX. Voilà pourquoi, quatre mois avant de partir en opération, l’équipe qui va être projetée travaille déjà en France sur la connaissance des sources et est en contact permanent avec l’équipe déjà en place sur le théâtre. C’est comme si elles formaient une seule équipe : une partie est sur le terrain, l’autre partie travaille en arrière-plan et sera ensuite projetée. Cette préparation intellectuelle permet de disposer de plusieurs années d’historique sur le traitement de ces sources. Et cela donne entière satisfaction avec de beaux résultats opérationnels. Je n’ai pas entendu qu’on se soit plaint de la façon dont nous traitons nos sources. Bien au contraire.
J’ai également été interrogé sur la répartition des effectifs. Pour la période 2019-2022, la DRM devrait bénéficier directement de 90 personnels supplémentaires sur un total de 1 500, et 211 personnels de plus seront dévolus aux unités spécialisées de renseignement des armées sur lesquelles la DRM s’appuie. L’effort total sera donc d’environ 300 personnels.
M. Joaquim Pueyo. Cela correspond à vos besoins ?
Général Jean-François Ferlet. Personne ne vous répondra jamais qu’il a assez de personnel ! Cela dit, mon objectif n’est pas de grossir pour grossir. Je dis toujours que je ferai au mieux avec ce que l’on me donnera. Mais on n’en a jamais assez.
M. le président. Maintenant, il y a l’intelligence artificielle !
Général Jean-François Ferlet. Cela demande aussi du personnel supplémentaire, de nouvelles expertises et compétences.
Vous parliez de l’arrivée de nouveaux systèmes : lorsque nous lançons un nouveau programme, il y a ce que j’appelle des « incontournables ». Prenons l’exemple de la mise en service de MUSIS et de celle de CERES, qui interviendra immédiatement après : au-delà des satellites, il y a des segments sol avec des stations sol, de l’exploitation, et des personnels derrière les consoles. Et si l’on peut penser que MUSIS, qui remplace Helios, bénéficiera d’un transfert d’une grande partie de son personnel, il n’en sera rien pour CERES qui constitue une nouvelle capacité. Actuellement, le système ELISA – pour Electronic Intelligence Satellite –, programme d’études en amont de CERES, compte un nombre limité de personnels pour son exploitation expérimentale. Avec CERES, on nous livre une vraie capacité nouvelle qui a nécessité un important effort financier du ministère. Je vais donc consacrer une partie de ces nouvelles ressources humaines à l’exploitation de CERES.
MUSIS succède à Helios. Le premier satellite doit être lancé au mois de décembre prochain. En général, le calendrier des programmes spatiaux est respecté car les créneaux de tir sur Ariane doivent être réservés. Un deuxième satellite doit être lancé l’année suivante. Ce programme est mené en coopération avec plusieurs partenaires européens, qui disposeront d’un droit de tirage. L’Allemagne est un acteur important de ce programme puisqu’elle a participé au financement du troisième et dernier satellite.
MUSIS offrira une résolution bien meilleure que celle d’Helios 2 et garantira aussi une meilleure agilité. L’agilité se définit comme le temps de réaction entre la programmation du satellite et le nombre de zones qu’il est capable de couvrir simultanément. Nos zones d’intérêt sont souvent assez concentrées géographiquement au Moyen-Orient. Aujourd’hui, l’agilité des satellites est toute relative. Un seul passage ne permet pas toujours de traiter tous les points que l’on a sélectionnés. MUSIS sera beaucoup plus agile et permettra de traiter beaucoup plus d’objectifs lors d’un même passage.
Vous avez évoqué le Sahel et les linguistes. Nous avons effectivement un souci avec les linguistes pour certaines langues. Je prendrai l’exemple emblématique du tamasheq. Le tamasheq est parlé par les Touaregs, dont est issu le noyau dur des groupes terroristes que nous rencontrons dans le Sahel. Le tamasheq n’est pas une langue unique : il comporte de nombreux dialectes un peu différents selon les régions, car nous trouvons des Touaregs en Mauritanie, au Mali, en Algérie, au Niger ou en Libye. Les locuteurs du tamasheq sont difficiles à recruter. En général, il s’agit de Touaregs qui ont encore des attaches familiales au Sahel. Ces candidatures sont, comme tous les personnels civils et militaires du ministère, transmis à la direction du renseignement et de la sécurité de la défense (DRSD) pour les habiliter au niveau de sécurité idoine.
Nous fondons quelques espoirs sur les outils d’intelligence artificielle, comme les traducteurs automatiques mais, sachant qu’aujourd’hui ces dispositifs ne sont pas très fiables dans des langues courantes comme l’anglais, nous n’attendons pas de bons résultats pour demain avec une langue rare aux dialectes multiples.
La question du recrutement pour la traduction des langues rares constitue bien une difficulté récurrente. Nous essayons évidemment de mutualiser nos ressources avec les autres services. Cette situation nécessite de pas vouloir tout traduire, mais de bien cibler les interceptions qui nous semblent intéressantes et que l’on voudrait traduire, à l’aide de mots-codes ou de mots-clés.
Le temps nécessaire à l’exploitation des données est extrêmement variable. Elles peuvent être prises en compte immédiatement. Le Transall C-160 Gabriel recueille du renseignement en pratiquant des écoutes : le linguiste est dans l’avion, il écoute en direct, et s’il entend quelque chose d’intéressant, il note l’information et la diffuse immédiatement. Par ailleurs, nous disposons de beaucoup d’informations dans les bases de données. Tout n’est pas traduit. Ces informations peuvent faire l’objet de recherches ultérieures pour des études plus fouillées sur des sujets spécifiques.
Quelles règles appliquons-nous s’agissant des prélèvements destinés à des analyses biométriques ? Les règles d’engagement, dont je vous ai déjà parlé, serviront à cadrer finement les choses sur le terrain. La biométrie est un outil très utile, mais il faut trouver un juste milieu dans l’usage que nous pouvons en faire, à la fois pour des raisons de principe et d’organisation.
Nous réfléchissons donc actuellement à ces sujets avec nos opérationnels et avec la direction des affaires juridiques afin de voir comment nous pouvons mettre en œuvre cette capacité intelligemment et avec discernement. Il faut bien garder à l’esprit que cette mesure est destinée à réduire le niveau de menace contre nos forces et la population civile locale en permettant une identification fiable de certains individus ayant des antécédents.
Évidemment, les fichiers seront déclarés de manière transparente.
Que pouvons-nous attendre de l’intelligence artificielle pour le traitement des données, et dans quels délais ? Nous ne partons pas de rien. Nous disposons déjà d’outils développés dans le cadre de la recherche technique pour exploiter les données disponibles dans nos data centers.
Nous mesurons bien l’immense potentiel de ce secteur, et nous savons que les armées ne sont pas toujours en avance dans ce domaine par rapport au milieu civil. Lorsque vous passez au rayon cuisines d’une grande surface ou que vous faites quelques recherches sur le sujet sur internet et que votre smartphone vous envoie personnellement, le lendemain, des publicités vous proposant une cuisine neuve, c’est le résultat de la collecte d’une multitude de données – vous avez accepté d’être localisé et validé l’utilisation de cookies… Vous imaginez la taille des bases de données connectées au niveau mondial qui se trouvent derrière cela ! Des entreprises se consacrent d’ailleurs à la seule activité consistant à collecter et à revendre ces bases de données à des fins commerciales. D’autres les achètent et utilisent des outils extrêmement puissants pour les traiter et cibler individuellement ceux qui présentent un intérêt commercial. Les armées n’en sont pas là. Nous ne disposons pas d’outils aussi puissants, et nous n’avons pas la puissance financière nécessaire.
Aujourd’hui, même les États sont dépassés par la puissance financière de certaines entreprises, comme Microsoft ou Google, qui peuvent consacrer à ces évolutions des moyens bien supérieurs.
Quoi qu’il en soit, nous n’allons pas développer de notre côté des outils qui existent déjà sur le marché. Il ne s’agit que d’instruments qui pourront répondre directement à nos besoins après avoir fait l’objet d’adaptations ou de paramétrages particuliers. Nous devons les acquérir en boucle courte, sachant qu’ils sont en évolution rapide et permanente.
La LPM nous permettra-t-elle de disposer des effectifs suffisants pour exploiter les données ? Je l’ai dit, ce ne sera jamais suffisant, mais nous ne comptons pas seulement sur les effectifs pour exploiter les données. Ils sont cependant indispensables pour que nous disposions d’experts, et pour utiliser les outils adéquats.
M. le président. Mes chers collègues je vous invite à la concision car quatorze d’entre vous souhaitent encore interroger le général. Nous commençons par le rapporteur pour avis de la commission des Lois sur la LPM.
M. Jean-François Eliaou. L’espace cyber fait l’objet de contraintes légales et normatives. Tant sur le plan de la cyberdéfense que de la cyberattaque, comment voyez-vous les choses en termes de personnels et d’actions ? Sur le territoire national, ces dernières sont encadrées par des textes qui n’ont pas toujours leur équivalent à l’extérieur.
La base biométrique BIOPEX est actuellement en construction. Le recueil des données suppose que les personnels soient formés, et leur utilisation implique le croisement des fichiers. Quel est votre sentiment à cet égard ?
Mme Frédérique Lardet. Général, vous avez cité dans vos propos liminaires le projet intelligence campus de Creil. Il s’agit du premier écosystème européen civil et militaire en traitement de la donnée, d’une pépinière d’entreprises, mixant start-up et PME innovantes, dont l’ambition était ou est de devenir le premier centre européen de traitement des données à vocation civile et militaire.
Une information circule toutefois selon laquelle ce projet serait fragilisé par manque de soutien financier. Pouvez-vous nous confirmer ces rumeurs ? Le cas échéant, quelles précisions pouvez-vous apporter, et des moyens seront-ils accordés pour soutenir cette structure qui, à ce jour, reste associative ?
M. Claude de Ganay. Le 5 février dernier, lors d’une rencontre avec l’association des journalistes de défense, vous avez déclaré en parlant du Sahel : « Si l’on regarde le nombre d’attaques, on ne peut pas parler de dégradation sécuritaire. Il y a un bruit de fond de harcèlement, mais qui existe depuis la fin de Serval et qui continue. » Vous avez même ajouté : « La situation n’est pas satisfaisante, mais elle est contrôlée. »
J’avoue que ces propos m’ont un peu surpris : le Mali est virtuellement coupé en deux par l’insurrection des Peuls, au centre du pays, qui déborde au Burkina Faso, tandis que Groupe pour le soutien de l’islam et des musulmans – GSIM ou Jamaat Nosrat al-Islam wal-Mouslimin (JNIM) – d’Iyad ag-Ghali continue de harceler les forces internationales dans le nord, et que les forces armées maliennes ne sont toujours pas en mesure de contrôler seules leur territoire. Pourriez-vous expliciter vos propos du mois de février ?
M. Olivier Becht. Mon général, vous avez insisté sur l’importance des puissances de calcul à la fois pour le traitement des données, mais également pour la cryptologie. Que pensez-vous des efforts d’investissement de la France dans le quantique, que ce soit en faveur des calculateurs ou des ordinateurs quantiques ?
Vous avez également insisté sur notre dépendance et notre fragilité par rapport au réseau satellitaire. Que pensez-vous des moyens de résilience, y compris humains, dans l’hypothèse d’une neutralisation de ces outils ?
M. Philippe Michel-Kleisbauer. Vous avez évoqué vos difficultés pour recruter des personnels pour certaines missions, et l’impossibilité de recourir à des non-militaires. Ce problème est-il insurmontable ? Des civils, qui pourraient être formés, sont peut-être prêts à exercer ces missions. Ne pourrions-nous pas imaginer ensemble le cadre législatif dont vous auriez besoin pour cela ?
Mme Nicole Trisse. Quel est le pourcentage de femmes dans vos effectifs, et dans quels domaines sont-elles employées plus particulièrement ? Si vous me répondez « secrétariat et café », ça ne va pas le faire ! (Sourires.)
M. le président. Madame Trisse, vous n’avez pas vraiment le droit de faire aussi les réponses.
Mme Nicole Trisse. C’était seulement une menace, Monsieur le président…
Mme Françoise Dumas. Au regard de l’évolution des comportements des États-puissances, quelles sont plus précisément les compétences qui manquent encore à votre service ? Quelles sont les marges de progression en termes de coordination de l’ensemble de vos services ?
J’ai pu me rendre à Gao, sur un théâtre d’opérations, et j’ai pu mesurer combien, au-delà de la disponibilité de vos personnels, chaque activité était susceptible d’apporter du contenu à exploiter – je pense en particulier à l’aide médicale aux populations.
Général Jean-François Ferlet. Je ne veux pas esquiver la question relative aux contraintes normatives en matière de cyber offensif et défensif, mais, en clair, ce n’est pas dans mon domaine de responsabilité. La DRM ne fait que du renseignement dans ces espaces. La lutte informatique est dévolue à d’autres organismes – notamment au Commandement de cyberdéfense (COMCYBER). Pour ce qui nous concerne, nous ne faisons que capter du renseignement dans l’espace cyber : pour nous, il s’agit d’un média comme un autre.
Je ne fais que du renseignement d’intérêt militaire en appui des opérations : je m’intéresse aux médias utilisés par Daech ou par Al-Qaïda. Évidemment, parfois, nous récoltons une information qui peut intéresser la DGSI, et nous la lui transmettons. Ni la lutte offensive ni la lutte défensive ne sont dans le périmètre de la DRM.
Le développement de la biométrie demande en effet de former les personnels. Nous ne partons pas de zéro car nous sommes déjà autorisés à effectuer des relevés sur des personnes capturées ou des employés locaux. De plus, nous coopérons avec l’Institut de recherche criminelle de la gendarmerie nationale (IRCGN) dont les compétences et le savoir-faire en la matière sont reconnus et nous travaillons avec eux pour bénéficier de leur expérience dans le traitement des données. Il n’y aura pas de connexion des bases de données, car nous disposons des nôtres sur BIOPEX dont le périmètre de recueil est limité aux opérations extérieures.
Intelligence campus n’est, à l’heure actuelle, qu’un concept. Nous avons signé certaines conventions relatives aux piliers « formation » et « recherche » avec des organismes du monde académique et de la recherche. Je ne pense pas que le problème réside aujourd’hui dans un manque de soutien financier : les freins à l’innovation ne sont pas de cette nature. Ils sont plutôt liés au code des marchés publics et à la question de l’accès à nos bases de données, qui sont très sensibles – du point de vue de la sécurité des systèmes d’information (SSI), on ne pourrait pas permettre d’y accéder. Dans un premier temps, le principal intérêt d’intelligence campus est, à mes yeux, d’aider à identifier très concrètement les freins. Par la suite, il se peut que nous ayons à vous solliciter pour des évolutions sur certains points. Il ne faut pas se fixer comme critère le risque zéro, car il n’existe pas, mais plutôt un risque maîtrisé. On doit se demander quels risques on court, quelles sont les conséquences si ça se passe mal et, en contrepoint, quels gains on attend. Nous le faisons en permanence dans le cadre de nos opérations, mais ce n’est pas l’approche qui prévaut en matière de SSI ou sur le plan réglementaire : on a au contraire une approche reposant sur le risque zéro, ce qui conduit à se fixer des interdits.
Mes propos sur le Sahel m’ont valu beaucoup de coups de fil… J’ai passé un an dans cette région, et je sais parfaitement quelle était la situation sécuritaire entre 2014 et 2015. Les djihadistes nous harcèlent, mais cela s’inscrit dans la continuité. Si l’on regarde le nombre d’attaques sur trois ans, mois par mois, quel qu’en soit le type – attaques directes ou indirectes, usage de mortiers ou des Vehicle Borne Improvised Explosive Devices (VBIED), embuscades… –, le bruit de fond est le même. Ce n’est pas une situation satisfaisante, et je ne conseillerais à personne d’aller faire du trekking à Tessalit, mais on ne peut pas parler de dégradation sécuritaire, objectivement.
Certains éléments nous font penser, néanmoins, que la tendance n’est pas bonne. Si le nombre d’incidents sécuritaires n’augmente pas, nous constatons néanmoins un déplacement vers le Sud, dans une région beaucoup plus peuplée, notamment par les Peuls, où le potentiel de déstabilisation est plus important que celui causé par quelques Touaregs djihadistes en plein désert. La population peule n’a pas des revendications spécifiquement djihadistes : elle est davantage traversée par un sentiment de frustration ou par l’impression d’être maltraitée par le pouvoir central, à Bamako : s’il peut y avoir des ralliements à des groupes djihadistes, c’est plutôt par dépit ou pour d’autres motivations qui ne sont pas fondamentalement djihadistes.
Nous avons toujours dit que la menace sécuritaire, compte tenu de son niveau, serait à la portée de nos partenaires si l’on arrivait à les faire monter en puissance. Dans l’ensemble du Sahel, qui représente quand même neuf fois la superficie de la France, le noyau dur est compris entre 450 et 500 djihadistes – auxquels il faut ajouter des intermittents, si je puis dire, qui peuvent poser une mine contre un billet. C’est à la portée des forces locales, à condition qu’elles s’organisent en conséquence et qu’il y ait une volonté de travailler ensemble.
Si votre question était de savoir si l’on se trouverait dans une situation difficile en cas de perte de tous nos satellites, la réponse est évidemment « oui ». Les satellites sont vulnérables par nature : il est plus facile de les attaquer que de les défendre, car on ne va pas les blinder – sinon, le coût serait considérable, la mise en orbite se payant au poids. Un des moyens de contournement auxquels nous réfléchissons, comme les Américains, consiste à envoyer des essaims de satellites, beaucoup plus petits et orbitant plus bas, au lieu d’utiliser seulement deux ou trois satellites de taille plus importante pour assurer la même couverture. On obtiendrait un résultat plus résilient car l’ensemble serait plus difficile à neutraliser. Rencontrons-nous des difficultés pour recruter des civils en raison de la législation actuelle ? Nous n’avons pas suffisamment exploré toutes les possibilités existantes, comme le recours à la sous-traitance ou à des vacataires. Je dispose déjà de russophones, par exemple, au sein de la DRM et de la FIR, mais je peux avoir un besoin ponctuel pour une étude particulière, nécessitant une analyse très importante de documents et de données : dans ce cas, je ne vais pas demander un ETP supplémentaire pour embaucher quelqu’un. Nous pourrions notamment pré-identifier – et pré-habiliter – des contractuels auxquels nous serions susceptibles d’avoir recours pour des missions ponctuelles, dans le cadre de missions d’intérim. C’est une des pistes pour compléter notre boîte à outils. Je l’ai dit : j’ai lancé en interne un chantier relatif aux ressources humaines et je souhaite que l’on fasse preuve d’audace et d’innovation.
Nous comptons 27 % de femmes dans nos rangs, ce qui est largement au-dessus de la moyenne dans les armées. Dans l’armée de l’air, dont je suis issu, le taux s’élève à 22 %, ce qui est déjà assez élevé. Les raisons sont assez simples. Il y a d’abord la question des aspirations : les femmes sont plus facilement intéressées par nos métiers que par d’autres, un peu plus rudes, dans les armées. Par ailleurs, les capacités physiques ne nous intéressent pas dans le monde du renseignement, ce qui permet une parfaite égalité des chances. Quand nous recrutons, nous regardons seulement les compétences, sans nous préoccuper du sexe des candidats.
Il y a beaucoup de femmes chez nous, mais elles sont réparties assez inégalement : elles sont nombreuses, par exemple, parmi les analystes. C’est une question d’appétence : pour les postes de sous-officiers spécialisés dans des domaines très techniques, que j’ai évoqués tout à l’heure, j’ai moins de femmes candidates, car cela les intéresse moins. En revanche, la chef de projet d’intelligence campus est une ingénieure générale de l’armement, et une femme est aussi à la tête du CRAC, le centre cyber qui est en pleine expansion. À partir du moment où les capacités physiques n’ont pas d’importance dans mon service, il n’y a pas de sujet. Au sein de la FIR, on ne trouvera pas beaucoup de femmes, par exemple, au sein du 13e régiment de dragons parachutistes (RDP), qui est spécialisé dans la recherche en profondeur : les missions y sont très physiques.
J’ai parlé tout à l’heure des compétences : nous devons réaliser des efforts en ce qui concerne les nouveaux métiers, comme les data scientists, et en particulier les géomaticiens. Ces derniers sont capables de modéliser des données géographiques en les croisant avec d’autres éléments afin de produire de la Geo-Int, ou geospatial intelligence. En combinant des données hétérogènes, mais toutes géoréférencées, on obtient de nouveaux produits qui sont très appréciés : nous avons désormais des cartes interactives sur lesquelles on peut cliquer, et qui ont été élaborées directement à partir des bases de données. On entre dans une autre dimension, qui nécessite de nouvelles compétences. Nous manquons d’experts pour l’exploitation des données, et il faut donc monter en puissance.
Quelles sont les marges de progrès pour la coopération interservices ? Elles existent toujours, mais il y a une vraie dynamique dans ce domaine. Quand nous fournissons des éléments à la DGSE, je n’ai pas à le valider : les échanges ont lieu tous les jours au niveau des traitants ou des cellules interservices créées sur des sujets particuliers. On est très loin d’éventuels blocages ou jeux d’intérêt au niveau supérieur : les connexions se font par le bas, de manière quotidienne.
Quant à l’importance des capteurs, je rappelle que le renseignement est élaboré à partir de différentes sources. Le renseignement humain est essentiel, et la technologie ne doit pas nous le faire oublier. Le contact avec les populations locales, par des actions de soutien sanitaire et médical, y participe : les gens nous parlent quand ils sont en confiance. Tout cela contribue à une meilleure connaissance et à une meilleure appréciation de la situation sur le terrain, ce qui est très important.
M. le président. Nous passons à une dernière série de questions, en commençant par M. Olivier Gaillard, rapporteur pour avis de la commission des Finances sur la LPM.
M. Olivier Gaillard. Une nouvelle course à l’armement se joue, celle de l’intelligence artificielle, dont vous avez largement fait état. Il faut sans doute se préparer à la robotisation du renseignement. Dans ce domaine, la LPM pose-t-elle vraiment les jalons nécessaires ?
Mme Laurence Trastour-Isnart. J’aimerais savoir combien de temps prend la formation des personnels que vous avez recrutés et comment vous faites ensuite pour les fidéliser.
M. Christophe Lejeune. Vous avez évoqué votre contribution à la dissuasion nucléaire. S’agissant de pays étrangers, votre mission consiste-t-elle, notamment, à évaluer le niveau de compétence atteint, la crédibilité de la menace et les évolutions technologiques ?
Mme Sereine Mauborgne. J’ai une question d’ordre pratique, mais qui pose aussi un certain nombre de problèmes sur le plan juridique : en ce qui concerne la collecte de renseignements, en particulier biométriques, dans la bande sahélo-saharienne, quelle est l’articulation avec la protection de notre territoire ? Il faut éviter que certains individus pénètrent sur notre sol.
M. Thibault Bazin. Parmi les freins à l’innovation, vous avez cité la protection du secret et une approche reposant sur le risque zéro. Afin de remplir vos missions, notamment de protection, auriez-vous besoin d’une évolution de la loi du 30 octobre 2017 ? Vous avez déclaré que ce n’était pas encore « mûr », mais ce serait peut-être le cas si l’on vous aidait.
M. Jean-Michel Jacques. Sur le plan technologique, vous avez parlé de « cycles courts » pour le matériel dont vous avez besoin. Créez-vous des laboratoires communs entre des PME et l’ensemble des services de renseignement français pour essayer de favoriser les liens et l’émergence de l’innovation ?
M. Philippe Chalumeau. Ma question porte sur intelligence campus. Vous avez évoqué la constitution de data centers : seront-ils répartis sur le territoire ou concentrés à Creil ?
Général Jean-François Ferlet. Je crois qu’il ne faut pas tout attendre de la LPM. La course à l’intelligence artificielle et l’acquisition de capacités en la matière ne sont pas uniquement une question de moyens financiers. C’est une affaire d’innovation : dans ce domaine qui évolue extrêmement vite, on doit donc penser autrement. Les processus habituels d’acquisition pour les programmes d’armement ne sont pas adaptés, car on ne va pas assez vite. L’idée est de faire autrement, d’où intelligence campus et le projet « Innovation Défense ». Une demande a été adressée à la DGA, et elle s’organise en conséquence. La nécessité de consentir des efforts est reconnue partout, y compris dans la Revue stratégique, et il faut maintenant avancer concrètement.
En réponse à la question relative aux freins, je pense que l’on n’a pas nécessairement besoin de légiférer sur tout ; ce sont parfois les mentalités qui doivent évoluer. Souvent, ceux qui nous contrôlent, ou nous donnent des avis, nous signalent un risque et nous recommandent de ne pas le prendre. Certains sont payés, au contraire, pour décider et pour prendre des risques, après les avoir évalués et en les maîtrisant. Pour ma part, je suis prêt à prendre des risques dans ce cadre. Je l’ai dit, le risque zéro n’existe pas.
La création de laboratoires communs correspond tout à fait au concept qui est à la base d’intelligence campus. La DGSE et la DRSD y seront associées : ce n’est pas seulement un outil développé par la DRM pour elle-même, mais pour la communauté du renseignement, au sens large du terme, c’est-à-dire au-delà du ministère des Armées. Dans un premier temps, le projet est porté par ce ministère, car il faut bien que quelqu’un le fasse. Si l’on se place tout de suite dans un cadre interministériel, on n’avancera pas, car plus on est nombreux autour de la table, moins on y arrive. C’est pourquoi le projet commence avec la DRM et ses partenaires au sein des services de renseignement du ministère des Armées. Nous ferons, bien sûr, bénéficier les autres services des résultats, mais nous ne voulons pas, pour l’instant, qu’ils donnent un avis sur ce que nous faisons ou sur la manière de procéder. À terme, il serait opportun que ce genre d’outils existe au niveau interministériel, mais nous n’avons pas intérêt à ce que ce soit le cas au démarrage.
Que faisons-nous en matière de recrutement, de formation et de fidélisation ? Nous ne rencontrons pas de problème de recrutement, car nous sommes assez attractifs, même si nous avons des concurrents en interne, au sein des services de renseignement : certains savent mieux rémunérer leurs agents que nous. Ils versent notamment des primes dites de « confidentialité » – comme si la DRM n’avait pas, elle aussi, des contraintes en la matière. C’est une des questions sur lesquelles nous travaillons dans le cadre du CNR-LT : nous regardons comment améliorer la mobilité interservices dont je parlais tout à l’heure, en revoyant un peu tous les statuts pour essayer d’arriver à un équilibre en matière d’attractivité. Cela contribuera aussi à une meilleure coopération interservices. En ce qui concerne la fidélisation, nous nous efforçons de travailler sur les difficultés que j’ai évoquées tout à l’heure. Notre vrai point fort réside dans l’intérêt du travail et dans les profils de carrière que nous pouvons proposer. Un spécialiste de la SSI ou des réseaux peut aller travailler dans une banque, mais ce sera toujours moins intéressant que chez nous.
Quelle est la contribution de la DRM à la contre-prolifération ? Tous les aspects que vous avez cités font partie de nos missions, lesquelles sont exercées en lien avec la DGSE. Dans le domaine de la prolifération nucléaire, par exemple, la capacité d’un pays dépend du développement de l’arme elle-même, mais aussi de sa miniaturisation – elle doit être suffisante pour que la charge entre dans un vecteur, en général un missile balistique. On doit donc suivre non seulement les programmes nucléaires, en particulier la capacité à produire la matière fissile, comme le plutonium, mais aussi les programmes balistiques, en s’intéressant à la portée et à la fiabilité des vecteurs. Il faut maîtriser toute une chaîne de savoir-faire pour obtenir une capacité nucléaire opérationnelle, et chacun de ces savoir-faire particuliers entre dans le cadre de la lutte contre la prolifération et le transfert de technologies. Un autre pan de notre travail est le soutien à notre propre dissuasion. Sa crédibilité dépend de la performance de notre armement, mais aussi des défenses. Il faut que nos armes arrivent à destination sans être détruites en cours de route. Nous comparons les évolutions avec les capacités de pénétration de nos propres missiles balistiques et de notre vecteur aérien, afin de déterminer si notre dissuasion est crédible et si la future génération le restera.
Quelle est l’articulation entre BIOPEX et les fichiers nationaux ? Je l’ai dit : il n’y a pas d’interconnexion, pour des raisons légales. À l’heure actuelle, si la DGSE ou la DRSD, par exemple, nous interrogent, nous leur répondons instantanément. S’il n’existe pas d’interconnexion physique, il y a en revanche un échange de renseignement fluide, en réponse à des requêtes.
M. le président. Merci, Mon général, pour toutes ces précisions.
M. Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information (jeudi 8 mars 2018)
M. le président Jean-Jacques Bridey. Mes chers collègues, nous sommes réunis pour entendre, pour la première fois, M. Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), sur le projet de loi de programmation militaire. Je lui souhaite la bienvenue.
M. Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information. J’ouvrirai mon propos par une mise en perspective des questions de cybersécurité qui intéressent l’ANSSI à temps plein afin d’exposer les menaces que nous devons combattre, ainsi que les choix d’organisation faits par la France depuis quelques années, qui diffèrent de manière assez significative de ce que font nos grands alliés.
J’en viendrai ensuite à l’article 19 de la loi de programmation militaire (LPM), qui va nous permettre, je l’espère, de compléter notre arsenal afin de faire face à ces nouvelles menaces.
Notre sujet est la cybersécurité, c’est-à-dire tout ce qui a trait à la sécurité des systèmes numériques. Même s’il n’y a pas de petites victimes, l’idée est que nous regardons les choses par le haut car le rôle de l’ANSSI est de traiter tout ce qui peut toucher aux questions de sécurité nationale et d’intérêts de la Nation.
Le domaine du numérique peut sembler très éthéré, mais les menaces sont malheureusement très concrètes. Celles qui sont liées à la criminalité ne nous intéressent pas au premier chef même si elles peuvent être liées à nos préoccupations. De fait, l’attaque informatique est un véritable paradis pour les mafieux, les criminels qui veulent pouvoir gagner beaucoup d’argent, escroquer beaucoup de gens, et toucher beaucoup de victimes sans, la plupart du temps, prendre le moindre risque.
Plus grave : nous sommes confrontés depuis maintenant plus de dix ans à des campagnes d’espionnage absolument catastrophiques. La grande difficulté tient au fait que l’attaquant fait tout pour rester discret. En outre, les victimes d’espionnage n’ont pas envie d’en parler, ce que je comprends très bien, et ceux qui les aident, c’est-à-dire très souvent l’ANSSI, protègent leur identité et gardent le secret afin de ne pas ajouter du malheur au malheur.
L’ANSSI traite chaque année une vingtaine de cas d’espionnage grave, ce qui signifie que ce sont des intérêts liés à la sécurité et à la défense nationale qui sont touchés. Cela peut se produire au sein d’un ministère ou, plus souvent, au sein d’entités privées, d’industries : historiquement, les industries d’armement ont été très ciblées par des campagnes d’espionnage et des informations ont ainsi été perdues – pas pour tout le monde ! –, ce qui n’aurait pas dû se produire.
Ce n’est pas parce qu’on n’en parle pas dans les médias que l’espionnage n’existe pas. On en parle parfois lorsque cela devient concret, par exemple la semaine dernière, lorsque, en Allemagne, des attaquants, probablement russes mais nous n’en avons pas la preuve formelle, s’en seraient pris au ministère de la Défense et au ministère des Affaires étrangères.
Cela ne nous surprend pas outre mesure puisque nous détectons ces attaquants alors qu’ils sont en train de chercher à entrer au sein des mêmes ministères en France ainsi que dans probablement tous les pays occidentaux. L’espionnage est donc une véritable menace, mais il n’est pas la pire, si j’établis une gradation dans l’horreur. Le risque le plus important que traite l’ANSSI et, plus généralement, les services de l’État, c’est celui de sabotage, de conflits quasi armés appelés à se développer dans le futur, parce que le numérique constitue le substrat. C’est dans le cyberespace, pour reprendre un terme de journaliste, que se déroulera une bonne partie de ces affrontements.
Le risque n’est ainsi plus uniquement le vol d’informations, qui peut sembler assez éthéré, mais bien l’atteinte physique grave portée à des systèmes, voire leur destruction. Cela peut concerner tout ce qui est industriel, tous les opérateurs dits « d’importance vitale » (OIV) : grands acteurs de l’énergie, des transports, des télécommunications, de l’armement, de l’industrie lourde et d’autres secteurs, tout aussi sensibles pour le fonctionnement de la Nation.
J’insiste sur le fait qu’il ne s’agit pas que d’espionnage, mais bien de destruction. Par les moyens numériques, donc en attaquant depuis le bout du monde, l’agresseur qui prend par exemple le contrôle d’une raffinerie est tout à fait capable de produire des catastrophes, notamment la destruction de systèmes par le biais de l’informatique. De même, dans le domaine du transport, on peut tout à fait imaginer – je ne prétends pas que c’est réalisable, mais cette éventualité doit être prise en compte – le scénario d’un attaquant se rendant maître du système de contrôle de trains ou d’avions, provoquant par là de véritables catastrophes.
Sans chercher à dramatiser, il faut constamment garder à l’esprit que c’est à cela que l’on doit faire face et c’est précisément pour ce faire, que la France a choisi de s’organiser. En la matière, le Livre blanc sur la défense et la sécurité nationale a été une sorte de déclencheur en 2008, soit l’année qui a suivi une attaque majeure contre l’Estonie où, pendant plusieurs semaines – on l’oublie, car le temps passe vite – les transports, le système de santé et le système bancaire ont été paralysés. Les Estoniens ayant eu le malheur non pas d’enlever mais simplement de déplacer la statue érigée à la gloire du soldat russe , cela a provoqué la colère de personnes que le Kremlin avait à l’époque qualifiées de patriotes russes, qui ont mené des attaques informatiques majeures. Or, l’Estonie est le pays le plus numérisé au monde, ce qui constitue une force, mais aussi peut aussi être une sorte de talon d’Achille dès lors que la sécurité numérique associée à ce développement n’est pas assurée.
Le livre blanc de 2008 présente deux éléments essentiels pour la cybersécurité. Le premier, qui ne concerne pas l’ANSSI, est le développement d’une capacité informatique offensive, qui est ainsi assumée. Le second élément a précisément été la création de l’ANSSI, autorité nationale chargée des questions de cybersécurité et uniquement consacrée à la défense, à la protection et à l’aide aux victimes, ainsi qu’à la détection des attaques, mais qui ne fait pas elle-même de renseignement ni d’attaque.
Ce qui peut vous paraître une évidence ne l’est en fait pas puisque nos grands alliés anglo-saxons font exactement l’inverse en confiant la cybersécurité, au sens auquel je l’entends à l’ANSSI, aux services de renseignement technique. Ainsi, mon homologue américain est la National Security Agency (NSA), et mon homologue britannique, le Government Communications Headquarters (GCHQ).
Ce choix d’un modèle totalement différent regroupant l’attaque et la défense au même endroit, afin de créer une forme de synergie, est toutefois à l’origine de nombre de problèmes tenant à la complexité de missions qui entrent parfois en contradiction. C’est un peu comme si, en France, on avait confié le travail de l’ANSSI à la Direction technique de la direction générale de la sécurité extérieure (DGSE), ce qui présenterait des avantages, mais aussi beaucoup d’inconvénients, notamment au regard de la confiance vis-à-vis des victimes que nous aidons régulièrement.
Quelques chiffres. L’ANSSI emploie aujourd’hui 550, contre 80 en 2009, lors de sa création. C’est une croissance colossale. Elle est composée à 95 % d’experts techniques de très haut niveau, dont 80 % sont des contractuels civils : tel est le profil d’un service du Premier ministre quelque peu atypique.
Nous développons de nombreuses méthodes de prévention, nous faisons du conseil et, grâce aux dispositions de la précédente LPM, nous sommes en mesure d’imposer la cybersécurité aux opérateurs d’importance vitale. Par ailleurs, la transposition de la directive européenne NIS (Network and Information Security), qui reprend cette idée, nous permet « d’imposer » – j’emploie des guillemets parce que tout cela est très coopératif – des mesures de cybersécurité à beaucoup plus d’acteurs qu’auparavant, notamment privés.
Notre première mission porte donc sur la prévention, le conseil, la formation et la réglementation au sens large.
Notre deuxième mission c’est la détection, mais il n’est pas possible de construire des systèmes parfaitement sécurisés, même si c’est ce vers quoi nous tendons dans des cas exceptionnels comme la dissuasion nucléaire, pour laquelle aucun risque n’est concevable. Mais, dans la plupart des cas, il est quasiment impossible de garantir une sécurité à 100 % ; ceux qui affirment le contraire sont des menteurs.
Nous faisons de la sécurité, de la protection et nous concevons des systèmes de bonne tenue. Nous complétons le risque résiduel par la détection des attaques qui ont tenté de passer en dépit des protections prises.
L’ANSSI développe, opère, déploie des systèmes de détection d’attaque – des « sondes » dans notre jargon technique –, au profit de l’ensemble des ministères et, très bientôt, de l’Assemblée nationale. Il a en effet été décidé, et je salue cette résolution importante et courageuse, de passer par le système de détection de l’ANSSI pour vous protéger et être capable de détecter au plus tôt des attaquants qui chercheraient à prendre le contrôle de vos ordinateurs, de vos systèmes d’information, qui voudraient connaître vos courriels et vos informations numériques.
Cela ne relève nullement de la fiction : pas plus tard que l’an dernier, nous avons arrêté des attaques qui visaient l’Assemblée nationale. On se souvient, par ailleurs, de l’attaque menée contre le Bundestag en 2015 par le même attaquant que celui qui s’en était pris à TV5, qui s’en est pris ensuite au Comité national démocrate lors de la campagne des élections américaines. Dans le jargon, nous appelons cet attaquant APT28 que les sources ouvertes – que je me borne à citer – identifient comme un important service russe de renseignement. Nous avons donc conscience qu’une menace pèse sur les parlementaires et, pour continuer à vous faire peur, vos collègues britanniques ont aussi été attaqués l’an dernier de manière assez massive ; il est donc important d’être capable de détecter ces attaques pour vous protéger.
Notre troisième mission, la réaction, réside dans l’aide apportée aux victimes : avec des équipes de pointe, nous sommes capables – que ce manque de modestie me soit pardonné – de secourir les victimes les plus sensibles en cas d’attaque avérée, ce qui signifie les protéger très rapidement, dans les premières heures, pour ensuite les aider à reconstruire, ce qui est primordial. Nous nous livrons par ailleurs, au profit des autorités, a un travail de développement et d’opérations portant sur les systèmes de communication sécurisés : tous les systèmes interministériels traitant d’informations classifées, qu’il s’agisse des réseaux informatiques, des téléphones ou des éléments visuels, sont développés et opérés par l’ANSSI.
Il faut savoir rester très modeste dans le domaine de la cybersécurité : nous ne faisons pas de la sécurité absolue, nous courrons plutôt après les attaquants, qui sont très agiles et disposent de moyens considérables. Aujourd’hui – et cela m’amène à parler de l’article 19 du projet de LPM – nous souffrons probablement d’une certaine faiblesse dans la détection d’attaques, mais nous savons le faire pour la sphère étatique et nous savons imposer l’installation de systèmes de détection aux opérateurs privés les plus critiques et d’importance vitale.
Nous qualifions des offres privées de détection : lorsque les prestataires de détection d’incidents de sécurité comme Thales, Airbus ou d’autres développent des systèmes de détection, ils sont évalués et qualifiés par l’ANSSI au nom du Premier ministre. Les attaquants passent par les réseaux informatiques, ils compromettent des ordinateurs, rebondissent de serveurs en serveur sans être repérés parce qu’il n’existe pas de mécanisme de détection. Or, la détection est absolument essentielle : la plupart du temps on ne sait même pas que l’on est attaqué ou on le constate trop tard, à cause des dégâts, lorsqu’il s’agit de destruction ou de sabotage, comme dans le cas de TV5.
Le texte qui vous est proposé présente deux évolutions majeures bien distinctes.
La première consiste à instaurer un système de détection globale à grosses mailles en recourant à des acteurs qui ne sont pas utilisés alors qu’ils sont essentiels dans ce monde numérique : les opérateurs de communications électroniques. Ces opérateurs transportent, malgré eux, les attaques depuis les agresseurs vers les victimes ! En effet, les attaques circulent, depuis les attaquants vers les victimes, à l’intérieur du flux de données numériques, en passant par un nombre considérable d’intermédiaires.
Aujourd’hui, les opérateurs français ne font pas de détection d’attaques : l’idée de cette première proposition est de permettre – obliger n’aurait pas de sens – ces opérateurs, sur la base d’éléments dont ils disposent ou d’éléments techniques que l’ANSSI pourrait leur fournir, à détecter des attaques informatiques. C’est dans ce contexte que notre modèle, qui sépare clairement l’attaque et la défense me semble très pertinent pour chercher simplement à découvrir s’il y a quelque chose de malveillant.
Il est difficile de donner une image représentative de notre activité de détection des attaques informatiques, car il s’agit d’un métier très technique et très particulier, mais on pourrait prendre l’exemple des scanners des aéroports : si vous avez un livre dans votre bagage, la personne derrière l’écran ne le lit pas et ignore même son titre. En revanche, s’il y a des explosifs ou une arme, le système fait apparaître en rouge une forme suspecte.
L’objet de cette analogie, que nous avions choisie lors de la présentation devant le Conseil d’État, est d’expliquer ce que recouvrent cette notion de détection et celle de marqueur technique – la forme du pistolet dans l’exemple du scanner. En fait ce que nous voulons faire c’est en quelque sorte scanner les bagages, mais en étant beaucoup moins intrusifs.
Prenons un autre exemple : si l’on veut savoir, parmi les voitures qui passent, quelles sont celles qui polluent, on ne cherche pas pour autant à savoir à qui appartient le véhicule, on ne lit même pas sa plaque minéralogique, mais on essaie de détecter des événements anormaux, de manière à pouvoir déclencher une vérification – ce que nous appelons une qualification des attaques.
Il s’agit donc de permettre aux opérateurs de faire de telles détections, de permettre à l’ANSSI de donner aux opérateurs des éléments techniques afin de savoir repérer certains attaquants en commençant par les plus actifs, ceux qui nous inquiètent le plus en ce moment. Une partie du travail de l’Agence consiste à établir des marqueurs permettant de détecter des attaquants, qu’il s’agisse d’adresses IP ou internet suspectes, de noms de sites web connus pour être piégés… Bref, il existe de nombreux types de marqueurs différents qu’il serait vain de vouloir les énumérer dans un texte de loi.
Lorsque l’opérateur détecte quelque chose, il faut qu’il puisse nous indiquer vers quelle cible le marqueur que nous lui avons donné est positif, ce qui pourrait indiquer qu’une attaque est tentée. Dès lors, deux possibilités se présentent.
Si l’attaqué est une administration, un opérateur d’importance vitale, cela entre dans le champ d’action de l’ANSSI qui peut demander des éléments complémentaires et aller aider la victime le plus vite possible.
Si les victimes ne relèvent pas du champ d’action de l’ANSSI, qui n’a alors pas les moyens de traiter l’attaque de manière personnalisée, la loi prévoit que l’on puisse demander à l’opérateur de communications électroniques de prévenir les victimes, au moins pour qu’elles sachent qu’elles sont attaquées, ce qui n’est pas évident car, j’insiste sur ce point, cela est très peu visible.
L’autre partie du texte traite un champ totalement différent : nous sommes régulièrement alertés, presque toujours par des partenaires étrangers qui nous signalent, à tel endroit, derrière telle adresse IP d’un ordinateur donné, qu’un agresseur a pris pied, s’est installé et se sert de cette machine pour conduire des attaques.
Comment nos interlocuteurs obtiennent-ils ces informations ? Il arrive que je préfère ne pas savoir parce qu’il s’agit parfois de très grands services de renseignements. Le plus souvent, ce sont des partenaires étrangers qui sont en train de surveiller un serveur qui a été compromis par un attaquant, et qui est en train d’attaquer une autre machine ; c’est ainsi qu’une espèce de réseau se crée. Dès lors, François Deruty, chef du centre opérationnel de l’ANSSI, et son équipe n’ont qu’une envie : aller voir sur cette machine s’il y a réellement un attaquant, et, le cas échéant, ce qu’il est en train de faire.
Si ces machines se trouvent chez des particuliers ou dans des entreprises qui les possèdent, nous allons leur expliquer pourquoi nous souhaiterions y avoir accès. Certains cas sont très intéressants, parfois atypiques : on peut tomber sur des PME, des maisons de retraite, des restaurants, ou des administrations – ce qui nous facilite les choses.
Nous ne débranchons surtout pas l’ordinateur concerné, car nous avons la chance d’être devant une machine sur laquelle l’attaquant est actif et ne sait pas qu’il a été repéré ; nous l’observons « au microscope » afin de voir ce qu’il est en train de faire, qui il est en train d’attaquer, etc.
L’autre cas, en passe de devenir majoritaire, est celui dans lequel ces machines se trouvent chez des gens qui louent des machines, des hébergeurs comme OVH, leader français, mais il en existe beaucoup d’autres. Si nous disons à OVH que nous voulons vérifier ce qui se passe sur telle machine, on nous répond que l’on aimerait bien nous aider, mais que nous n’en avons pas le droit, ce qui est vrai. C’est pourquoi la prochaine LPM nous permettra de caractériser une menace potentielle, sur la base d’une alerte ou d’un renseignement, de manière à nous assurer que c’est bien telle machine qui est en cause.
Bien entendu, nous pourrions demander la permission au détenteur de la machine, à celui qui l’a louée de manière légitime, mais nous ne voulons pas le faire. En effet, dans le meilleur des cas nous tomberons sur une victime que tout cela dépasse complètement : la plupart du temps, ces serveurs sont loués par des particuliers, par des gens que l’on n’a pas envie de mêler à des affaires aussi compliquées. Surtout, le plus souvent, celui qui loue la machine est l’agresseur lui-même, par le biais de systèmes démarqués et de montages comme savent très bien le faire certains services. Or, la dernière personne que l’on a envie de prévenir d’un doute que nous nourrissons pour une machine, c’est évidemment l’attaquant lui-même, car il risque de disparaître instantanément : c’est notre quotidien.
Ce dont nous avons absolument besoin pour progresser dans le domaine de la détection et de la compréhension de ces menaces, c’est d’être capables d’aller voir ce qui se passe sur une machine utilisée par un attaquant.
Voilà donc pour ces deux thématiques très différentes, même si elles sont présentes au sein du même article : d’une part une détection au moyen d’un filet à grosses mailles, mais qui ne signifie pas interception, car les finalités sont totalement différentes, et d’autre part une vision beaucoup plus microscopique et très localisée.
La rédaction de ce texte, largement complétée par le Conseil d’État, vise à poser les garde-fous nécessaires pour éviter que ce dispositif puisse être dévoyé ; un contrôle exercé par l’Autorité de régulation des communications électroniques et des postes (ARCEP) est d’ailleurs prévu à cet effet.
Ces dispositions figurent à l’article 20 du projet de loi, qui habilite le Gouvernement à déterminer par ordonnance les modalités du contrôle des activités de l’ANSSI prévu par l’article 19 ; il pourrait être pertinent de proposer un amendement afin que le contenu de cette ordonnance soit gravé dans le marbre de la loi. L’idée est que l’ARCEP puisse être en mesure d’exercer ce contrôle, car elle est la seule à pouvoir vérifier qu’à aucun moment il n’y a d’accès ou d’exploitation de données qui ne sont pas concernées par le traitement des cyberattaques qui nous intéresse.
M. le président. Merci, Monsieur le directeur général, pour cet exposé très clair et très précis, qui a répondu par avance aux questions que certains voulaient poser.
M. Philippe Michel-Kleisbauer. La Revue stratégique de cyberdéfense mentionne les quatre coopérations mais, seule la coopération au sein de l’Union européenne est vraiment évoquée. Conduisons-nous de telles actions avec des pays non-membres de l’Union, ou qui en feront peut-être partie un jour, comme l’Ukraine ?
Nous savons que les Russes, en recourant à des moyens assez simples, ont tenté avec succès de créer une dissonance disruptive chez les soldats ukrainiens. Notre coopération s’étend-elle jusqu’à ces frontières où nous avons beaucoup à apprendre ?
M. Fabien Gouttefarde. L’article 19 de la LPM donne à l’ANSSI la capacité de poser des capteurs techniques, comme c’est le cas des opérateurs. Selon quels critères l’ANSSI prend-elle l’initiative de le faire ou de s’en remettre aux opérateurs ?
M. Stéphane Trompille. Vous avez indiqué avoir contraint certains acteurs privés, du secteur bancaire par exemple, à se conformer aux normes. Quelque chose est-il prévu pour les petites entreprises et les petites collectivités afin d’aller au-delà de la seule sensibilisation ? Car ces entités constituent autant de portes ouvertes aux cyberattaques.
M. Thibault Bazin. Les possibilités que vous attribuez aux opérateurs entraînent-elles des responsabilités ? Si un incident advenait, ne risquerait-on pas de voir les divers acteurs se rejeter la responsabilité, dès lors que l’on se situerait dans le registre des possibilités et non des obligations ?
Par ailleurs, une réforme des documents classés secret-défense est en cours, les critères de classement proviennent-ils de vous afin de pouvoir désigner les cibles, notamment au sein des entreprises traitant de sujets classés ? Cette classification vous permet-elle, le cas échéant, de vous tourner vers les opérateurs ?
M. Guillaume Poupard. La coopération est un sujet vaste et complexe. Nous coopérons de façon bilatérale dans les domaines les plus sensibles. Nous coopérons très bien avec deux grands acteurs. Nous sommes très proches de l’Allemagne en termes d’organisation et de manière de penser. La coopération s’exerce dans pratiquement tous les domaines avec ce pays, et notre homologue, le Bundesamt für Sicherheit in der Informationstechnik (BSI), qui se trouve au sein du ministère de l’Intérieur, bien que le travail relève de l’interministériel, envie le positionnement de l’ANSSI. L’autre grand partenaire est le Royaume-Uni, avec qui nous pratiquons une coopération opérationnelle de très haut niveau : c’est probablement notre premier partenaire opérationnel.
Pour être très direct, on ne peut pas faire abstraction de l’épisode Snowden, on ne peut pas faire abstraction de tout ce dont on se doutait et dont nous avons la preuve aujourd’hui : les services de renseignement font du renseignement, y compris sur des cibles qui peuvent être françaises, y compris étatiques. La coopération est donc est très fine : toute information que nous donnons ou que nous recevons est pesée de manière extrêmement délicate.
Nous travaillons également avec les Américains, même si cela est plus compliqué à cause d’un problème de taille bien connu.
À l’échelon européen, nous développons un réseau d’agences homologues de l’ANSSI, c’est à cela que la Revue stratégique de cyberdéfense fait allusion. Nous avons besoin d’un réseau à vingt-huit ou à vingt-sept pour échanger beaucoup plus que nous le faisons aujourd’hui, notamment sur le plan opérationnel.
Au-delà, nous avons des partenaires historiques privilégiés. Nous nous entendons très bien avec le Maroc, avec qui nous nous entraînons : ce pays est très sensible à notre manière de faire, notamment dans le domaine du règlement. Nous travaillons beaucoup avec Singapour, qui est une porte d’entrée classiquement plus facile vers l’Asie, et qui connaît également des problématiques qui nous intéressent particulièrement. En France on parle de Smart Cities (villes intelligentes), les Singapouriens de Smart Nation parce que la ville se confond avec la nation. Nous travaillons beaucoup avec eux à la protection des opérateurs locaux d’importance vitale et des infrastructures critiques.
Nous avons donc toute une galaxie de coopérations bilatérales et multilatérales, et toute une diplomatie – je ne parle pas encore de coopération – se met en place, y compris avec des pays comme la Chine. Nous avons besoin de parler cyber avec eux, mais nous le faisons via le Quai d’Orsay – chacun son métier –, notamment avec l’ambassadeur pour le numérique David Martinon. Nous parlerons dorénavant de plus en plus avec des partenaires un peu plus éloignés d’un point de vue idéologique.
Quant aux capteurs des opérateurs, le fait que la question soit traitée en un seul article peut créer un peu de confusion, mais il faut faire la distinction.
D’une part, les opérateurs vont développer leurs capteurs. Et avant même de le faire, ils vont simplement exploiter toutes les informations dont ils disposent déjà : pour gérer leurs réseaux d’opérateurs de communications électroniques, ils ont énormément d’informations. Ils s’interdisent d’y chercher des traces d’attaque, mais ils ont déjà ces informations. Il s’agit vraiment de big data et il faudra demain recourir à l’intelligence artificielle pour fouiller dans ces données tant elles sont hétérogènes et nombreuses.
D’autre part, les capteurs de l’ANSSI, objet du II de cet article 19, seront mis au plus près des machines identifiées. Contrairement à ce qu’ont dit certains médias, il est hors de question que l’ANSSI aille placer des capteurs dans les cœurs de réseau des opérateurs. Je n’ai aucune envie de le faire, ce serait très compliqué et très risqué, même en termes de responsabilité. Il est important que les opérateurs restent maîtres de leur cœur de réseau. Ce sont des systèmes d’une très grande complexité et je n’imagine pas des experts, même très bons, y mettre les mains. Je n’ai aucune envie d’être considéré responsable de défauts ou de problèmes qui seraient constatés.
Il s’agit donc de deux réalités très différentes, qui ne se confondent pas, mais qui peuvent se répondre. Si l’opérateur soupçonne ou détecte une attaque, il pourra identifier une adresse IP sur laquelle l’ANSSI ira poser une sonde – mais ce sera en général chez un hébergeur pas chez un opérateur de communications électroniques.
Quant aux acteurs privés, en effet, il y a des acteurs importants, les opérateurs d’importance vitale et, demain, à la suite des évolutions réglementaires, les opérateurs de services essentiels. Nous leur imposons, en quelque sorte, la cybersécurité. Nous leur imposons la coopération, nous leur fixons des règles, dont l’obligation de faire de la détection, nous leur imposons de nous dire quand ils sont attaqués. La France a été le premier pays au monde à développer une telle approche réglementaire, et nous pouvons en être fiers : ce n’était pas gagné, mais cela a fait tache d’huile. Toute l’Europe retient dorénavant une telle approche et d’autres pays, même les États-Unis, commencent à considérer que la question est trop grave pour que l’on s’en tienne au conseil.
Cette approche réglementaire n’a cependant de sens qu’à l’égard d’acteurs organisés qui disposent de moyens importants. Ce n’est pas pertinent avec des petites et moyennes entreprises (PME), des collectivités locales ou des particuliers. Je n’imagine pas que l’on impose demain la cybersécurité aux PME ; cela n’aurait aucun sens. Il faut aider les PME. Nous ne pouvons demander au patron de PME qui s’occupe de l’informatique de son entreprise lorsqu’il a une heure le dimanche soir de devenir expert en cybersécurité. En revanche, il est impératif que les solutions auxquelles il recourt soient nativement sécurisées. Le cloud computing est une source de menaces supplémentaires, mais si une PME ou une collectivité locale opte pour une solution sécurisée afin de se « débarrasser » de l’informatique, qui représente une charge pour elle car ce n’est pas son métier, elle paiera peut-être un peu plus pour un service sécurisé, mais il ne lui restera qu’à appliquer des règles élémentaires : faire attention à ses clés USB, à ses smartphones, etc. Nous en revenons donc à la sensibilisation, et à des comportements à la portée des personnes : ne pas faire n’importe quoi avec ses mots de passe, c’est simple. En revanche, leur demander de comprendre ce qu’est une attaque informatique et de la détecter quand elle arrive, n’a pas de sens. Nous travaillons beaucoup au développement d’offres sécurisées – il reste fort à faire ; nous soutenons le développement de certaines, notamment via le programme d’investissements d’avenir, mobilisé au moins à cinq reprises pour cela.
Nous travaillons avec certains industriels importants, qui sont conscients de la nécessité de sécuriser leur écosystème. Les attaquants attaquent où il est facile de le faire. Celui qui ne sait pas attaquer un opérateur d’importance vitale s’en prendra à ses sous-traitants – je ne prétends pas que les attaquants ne savent pas attaquer les opérateurs d’importance vitale, mais le jour où ils ne pourront plus du tout le faire, ils s’en prendront à toute la myriade de ses sous-traitants. Un industriel comme Airbus l’a très bien compris, qui est en train de promouvoir le développement de solutions sécurisées au profit de son écosystème. C’est une excellente démarche ; nous les y encourageons et les y aidons.
Quant à la responsabilité des opérateurs, je vous livre l’historique récent. Il y a un an les box de Deutsche Telekom ont été la cible d’une assez grave attaque. Les parlementaires allemands, qui l’ont convoqué, ont interrogé à juste titre le patron de Deutsche Telekom : comment était-ce possible, et qu’avait-il fait pour s’en prémunir ? Simplifions à peine : il a répondu qu’il n’avait rien fait car il n’en avait pas le droit. Le Parlement lui en a donc donné le droit, et la loi allemande, dont nous nous sommes inspirés, a un an d’avance sur nous. Elle n’impose pas aux opérateurs de faire de la détection – cela n’aurait pas de sens aujourd’hui – mais elle le leur permet. L’idée est d’exercer ainsi une sorte de pression pour que les opérateurs fassent ce travail de détection et pour que les clients eux-mêmes demandent aux opérateurs de le faire. Ce raisonnement m’a paru particulièrement malin, d’autant que cette démarche utile et habile permet d’éviter certains écueils, qui tiennent par exemple à la neutralité du net.
Évidemment, nous avons parlé de cela aux opérateurs : qu’en était-il de la faisabilité technique et de leur volonté ? Ils sont prudents, car cela coûtera un peu d’argent et fera peser sur eux, de fait, une forme de responsabilité. Ils ont cependant bien compris que le travail d’un opérateur de communications électroniques ne pouvait plus être simplement de veiller à ce qu’une attaque aille bien de l’attaquant à la cible – je caricature à peine. Ils ont envie de faire plus de sécurité ; certains ont au moins l’intuition du fait que l’opérateur du futur fera de la distribution sécurisée de données. Orange, dont l’activité de cyberdéfense est importante, l’a d’ailleurs clairement dit : à l’avenir, il s’agira en somme de distinguer entre ceux qui distribuent de l’eau potable et ceux qui distribuent de l’eau non potable. Les opérateurs devront fournir de l’eau potable à leurs clients.
M. le président. C’est presque un argument commercial !
M. Guillaume Poupard. Nos intérêts et ceux des opérateurs ne sont pas contradictoires. Ils peuvent y trouver un intérêt éthique et peut-être même, effectivement, un intérêt commercial.
Quant au secret de la défense nationale, le Secrétariat général de la défense et de la sécurité nationale (SGDSN) travaille depuis plusieurs années à une nouvelle version de l’instruction générale interministérielle n° 1300. C’est un bouleversement majeur de l’approche réglementaire de la protection du secret de la défense nationale. Jusqu’à présent, et encore aujourd’hui, on ne protège pas de l’information, on protège des documents – vous voyez à quel point cette approche est obsolète, même s’il existe encore des documents.
Le changement des dénominations est simplement un alignement avec nos partenaires, notamment l’Organisation du traité de l’Atlantique nord (OTAN). Par exemple, le « confidentiel défense » français est l’équivalent du « NATO secret ». Ces décalages posent, dans la pratique, des problèmes infinis, que nous allons régler en faisant un « secret » français du même niveau que le « secret » de l’OTAN. Au-delà, le cœur du travail sur cette nouvelle instruction générale interministérielle n° 1300, c’est de protéger l’information, notamment l’information numérique. Nous sommes intervenus aux côtés de nos collègues du SGDSN dans l’élaboration des règles de sécurité qui s’appliqueront aux différents niveaux de classification à la suite de cette nouvelle instruction générale interministérielle n° 1300. C’est une évolution majeure et, sans doute, le sens de l’histoire. De plus en plus, c’est bien de l’information que nous devrons classifier, non, comme aujourd’hui, des supports ou des documents.
Mme Françoise Dumas. Monsieur le directeur général, je vous interrogerai tout d’abord au nom d’Olivier Gaillard, rapporteur spécial des crédits de la mission « Défense » du budget, retenu dans l’hémicycle. Cette loi de programmation militaire témoigne d’une volonté forte d’investir dans la cybersécurité et la cyberdéfense et d’une coopération entre les opérateurs de télécommunications et l’ANSSI, mais disposez-vous d’une estimation des pertes économiques résultant des cyberattaques ?
Quant à moi, je souhaite vous interroger sur la prévention. Comment l’appréhendez-vous techniquement ? Quelles sont les marges de progression dans la sensibilisation des personnels des collectivités territoriales et des grandes entreprises ? Je suis persuadée qu’elles restent importantes, car tout le monde n’a pas encore conscience de notre vulnérabilité. Comment aller plus loin encore ?
M. M’jid El Guerrab. Qu’en est-il, Monsieur le directeur général, de ces crypto-monnaies – bitcoin, ether, litecoin – que nous avons vu émerger et de leur valorisation parfois folle ? Sont-elles susceptibles de déstabiliser nos économies ? Que se cache-t-il derrière ces échanges ? Et sommes-nous en mesure de les « tracer » pour nous assurer qu’ils ne financent pas le terrorisme et d’autres activités criminelles ?
M. Fabien Lainé. S’agissant de la sécurisation des infrastructures critiques françaises, nous comptons plus de 200 opérateurs d’importance vitale. Félicitons-nous des dispositions prises dans le cadre de la LPM de 2013 : nous étions quand même très en avance. J’imagine que ces OIV ne sont pas tous pareillement vulnérables. Pouvons-nous faire le point ?
Pouvez-vous aussi nous parler de la sonde souveraine Cybels Sensor de Thales ?
M. le président. Jean-François Eliaou est le rapporteur pour avis de la commission des lois sur la LPM.
M. Jean-François Eliaou. Je voudrais vous interroger sur la relation entre l’ANSSI et l’ARCEP. Le commentaire de l’ARCEP sur l’article 20 n’est pas forcément très favorable, quel est votre sentiment ?
Quant à l’article 19, sera-t-il un outil législatif suffisant ou bien n’offre-t-il pas une cible supplémentaire en entraînant une fragilité propice aux attaques ?
M. Guillaume Poupard. À propos des pertes économiques occasionnées par les cyberattaques, des chiffres circulent, qui donnent le vertige, mais je ne suis pas en mesure de les confirmer. On parle, au ministère de l’Intérieur, de « chiffre noir », car, effectivement, nous ne savons pas l’évaluer.
Ce qui est certain, c’est que les risques de perte sont incommensurables. Si, demain, des actes de terrorisme, des actes de guerre détruisent nos opérateurs d’importance vitale, bloquent nos systèmes de transport, nous coupent l’électricité, cela nous coûtera extrêmement cher. Techniquement, ce sont des possibilités qu’il ne faut pas exclure, le phénomène se développe même. De ce point de vue, les cyberattaques subies par l’Ukraine témoignent de l’étendue des dommages que peuvent causer les attaques informatiques. Tout y a déjà été testé. L’électricité a été coupée, les systèmes de transport ont été paralysés. Les attaques sont régulières et « éclaboussent » parfois d’autres victimes. Ainsi, l’activité de Saint-Gobain, qui avait un bout de réseau en Ukraine, a été bloquée pendant quinze jours. Nous les avons beaucoup aidés, cela s’est bien passé, et nous les connaissons maintenant bien, mais, pendant quinze jours, ils ne savaient plus où devait être livré ce qu’ils produisaient et ils ne pouvaient plus prendre de nouvelles commandes. Cela a eu un impact de 240 millions d’euros sur le chiffre d’affaires et de 80 millions – l’équivalent du budget de l’ANSSI – sur le résultat net. C’est là l’effet d’une attaque ayant paralysé quinze jours l’activité d’un opérateur qui n’est même pas d’importance vitale et n’a pas vocation à le devenir ! Malheureusement, les chiffres s’envolent très vite. Régulièrement, on me demande s’il ne suffirait pas d’un fonds, comme celui dédié aux catastrophes naturelles, pour faire face de telles attaques. Ce n’est pas possible, car nous ne sommes pas capables d’en fixer le montant, et, quand bien même nous le doterions d’un milliard, l’exemple de Saint-Gobain montre que les dégâts d’une attaque pourraient très vite atteindre un tel coût. Cela ne veut pas dire que l’approche assurantielle n’a pas de sens. Au contraire, nous y travaillons, en lien étroit, dans le cadre de la Revue stratégique de cyberdéfense, avec les acteurs concernés.
En matière de prévention, entre ce que nous imposons réglementairement et ce que certains font de manière volontaire, cela fonctionne très bien. La marge de progression n’en reste pas moins colossale ; je suis d’accord avec vous.
Le degré de sécurité des différents opérateurs, qu’ils soient publics ou privés, est très hétérogène. Évidemment, le problème présente une dimension technique. Il faut être en mesure d’intégrer de la sécurité dans les systèmes dès leur conception – by design, comme disent les industriels. Se posent cependant également des questions de gouvernance. J’en avertis les comités exécutifs des grandes entreprises : la cybersécurité est de leur responsabilité et de celle des conseils d’administration, non de celle d’un responsable de la sécurité des systèmes d’information perdu au fin fond de l’organigramme. La menace est telle et implique des arbitrages d’une importance telle que la question doit être examinée au plus haut niveau. Je tiens exactement le même discours aux administrations et aux ministères.
S’il est très difficile d’évaluer le coût de la cybersécurité, on estime aujourd’hui qu’il représente entre 5 % et 10 % du budget informatique d’une structure, il est donc considérable, puisque les budgets sont considérables. Ce n’en est pas moins accessible, le budget ne s’en trouve pas multiplié par dix. L’idée est que chacun puisse prendre les bons arbitrages en la matière.
Les crypto-monnaies n’entrent qu’à la marge dans notre champ de compétence. Nous en subissons les effets dans nombre d’actes cybercriminels car, oui, elles sont effectivement impossibles à « tracer » ou presque. Les cybercriminels ne s’y trompent pas, qui demandent aux victimes rançonnées de payer en bitcoins, ce qui les protège. Cela protège cependant aussi les victimes : un versement par carte bancaire à une mafia d’un pays de l’Est n’est pas une très bonne idée. Certains opérateurs sont sollicités par des clients qui leur demandent tout simplement comment ils peuvent payer une rançon en bitcoins. Je suis incapable de vous dire à quel point les crypto-monnaies peuvent déstabiliser l’économie – ce n’est pas mon métier, mais il est certain qu’elles entrent dans le paysage de la cybercriminalité, et il n’y a pas de raison que cela s’arrête.
Qu’en est-il de la vulnérabilité des opérateurs d’importance vitale ? La situation est très hétérogène. Certains sont très sérieux ; je pense à ceux qui s’occupent des centrales nucléaires, avec qui nous travaillons en lien étroit depuis des années – je ne suis pas inquiet. Il faut cependant considérer l’ensemble de la chaîne. À l’autre extrémité, il y a des compteurs intelligents qui sont autant de cibles potentielles. C’est l’ensemble de la chaîne qu’il faut protéger, pas uniquement les points les plus dangereux apparemment ni les plus symboliques.
Nous avons encore beaucoup de travail. Une approche réglementaire fait gagner beaucoup de temps et me paraît pertinente. L’extension de la démarche aux opérateurs de services essentiels, au-delà des 200 OIV, nous permettra également d’aller plus loin.
Avec la sonde souveraine de Thales – il en est d’autres –, nous revenons à la thématique de la détection. Nous imposons aux opérateurs d’importance vitale de faire de la détection, de recourir à des prestataires de détection. Évidemment, si c’est mal fait, ce sera une fragilité supplémentaire. Si certains grands acteurs et prestataires, que l’on qualifie au nom du Premier ministre, tels Thales, Airbus et Atos, se mettent à faire de la détection d’attaques pour de nombreux clients très sensibles, les attaquants s’en prendront demain non plus aux clients mais aux prestataires, car c’est là qu’ils pourront indirectement accéder aux informations qui les intéressent. Il est donc très important que le niveau de sécurité de ces prestataires soit extrêmement élevé. C’est l’intérêt de la qualification, et de la vie dure que nous leur menons – nous avons une très bonne relation avec eux, mais je sens bien que nous les fatiguons un peu. Il faut que la sonde elle-même, qui détectera les menaces, soit de confiance, et qu’un attaquant ne puisse en modifier le fonctionnement. C’est la raison pour laquelle nous avons besoin dans les cas les plus sensibles de sondes dites « souveraines », car nous ne pouvons exclure la possibilité que des sondes étrangères soient aveugles à une partie des menaces. Dans des cas moins sensibles, nous pouvons faire des compromis et recourir à d’autres sondes.
La relation que l’ANSSI et l’ARCEP entretiendront sera différente, effectivement, mais parlons tout de suite de l’avis de l’ARCEP. Il porte sur une version très primitive du texte – dont témoigne la mention d’articles 19 bis, 19 ter, etc. Le problème est donc qu’il s’agit d’un avis sur un texte qui n’est pas connu. Le texte actuel tient compte de nombre des remarques de l’ARCEP.
Nous continuons évidemment à parler avec eux, en bonne intelligence. L’idée est d’établir un contrôle efficace mais également raisonnable. Par exemple, nous ne voulons pas d’un contrôle a priori. Il faut un contrôle efficace, global, qui permette d’éviter des dérives et de nous arrêter si nous allons trop loin – c’est normal. Aujourd’hui, par peur d’aller trop loin dans l’exercice de nos missions actuelles, nous nous autocensurons parfois. Il nous manque une capacité de contrôle. J’accueille donc avec plaisir le contrôle de l’ARCEP dont je pense qu’il nous fera gagner en efficacité. Ce n’était pas le cas lorsque nous nous construisions mais, maintenant que nous nous installons dans le paysage et que nous commençons à faire beaucoup de choses, l’absence de contrôle nous freine.
L’article 19 n’est probablement pas suffisant. Une thématique n’est pas abordée ici : la possibilité d’une démarche plus active. Il n’y a là nul motif de honte ; simplement, nous ne sommes pas prêts. Aussi ne faisons-nous aujourd’hui que de la détection, nous ne pouvons arrêter une menace. Demain, peut-être – je prends des précautions parce que c’est beaucoup moins anodin –, nous demanderons aux opérateurs de communications électroniques d’arrêter certaines attaques, de les bloquer. Cela rouvre cependant immédiatement le débat sur la neutralité du net, à laquelle nous ne portons présentement pas atteinte. Seuls les opérateurs seraient en effet en mesure d’arrêter certaines attaques, telles les attaques par déni de service (DDoS attack, distributed denial of service attack) : un attaquant prend le contrôle de très nombreuses victimes primaires, qui ne s’en rendent même pas compte, et, ensuite, toutes s’en prennent à une cible, ce qui la sature complètement et la bloque. Les machines contrôlées peuvent être des ordinateurs, des objets connectés ou même des caméras de surveillance. Je prends là l’exemple emblématique d’une attaque survenue il y a un an : l’attaquant, ayant pris le contrôle de ces caméras, a pu faire tomber un important opérateur américain, Dyn, et, pendant plusieurs heures, des services comme Netflix ont été totalement bloqués. Il est très dur d’agir à la source de l’attaque, par définition très « distribuée », et il est impossible de faire quoi que ce soit au niveau de la victime, submergée – OVH a également été attaqué de la sorte. Il n’y a que les opérateurs, entre la source et la cible, qui pourraient faire quelque chose, mais nous nous l’interdisons pour l’instant, car nous ne sommes pas prêts. Il faut pouvoir proposer un dispositif à la fois efficace et protecteur, qui ne puisse entraîner des dérives. Si l’avis de l’ARCEP évoque la neutralité du net, c’est parce que le texte initial prévoyait des éléments de ce type, actifs, mais ils en ont été retirés.
Mme Émilie Guerel. Au mois de juin 2017, vous aviez exprimé, dans une interview, une volonté de recourir à des prestataires privés, tant pour les audits et la détection que pour réparer les systèmes infectés. L’idée était que l’ANSSI puisse, à terme, se consacrer aux cas les plus graves et les plus atypiques, le traitement des cas les plus classiques étant dévolu aux prestataires. Ce souhait est-il toujours d’actualité ? Est-ce un objectif à atteindre au cours des prochaines années ?
M. Olivier Becht. Dans le cyberespace, le match en train de se jouer – vous l’avez bien montré – opposera une fois de plus le bouclier et l’épée. En l’occurrence, c’est la puissance de calcul qui fera le vainqueur. Comment évaluez-vous les efforts prévus par la LPM ? Je songe notamment au quantique. Le montant des études amont passe de 730 millions à un milliard mais une part déterminée doit-elle être consacrée à la puissance de calcul ?
M. Thomas Gassilloud. Que pensez-vous de l’utilisation par l’État de suites logicielles non souveraines ? Finalement, peu importe que le réseau soit sécurisé, si le logiciel utilisé ne l’est lui-même pas.
En matière de lutte antiterroriste, la Direction générale de la sécurité intérieure, par exemple, a signé en 2016 un contrat de 10 millions avec Palantir, startup financée par la CIA. À l’époque, il était indiqué qu’aucune entreprise française ne disposait d’une telle solution. La LPM insiste sur la nécessité de disposer d’un système de systèmes. La Direction générale de l’armement conduit le programme ARTEMIS - – architecture de traitement et d’exploitation massive de l’information multi-source – pour exploiter les bases de données de toute nature et un premier démonstrateur devrait être disponible en 2019 ou 2020.
Que pensez-vous donc de l’utilisation par l’État de suites logicielles non souveraines ? Êtes-vous impliqué dans le programme ARTÉMIS ? Plus globalement, comment faire pour que les investissements de défense en matière logicielle contribuent au renforcement de notre souveraineté numérique ?
M. Loïc Kervran. Tout d’abord, je me réjouis de ce que vous avez annoncé à propos de l’article 20, car la situation n’était pas satisfaisante.
Selon mes informations, il y a déjà des sondes et des marqueurs techniques chez un certain nombre d’opérateurs. L’ARCEP estime d’ailleurs que le cadre légal en vigueur le permet déjà et que la LPM n’apporte pas grand-chose – je précise d’ailleurs que l’ARCEP n’a pas fondamentalement changé d’opinion depuis la publication de l’avis.
Vous avez évoqué les différences entre métadonnées et contenu, mais des personnes relativement qualifiées, à la direction technique de la DGSE, par exemple, considèrent aujourd’hui qu’il est très difficile de faire la distinction sur le net. Prenez une URL : au début, ce sont surtout des données techniques ; à la fin, le mot-clé relève plutôt du contenu. C’est donc beaucoup plus compliqué qu’en matière de communications téléphoniques.
Par ailleurs, je ne vois pas du tout, dans ce texte, le lien entre le défensif et l’offensif – même quand l’action offensive ne vise finalement qu’à protéger. Il n’est pas non plus question de l’attribution des attaques. J’ai quand même du mal à imaginer que l’on ne va pas réagir et qu’on ne cherchera ni à l’attribuer à un auteur ni à la stopper.
Quant aux sondes vues comme sources de fragilité, les opérateurs peuvent placer les sondes qu’ils souhaitent sans même en informer l’ANSSI. Ne faudrait-il pas modifier le texte sur ce point ? Ou alors s’agit-il de sondes qui ne présentent pas de risque particulier ?
M. Guillaume Poupard. Je commencerai par répondre à la question relative aux prestataires qualifiés. Aujourd’hui, l’ANSSI invente – c’est son rôle – certains métiers autour de l’audit, de la réaction aux incidents informatiques et de leur détection. Nous inventons des processus, parce qu’il n’existe aucun manuel ancien expliquant comment faire ces métiers. En revanche, nous sommes incapables d’exercer ces métiers auprès de l’ensemble des victimes à protéger. Même en se cantonnant aux victimes les plus sensibles, en commençant par les opérateurs d’importance vitale, l’ANSSI n’a pas les moyens de protéger tout le monde – et ne les aura pas, car ce ne serait pas une bonne chose. Nous avons choisi un modèle consistant à développer des compétences, à assurer leur maîtrise en interne, et à encourager des prestataires privés de confiance à développer les mêmes métiers.
C’est là qu’intervient la question de la qualification, qui est un acte d’évaluation fondé sur un référentiel public auquel des entreprises se soumettent volontairement pour, le cas échéant, obtenir in fine une qualification que je délivre au nom du Premier ministre dans les métiers d’audit, de détection et de réaction aux incidents – étant entendu que nous allons continuer d’enrichir la palette des métiers. Il en résulte à l’évidence un effet de levier. Incidemment, le problème du financement est en partie résolu, ces métiers de l’audit et de la détection de haut niveau ayant un coût ; ils relèvent en l’occurrence du domaine des contrats privés. Je n’impose jamais à un quelconque opérateur d’importance vitale ou autre de travailler avec tel ou tel partenaire ; il appartient à chacun d’entre eux de choisir le prestataire qualifié – c’est-à-dire fiable et compétent – qui convient à la mission recherchée.
L’ANSSI peut ainsi, avec ses moyens propres qui, quoique non négligeables, sont clairement bornés, se concentrer sur les cas les plus sensibles dans lesquels il n’est pas souhaitable de recourir à un prestataire privé – je pense à certains cas étatiques – et sur des cas nouveaux qu’il faut défricher pour inventer de nouveaux métiers. Les auditeurs de l’ANSSI, par exemple, qui savent faire le travail des attaquants et sont donc capables de tester la vulnérabilité des systèmes, effectuent des inspections ministérielles – un champ que nous préférons maintenir au niveau étatique – ou examinent des systèmes atypiques dont nul ne sait encore vraiment comment vérifier le niveau de sécurité. Une fois la connaissance acquise, ils la transfèrent aux prestataires privés qualifiés.
En matière de puissance de calcul, il existe une asymétrie totale entre les attaquants et les défenseurs. Les attaquants n’ont pas besoin – du moins pas encore – de puissance de calcul : une attaque ne nécessite que des moyens très simples et ne coûte presque rien. Pour se défendre, en revanche, nous avons un besoin croissant de puissance de calcul – ainsi que pour les actions de cryptanalyse, qui relèvent pour l’essentiel de la DGSE. De même, l’ordinateur quantique servira principalement à déchiffrer des communications.
L’ANSSI qui, étant un service du Premier ministre, n’est pas directement concernée par le volet programmatique de la LPM, achève actuellement la construction d’un centre de données de très grande taille pour anticiper la transformation de notre métier. Nous allons en effet devoir traiter et conserver un volume croissant de données techniques, ou métadonnées, en provenance notamment des sondes placées dans les ministères. La conservation des données n’est pas un but en soi et ne répond pas un objectif de renseignement ; elle sert simplement à pouvoir remonter dans le temps. Or, la conservation de téraoctets de données et la capacité à les fouiller pour vérifier si une menace nouvelle est déjà apparue dans le passé ont un coût et nécessitent de véritables capacités de calcul. Cela étant, je ne peux pas vous dire si la LPM est adaptée de ce point de vue.
Le débat sur la souveraineté des logiciels est récurrent. Soyons clairs : il n’est heureusement pas nécessaire, pour bâtir un système souverain, que tous ses composants soient souverains eux aussi – chose que nous n’avons jamais su et ne saurons jamais faire. Il faut donc accepter que des microprocesseurs, des ordinateurs ou des logiciels ne soient pas totalement maîtrisés – dans le cas contraire, le coût serait délirant. Dans certains cas – je me fonde en l’occurrence sur mon expérience à la direction générale de l’armement – nous identifions des briques, qu’il s’agisse de logiciels ou de matériels, qui doivent impérativement être maîtrisés : mieux vaut par exemple ne pas acheter un composant de chiffrement dans un chiffreur gouvernemental ailleurs que chez un industriel en qui nous avons une totale confiance, voire, en pratique, le fabriquer en étroite coopération avec l’industriel en question.
Puis se pose la question de l’assemblage et de l’intégration des briques maîtrisées avec d’autres briques qui ne le sont pas ou peu afin de bâtir un système globalement sûr. Contrairement à une idée simple mais courante, la sécurité d’un système ne se réduit pas à la sécurité de son maillon le plus faible, car un système complexe ne se réduit pas à une simple chaîne. En jouant sur l’architecture et la conception même des systèmes, il est possible d’intégrer des composants qui ne sont pas maîtrisés en toute confiance – encore faut-il être capable d’effectuer ce travail architectural. De ce point de vue, de nombreux industriels de l’armement vivent une révolution depuis quelques années : ils étaient jusqu’à récemment d’avis que la partie logicielle ne les concernait pas, et voilà qu’ils se transforment de plus en plus souvent en éditeurs logiciels. Hervé Guillou aime à dire qu’un bateau est désormais constitué de 50 % de logiciels et de 50 % de chaudronnerie, la seconde part étant destinée à poursuivre sa diminution au profit de la première. Or, tous les logiciels d’un bateau ne peuvent pas être maîtrisés.
On peut certes s’interroger sur certains logiciels comme ceux de Palantir ; de même, l’ombre de la suite Microsoft plane à chaque fois que l’on parle de logiciels souverains. L’essentiel est de disposer d’une architecture globale qui permette d’utiliser ces logiciels de manière précautionneuse. Il va de soi qu’il faut par exemple déconnecter les logiciels Palantir, qui permettent d’effectuer des recherches dans les données, car il est hors de question que l’éditeur de Palantir ait accès aux données opérationnelles traitées par le logiciel. Or, c’est de plus en plus compliqué : de nombreux éditeurs logiciels, en effet, dégagent leur plus-value en fournissant non plus un simple CD-ROM comme autrefois mais un système à distance, en cloud, qui, pour fonctionner, ne doit plus se trouver chez le client mais chez l’éditeur, ce qui soulève de nombreuses questions. S’agissant de Palantir, il existe une volonté globale de créer une alternative française de confiance, et la DGA y travaille. Quant au programme d’études amont (PEA) ARTEMIS, l’ANSSI y consacre une part substantielle de ses moyens et entretient à cet égard des liens de confiance étroits avec la DGA.
Je conclurai néanmoins par une note quelque peu pessimiste : en toute objectivité, le développement logiciel n’est pas le point fort de la France et ne l’a jamais été. C’est ce qui justifie l’idée que nous avons eue, en commun avec la DGA et la direction générale des entreprises de Bercy, de nous concentrer sur les sujets critiques plutôt que de chercher à redévelopper en France tous les types de logiciels, ce que nous ne parviendrions pas à faire.
J’en viens à la sécurité des sondes des opérateurs. Avant même de songer à installer de nouvelles sondes, il faut exploiter celles dont ils disposent. En réalité, les opérateurs sont déjà très actifs pour détecter les menaces qui les visent, car ils sont obsédés par la protection de leur système central, leur backbone. Les opérateurs d’importance vitale ont non seulement le droit mais l’obligation de se doter de systèmes de détection qualifiés et de haut niveau pour se protéger eux-mêmes. Disons, en guise d’analogie, qu’il s’agit de rendre les tuyaux complètement étanches afin qu’ils ne polluent surtout pas l’opérateur lui-même bien qu’ils transportent n’importe quoi, la qualité de l’eau ainsi transportée n’étant pas contrôlée. C’est précisément la qualité de l’eau que nous voulons désormais examiner. Encore une fois, les réseaux propres des opérateurs, eux, sont normalement déjà couverts ; nous travaillons avec eux depuis longtemps et procédons à des inspections pour vérifier la sécurisation de leurs backbones, par crainte d’une attaque qui provoquerait l’effondrement de leurs systèmes, ce qui produirait des effets en cascade dramatiques – raison pour laquelle je place les opérateurs de communications électroniques sur le même plan que l’énergie et les transports en ce qui concerne le caractère prioritaire de la prise en compte de la menace car, quoique moins spectaculaire, la perte des télécoms et d’internet aurait des effets terribles.
Je ne suis pas entré dans le débat relatif aux métadonnées.
M. Loïc Kervran. Un peu tout de même, en employant l’image du livre scanné dans un aéroport !
M. Guillaume Poupard. En l’occurrence, cette image a trouvé ses limites… Les adresses IP sont des données personnelles, mais l’ANSSI perdrait sa raison d’être si elle s’interdisait de les traiter. Elles constituent en effet le fonds de commerce du centre opérationnel. Selon la jurisprudence de la DGSE et, surtout, de la Commission nationale de contrôle des techniques de renseignement (CNCTR), une URL – une adresse de site internet – est une donnée signifiante, et non une métadonnée. Parmi les marqueurs techniques que nous utilisons se trouvent donc des URL : lorsque nous identifions un site Internet clairement malveillant, son adresse internet est l’un de ses marqueurs les plus triviaux, que nous souhaitons pouvoir partager avec les opérateurs de communications électroniques.
Il va donc de soi que nous traitons des données, y compris des données personnelles. C’est pourquoi le texte ne loi ne saurait comprendre une disposition visant à rassurer qui interdirait de toucher aux données personnelles : nous y touchons de fait. L’essentiel est que la finalité reste la détection et que l’on s’en tienne aux données strictement nécessaires et signifiantes. Prenons un exemple : le travail de détection consiste parfois à chercher au fin fond de pièces jointes, dans des courriers électroniques, pour y détecter un éventuel virus caché. Le virus en question n’est pas une donnée signifiante pour l’utilisateur, qui ne le voit pas ; l’ANSSI, quant à elle, entre dans la pièce jointe pour trouver le virus mais n’affiche à aucun moment le contenu de la pièce qui, pour elle, n’a aucun sens.
Ce débat peut être complexe. Disons qu’il est hors de question de cibler la donnée signifiante pour la victime, mais plutôt la donnée signifiante pour l’attaquant, c’est-à-dire les pièges et virus parfois dissimulés dans les plus lointains recoins d’une pièce jointe. Or, pour être efficace, il faut souvent se rendre jusque dans ces recoins et, pour ce faire, être capable de reconstituer les pièces jointes concernées – d’où les discussions sur l’inspection des paquets en profondeur, deep packet inspection (DPI), qui inquiète légitimement. Sur le plan technique, comme je l’ai indiqué peut-être trop franchement aux journalistes qui maîtrisent ces questions, cette méthode ressemble à la DPI même si sa finalité diffère et que les produits de DPI à des fins de renseignement ne fonctionnent pas de la même manière. En tout état de cause, il faut bien, à un moment ou à un autre, aller voir de quoi il s’agit car les attaquants, eux, iront là où ils se savent indétectables, de même qu’ils utilisent aujourd’hui des hébergeurs français, conscients que la France ne sait pas vérifier si un serveur a été infecté ou non. Nos partenaires étrangers nous alertent d’ailleurs sur la recrudescence incroyable d’infections de serveurs en France, qui est liée au fait que les attaquants suivent de près l’évolution de la réglementation des différents pays – ce qui n’est guère difficile.
L’article 19 n’aborde pas la question du lien offensif-défensif et de l’attribution car ce n’est pas son objet. Cela ne veut pas dire que nous ne faisons rien, loin s’en faut. La question de l’attribution – identifier qui attaque – relève clairement des services de renseignement, même si le pouvoir judiciaire peut jouer un rôle. En pratique, il est extrêmement difficile d’établir avec certitude l’identité de l’attaquant. L’ANSSI, en revanche, peut déterminer techniquement si deux attaques sont conduites par la même personne ou par le même groupe, car les mêmes méthodes et outils seraient utilisés. En revanche, elle ne peut pas établir si le groupe en question est russe, chinois, américain ou autre. Des indices peuvent exister – un code d’attaque comportant des caractères cyrilliques utilisé par un attaquant travaillant aux heures de Moscou, par exemple. Ce ne sont pourtant que des indices, et non des preuves : il est très simple pour un attaquant non russe d’insérer du cyrillique – certains le font très bien – dans ses codes d’attaque et de se lever en pleine nuit pour travailler aux heures de Moscou. Seuls les services de renseignement peuvent apporter à un tel faisceau d’indices des éléments vraiment crédible – ce qu’ils commencent à faire plutôt bien, même s’il s’agit d’un axe de progrès majeur. Les moyens consacrés à la cyberdéfense dans la LPM vont précisément dans cette direction.
La France a fait le choix de dissocier les missions offensives et les missions défensives. Il est clair pour tous – les agents, Patrick Pailloux, moi-même – que chacun a sa mission à l’abri de tout conflit. Que les missions soient dissociées, cependant, ne signifie pas que nous n’avons pas le droit de nous parler, notamment de l’articulation qui existe entre la détection, l’aide aux victimes, l’attribution voire, à l’avenir, la contre-offensive – par laquelle on ne saurait pas commencer car, avant de contre-attaquer, il faut connaître l’attaquant. Il va de soi qu’il faut trouver cette articulation et, de ce point de vue, le système français me semble bien conçu : les missions sont séparées mais la proximité entre les services est assez grande, ne serait-ce qu’en raison du chapeau du Premier ministre, pour que nous travaillions tous ensemble, chacun dans son domaine de compétence.
Il me reste à répondre au sujet des sondes...
M. Loïc Kervran. En effet, les opérateurs peuvent désormais placer leurs propres marqueurs. Or, vous avez dit que les sondes elles-mêmes peuvent constituer une source de vulnérabilité des réseaux. Faut-il donc que les marqueurs des opérateurs soient contrôlés ?
M. Guillaume Poupard. L’ARCEP s’en chargera, ne serait-ce que parce qu’elle est la seule à comprendre quoi que ce soit à ce que font les opérateurs.
M. le président. Nous veillerons à l’inscrire au compte rendu…
M. Guillaume Poupard. C’est tout à l’honneur de l’ARCEP ! Disons qu’un cœur de réseau moderne est une usine d’une complexité incroyable.
La détection par un SOC – Security Operations Center –, c’est-à-dire un système de supervision, devient un centre névralgique qu’il faut protéger, comme il faut protéger le centre de planification et de conduite des opérations (CPCO) dans le domaine militaire. En effet, si un attaquant lit à livre ouvert dans les intentions du CPCO, il sera très difficile de conduire des opérations efficaces.
Encore une fois, la priorité pour les opérateurs n’est pas de déployer des sondes partout mais d’exploiter les données dont ils disposent déjà, c’est-à-dire d’y rechercher des marqueurs connus – ce qui n’est pas encore fait systématiquement – mais aussi des marqueurs qui ne sont pas connus et que nous ne voulons pas rendre publics. On me fait parfois le reproche de ne pas rendre publiques toutes les connaissances que nous avons des attaques mais si l’on annonce publiquement, y compris aux attaquants, qu’ils sont repérés, alors ils changeront immédiatement de méthode – et ils font preuve à cet égard d’une agilité incroyable. Il est donc normal, hélas, qu’une partie des marqueurs dits indicateurs de compromission (IOC) soient publics et exploités, mais que le secret entoure encore, à des degrés parfois très élevés, certains marqueurs si précieux et sensibles que nous ne voulons pas les donner – le problème étant qu’ils se trouvent dans nos coffres et qu’ils ne détectent rien. Il nous faut donc trouver un équilibre entre les marqueurs que nous pouvons donner à certains opérateurs de confiance et les sondes souveraines, qui ont tout leur rôle à jouer parce qu’elles sont capables de garder le secret concernant les marqueurs techniques qu’il ne faut pas révéler aux attaquants.
M. Bastien Lachaud. Ma première question a trait aux données personnelles de nos concitoyens et aux GAFA – pour Google, Apple, Facebook, Amazon. Dans la revue stratégie de défense et de sécurité nationale, ce point est considéré comme une vulnérabilité. D’ailleurs, pour s’en prémunir, la Russie stocke la totalité des données personnelles de ses citoyens sur son territoire. Or, la LPM ne comprend aucune disposition à cet égard. Quelle serait selon vous la réponse française adaptée face à cette vulnérabilité ?
D’autre part, nombreux sont les habitants de ma circonscription qui s’interrogent sur Enedis, que vous assistez pour l’installation des compteurs Linky qui suscitent un véritable débat démocratique. À quel niveau aidez-vous Enedis ? Quels éléments d’information pouvez-vous nous donner à ce sujet ?
Mme Nicole Trisse. N’y a-t-il pas besoin de développer des systèmes informatiques d’État afin de préserver l’ensemble de nos données et d’assurer la sécurité du pays ? En clair, que penseriez-vous d’un Patriot Act à la française ?
M. Jean-François Eliaou. Nous n’avons pas abordé la relation qui existe entre l’ANSSI et le COMCYBER, sur laquelle le général Bonnet de Paillerets nous a récemment donné quelques éléments de son point de vue. Qu’en est-il du vôtre ?
M. Philippe Michel-Kleisbauer. Je vous poserai ma question favorite, Monsieur le directeur général : devons-nous dénier à d’autres États la capacité de se doter d’une cyberdéfense pour se protéger, comme nous l’avons fait en matière nucléaire, en réservant l’accès à certaines technologies à un groupe fermé de puissances ?
M. Guillaume Poupard. Je pourrais esquiver la question sur les données personnelles en vous renvoyant vers la CNIL, mais ce serait trop facile. De fait, le règlement général sur les données personnelles en cours de déploiement constitue une avancée majeure. Est-elle suffisante ? Je l’ignore. A-t-elle un impact ? Est-elle lourde ? Oui, à l’évidence. Toutes les sociétés que je rencontre paniquent à l’idée de sa mise en œuvre. Nous allons donc dans le bon sens en Europe et même au-delà.
À titre personnel, je dirais que les GAFA et autres sont dans le paysage, et toute solution simple qui consisterait à les interdire n’aurait pas de sens. La solution, forcément complexe, passe par la sensibilisation et l’explication. Il arrive d’ailleurs que j’explique les choses de manière assez brutale à certains acteurs économiques, pour leur faire comprendre leur irresponsabilité de confier tous leurs systèmes à Google – ce que certains font – mais ils ont beau jeu de me répondre que ces systèmes fonctionnent bien et ne coûtent pas cher. En clair, nous devons mener un dialogue et ce dialogue, parfois, se tend jusqu’à remonter aux plus hautes autorités de l’État de sorte qu’elles montrent les gros yeux pour faire plier tel ou tel acteur, étant entendu que cette méthode ne peut être réservée qu’à quelques cas et ne saurait être généralisée. Objectivement, la situation est compliquée, notamment par manque de prise de conscience. Au-delà des attaquants bien identifiés qui représentent une menace évidente, je constate encore un manque de lucidité concernant le risque que présentent les grandes sociétés numériques, en particulier américaines, à qui l’on prête parfois une image trop bonne. Quoi qu’il en soit, c’est par la discussion qu’il faut procéder et l’ANSSI n’est qu’un petit maillon dans cette chaîne – raison pour laquelle je suis un peu gêné de vous répondre.
Sur Linky, en revanche, je serai beaucoup plus à l’aise. Tout d’abord, la CNIL a largement réglé la question de savoir si cet outil permettait ou non d’espionner la vie des gens. Ensuite, je laisse aux spécialistes médicaux le soin d’apprécier si les ondes émises par les compteurs sont cancérigènes, mais j’en doute.
Nous avons dialogué avec les promoteurs de Linky dès l’origine du projet de compteur intelligent. Dans la chaîne des acteurs de l’énergie – les centrales nucléaires venant spontanément à l’esprit en premier –, il faut sécuriser tous les maillons, et les compteurs, quoiqu’en bout de chaîne, en font partie. Les compteurs d’hier étaient vulnérables : le plus souvent, ils se trouvaient dans la rue et il était facile de les détruire. La nouveauté symptomatique de l’informatique tient au fait qu’un individu pourrait non pas même espionner mais surtout éteindre tous les compteurs Linky d’une ville ; c’est le risque à redouter. Même en faisant toute confiance à nos énergéticiens, l’arrêt simultané de tous les compteurs risque de créer un excédent d’énergie et, sans doute, une rupture du réseau quelque part. Quoi qu’il en soit, il faut protéger ces compteurs.
À l’époque, il existait donc deux possibilités : signaler les risques et laisser l’opérateur s’en débrouiller ou l’aider. L’ANSSI a choisi à juste titre d’aider Enedis, ce que nous continuons de faire en apportant des conseils et en mettant à disposition notre mécanisme de certification de produits. C’est ainsi que tous les compteurs intelligents qui ont été déployés ont été évalués par des centres d’évaluation de la sécurité des technologies de l’information (CESTI) agréés par l’ANSSI. Chaque compteur est donc assorti d’un certificat que j’ai signé au nom du Premier ministre et qui atteste que son niveau de sécurité est satisfaisant en fonction de la cible de sécurité envisagée. C’est un travail colossal qui ne plaît pas à tout le monde, parce que certains produits ont été certifiés mais beaucoup ne l’ont pas été – avec des conséquences parfois dramatiques pour certains fabricants qui n’ont pas réussi à sécuriser leurs compteurs. Au vu des résultats, cependant, je ne prends pas la responsabilité, au nom du Premier ministre, de garantir la sécurité de tels produits ; ce ne serait pas raisonnable. En revanche, les produits certifiés nous semblent atteindre un niveau satisfaisant – même si rien n’est jamais sûr à 100 % – compte tenu des risques identifiés. Tout cela constitue un équilibre subtil. Sachez toutefois que nous avons analysé et pris en compte la menace lors du développement technique des compteurs et de l’ensemble du système sur lequel ils sont assis. Je tiens plutôt à saluer l’intelligence et la qualité du travail considérable qu’ont accompli les équipes chargées de déployer les compteurs Linky – malgré d’inévitables frottements occasionnels.
M. Bastien Lachaud. La mise à jour des compteurs est-elle assurée ?
M. Guillaume Poupard. L’examen de la sécurité d’un produit porte non seulement sur la sécurité du produit initial, mais aussi sur celle de son environnement de développement avant même sa fabrication, et sur celle de tout son cycle de vie. Il est évidemment hors de question de certifier un produit qui serait initialement bon et qui serait ensuite mis à jour de manière aberrante pour devenir un mauvais produit. Le risque est limité s’agissant d’un compteur mais le système d’un gros opérateur de télécommunications, par exemple, est mis à jour quotidiennement. C’est ce qui explique pourquoi il est si difficile d’en préserver la sécurité dans le temps.
S’agissant du développement de systèmes d’État, Madame Trisse, des projets intéressants sont déjà en cours. Nous travaillons notamment avec la direction interministérielle du numérique et du système d’information et de communication de l’État (DINSIC), une sorte de direction des systèmes d’information de l’État qui dépend elle aussi du Premier ministre. Nous basculons par exemple vers un réseau interministériel de l’État destiné à innerver tous les ministères. Nous sommes de fervents partisans de ce genre d’actions, qui renforcent considérablement l’efficacité de la détection.
Plus généralement, vous soulevez la question des centres de stockage des données. Pendant assez longtemps, certains industriels étrangers non européens nous ont expliqué que la construction de nos propres centres de données n’avait aucun sens – et d’aucuns les ont crus. Ce n’est pas acceptable. Selon moi, il faut à l’évidence faire revenir les données personnelles en Europe, car on sait bien que les lois étrangères, américaines notamment, n’assurent pas la sécurité de données européennes stockées aux États-Unis ou ailleurs. Se pose ensuite la question de l’application extraterritoriale du droit américain : des données stockées en Irlande sur des serveurs appartenant à des industriels américains, par exemple, ne sont pas non plus totalement en sécurité. Il peut donc être envisagé de développer des espaces de stockage à distance – en cloud – et des centres de stockage pour des applications spécifiques. Une fois encore, je pense que pour de nombreuses applications, le périmètre adapté est européen ; dans certains cas, ayons même le courage de dire que les données doivent rester en France.
C’est le cas des informations classifiées de défense. Cela peut paraître une évidence, mais il faut s’assurer que les différents textes que l’on négocie le prévoient bien. Il peut s’agir d’une exception au principe de la libre circulation des données, free flow of data. Nous sommes très favorables à la libre circulation au niveau européen, mais il faut prendre garde aux risques qu’elle fait peser sur la sécurité au-delà de l’Union.
Je ne suis pas certain qu’il faille promouvoir l’idée d’un Patriot Act à la française. Il s’agit plutôt de constituer une plaque européenne, cohérente en termes de valeurs et de droits, et suffisamment grande pour que l’on ne soit pas tenté de laisser les centres de données de l’autre côté de l’Atlantique, ce qui serait un non-sens technologique.
Nous entretenons des liens très étroits avec le COMCYBER. Les structures, et les hommes, s’entendent très bien depuis fort longtemps, ce qui est plutôt rassurant !
Le schéma est simple : il y a une seule autorité nationale, l’ANSSI. Mais, ainsi que je l’ai dit à plusieurs reprises, les moyens de cette autorité nationale unique sont limités. Par conséquent, je ne veux surtout pas les gaspiller là où existent déjà des compétences et des moyens. C’est bien le cas du ministère des Armées qui dispose de moyens et de compétences réelles, et a développé notamment des chaînes internes pour la sécurité informatique. Je préfère que les moyens de l’ANSSI soient concentrés vers d’autres ministères, moins armés – voire pas du tout – ou d’autres acteurs, notamment les OIV.
En pratique, l’ANSSI délègue certaines de ses activités, notamment d’audit et de détection, au COMCYBER – pour commandement de cyberdéfense. Le centre névralgique de la lutte informatique défensive, le CALID (Centre d’analyse de lutte informatique), tête de pont du COMCYBER, est logé dans la tour Mercure, au même étage que le centre opérationnel de l’ANSSI. Ces personnels ne peuvent être plus proches, à l’image d’un centre de contrôle aérien, où les contrôleurs civils contrôlent l’espace civil et les contrôleurs militaires, l’espace militaire, mais tournent leur siège et se parlent lorsqu’un avion passe d’un espace à l’autre. C’est, depuis le départ, le modèle un peu naïf que je promeus, avec le ministère des armées. Chacun a son domaine. Le COMCYBER traite de la question des réseaux nationaux, des réseaux en opérations extérieures (OPEX), des systèmes d’armes, ce qui exige beaucoup de ressources et de compétences, mais le jour où il y a un problème, nous sommes capables de reporter notre expertise et notre énergie. L’ANSSI vient en support si des réseaux dépendant du ministère des Armées sont attaqués. Les sondes utilisées par le COMCYBER, opérées par le CALID, ont été développées par l’ANSSI. Ce n’est pas à proprement parler de l’intégration, mais un niveau de coopération très élevé. Nous comptons, avec Olivier Bonnet de Paillerets, développer encore cette coopération pour éviter des redondances inefficaces et surtout des trous dans la raquette.
Au niveau européen, la directive NIS, prévoit que les États s’efforcent d’assurer un niveau de sécurité élevé, en fonction de leurs compétences et de leurs moyens, et que ces capacités fonctionnent en réseau. Nous ne croyons pas à un modèle européen, ou otanien, où des grandes puissances apporteraient une protection cyber aux autres États, d’abord parce qu’il existe des questions de souveraineté nationale, ensuite parce que certains domaines ne relèvent pas du militaire. Ainsi, nous nous sommes toujours opposés à ce que l’OTAN puisse s’occuper de la sécurité bancaire. La tentation existe, mais ce n’est pas le métier de l’OTAN Et il y a une ligne rouge à ne pas franchir. En revanche, chaque pays doit développer sa sécurité bancaire, les opérateurs bancaires assurer leur propre sécurité et ainsi de suite.
Tout cela doit fonctionner en réseau, et c’est un domaine où nous devons encore faire des progrès. Trop souvent, l’information est connue, mais elle n’est pas partagée, parce que c’est compliqué. Nous y mettons beaucoup d’énergie : les centres opérationnels qui gèrent ces questions de cybersécurité, les CERT – Computer Emergency Response Team – ou CSIRT – Computer Security Incident Response Team – ont vocation à travailler en réseau. En France, il s’agit du Centre opérationnel de la sécurité des systèmes d’information, le COSSI, et du CALID en matière militaire. Il faut y ajouter le centre technique de la capacité OTAN de réaction aux incidents informatiques – NCIRC – et le CERT-EU, au niveau des institutions européennes.
Monsieur Michel-Kleisbauer, il serait totalement contre-productif de chercher à bloquer l’exportation de solutions défensives. Mais nous savons aussi, et les industriels nous le disent, que ces pays cherchent, certes à se protéger, mais surtout à attaquer. C’est là où le contrôle-export intervient : il s’agit de faire en sorte que les industriels vendent des systèmes défensifs, mais n’aident pas à développer les capacités offensives. Pour ma part, je suis très opposé à toute forme d’export qui pourrait faciliter la prolifération de technologies offensives.
Objectivement, la tâche est très difficile, dans un domaine qui relève de l’intangible, du savoir-faire. Certaines technologies défensives peuvent facilement être transformées. Je l’ai dit tout à l’heure, les auditeurs ont des compétences d’attaquant. Comment s’assurer que les auditeurs que l’on forme à la protection des systèmes d’information, dans un pays un peu louche, ne sont pas les embryons d’une capacité offensive ? C’est une question que nous discutons constamment et qui suppose une relation de confiance avec les industriels. Il est nécessaire aussi de faire évoluer le dispositif de contrôle à l’exportation, porté par le service des biens à double usage et par la commission interministérielle pour l’étude des exportations de matériel de guerre – CIEEMG. Ce qui fonctionne pour des biens matériels ne se transpose pas aisément dans un domaine aussi intangible.
M. le président. Merci, Monsieur le directeur général.
*