Cybersecurité

déc 3, 2012

La France va participer au Centre de recherche de Cyberdéfense de l’OTAN

Damien Kerlouet / Cyber Espace /

Crédit : Bruxelles2

(BRUXELLES2 À TALLIN) La France a confirmé qu’elle allait participer au Centre d’Excellence de Cyber Défense de l’OTAN (CCD-COE). Basé à Tallinn, en Estonie, le but du Centre est d’améliorer les capacités de cyberdéfense de ses membres, en partageant informations légales et stratégiques, mais aussi en coopérant sur la base de recherche & développement, formations et exercices communs. Douzième Etat* à se joindre à ce centre de recherche, la France devrait mettre en pratique sa contribution en envoyant à Tallinn une équipe de 2 ou 3 experts courant 2013 (au plus tard en automne). “Nous sommes très heureux de voir la France se joindre au Centre, de par son implication dans la cyber défense” a déclaré Kristina Pennar, porte parole du CCD-COE. Volonté confirmée des deux côtés. Le livre blanc français sur la défense, qui sera finalisé avant la fin de l’année 2012, devrait consacrer une part importante à la cyber-défense. “Donc, je pense que nous allons ici dans le bons sens” a indiqué l’ambassadeur de France à Tallinn, Frédéric Billet.

Un département légal qui domine

Les parties sont toujours en pourparlers afin de décider quel type d’expert enverra la France. Le département légal est le plus développé du centre, fournissant analyses, consultations et formations afin “d’adapter la loi pour la rendre compréhensible aux yeux de la cybernétique”. On y travaille sur des cas d’incidents internationaux et produit des outils pour les conseillers cyber-légaux nationaux. “Nous travaillons sur les menaces en général, mais s’il y a un cas intéressant, l’Iran par exemple, nous travaillons dessus et produisons une analyse légale.” Mais le personnel est limité et les analyses de cas également. “Nous sommes plus comme un think tank, si les Etats-membres sont intéressé par un sujet particulier, nous travaillons dessus. Sinon, non.” indique la porte parole du CCD-COE. En 2013, le Centre d’excellence s’apprête à publier le “Tallinn Manual”, un manuel de droit international en la matière.

(crédit : CCD-COE)

Plus de stratégie, demandent les Etats

“Les Etats-membres nous ont fait savoir qu’ils souhaitaient plus de travail en recherches technique et stratégique” admet-elle. Ils est important de définir les principaux cyber-concepts, étudier les risques cybernétiques ainsi que les capacités des Etats-membres. L’objectif est d’apporter l’expertise nécessaire afin de développer et améliorer de nouvelles politiques, de nouvelles législations et de nouvelles chaines de décisions, au cas où quelque chose se passerait. Ils conseille également le niveau transnational, via le Commandement Allié de Transformation (ACT). Quant au niveau technique, la porte parole met les choses au clair, “nous sommes un centre de recherche, pas un centre opérationnel”.

NB : Le Centre d’Excellence ne peut se destiner à devenir un centre de réponse. Les Alliés, qu’ils soient européens ou transatlantiques s’espionnent entre eux encore aujourd’hui, explique un diplomate lors de notre visite. Et lorsqu’au cours d’activités d’espionnage, l’un trouve une cyber-faille dans la défense de l’autre, la politique est plutôt d’attendre l’occasion la plus rentable – en termes de services rendus entre Etats – avant de prévenir l’allié en question.

Plusieurs exercices au programme

Depuis 2010, le Centre organise son propre exercice technique. Baptisé Locked Shields, il constitue un véritable exercice pratique avec deux équipes de défense et d’attaque. A Tallinn, au CCD-COE, l’équipe “rouge” attaque 9 autres équipes “bleues” qui se trouvent dans les capitales concernées. Pour la porte parole, “Locked Shields 2012 a constitué un énorme travail, non seulement technique mais également au niveau de la planification”. 12 pays et 250 personnes y ont participé, dont des personnes issues du secteur privé. “Nous travaillons de plus en plus sur l’amélioration des capacités de cyberattaques. C’est bien moins cher que de développer une stratégie globale de cyberdéfense. La meilleure façon de savoir comment se défendre est de savoir comment les attaques fonctionnent.” explique t-elle.

Ils participent également à un exercice “sur table” de commandement de l’OTAN, “NATO Cyber Coalition 2012″. En novembre 2012, l’exercice combiné de gestion de crise a regroupé 22 Etats-membres ainsi que les comités de l’alliance Atlantique. Dans la foulée, ils participeront également pour la première fois en 2013 à l’exercice “Steadfast Jazz”, exercice global basé sur l’article 5 du Traité.

Formation et partage d’informations

Les experts du Centre forment également les conseillers nationaux à la gestion d’incidents, à l’infiltration, à la balistique digitale (c’est à dire trouver d’où provient la cyber-attaque), à des solutions de surveillance et à la prévention.

Un centre en développement

L’initiative avait été lancée par l’Estonie en 2004 avant d’ouvrir en 2008. Aujourd’hui 32 personnes – moitié civils, moitié militaires – travaillent au sein de la base militaire de Tallinn. “C’est peu, mais c’est la crise” se défend la porte-parole. Outre la France, la Turquie est sur la liste potentielle pour devenir le 13e participant. “Tous les Etats-membres ne sont pas intéressés par la cyberdéfense. Il existe 18 Centres d’excellence de l’OTAN, avec leurs propres intérêts”, explique K. Pennar. D’autres attendent également de voir le Centre se développer davantage avant de proposer leur contribution. Quant aux questions sur le budget, aucune information… Tout cela reste sous scellé.

(*) Etats-membres : Allemagne, Espagne, Estonie, Hongrie, Italie, Lituanie, Lettonie , Pays-Bas, Pologne, Slovaquie et USA. Etats-partenaires : Finlande et Suède (potentiellement l’Autriche)

CCD-COE, Cyberattaque, Cyberdéfense, Cybersecurité, Estonie, France, OTAN / 0 Comment

juin 29, 2012

Face aux menaces de la cybersécurité, une stratégie européenne ?

Mieszko Dusautoy / Cyber Espace /

(BRUXELLES2) Les attaques menées contre des structures étatiques (Estonie en 2007, Georgie en 2008, France fin 2010, etc.) ont fait prendre conscience aux responsables européens de ce qui était jusqu’ici l’apanage des spécialistes de la sécurité. Plusieurs Etats-Membres ont ainsi adopté ces dernières années des stratégies nationales spécifiques dans ce domaine (Royaume-Uni en juin 2009, France en février 2011, Luxembourg en juillet 2011, Allemagne en février 2012…). Le séminaire organisé par l’IHEDN, l’Institut des Hautes Etudes de Défense Nationale (français), jeudi (28 juin) à Bruxelles, a eu le mérite de faire le point sur ce sujet, insistant sur la nécessité d’adopter une « cyberstratégie européenne ».

« Internet ne connaît pas les frontières »…

C’est une phrase que presque chaque intervenant (et ils étaient nombreux!) a répété aujourd’hui. Qu’ils représentent le secteur privé, les Etats-Membres ou l’UE, tous sont d’accord pour dire qu’une approche européenne est indispensable. Si la cybersécurité reste une compétence des Etats-Membres « et le restera probablement », il n’y a « pas de contradiction » avec une coopération au niveau européen, comme l’explique Martin Fleischer, coordinateur des affaires « cyber » au ministère des Affaires étrangères allemand. Les cyberattaques peuvent être menées de n’importe où : « on doit pouvoir être en contact avec tous les pays à tout moment » dit Patrick Pailloux, directeur général de l’Agence nationale de sécurité des systèmes d’information (Anssi). Outre la coopération internationale, il faut aussi bien sûr agir de concert avec le secteur privé puisque c’est lui qui dispose des infrastructures. « Nous devons soutenir le secteur privé » affirme Heli Tirmaa-Klaar, experte au service diplomatique européen (SEAE).

Les Etats-Membres sont donc bien conscients qu’agir seulement au niveau national n’est pas efficace. Mais il y a un problème : tous les Etats n’ont pas les mêmes capacités pour lutter contre ces menaces, comme le rappelle un expert de la Commission Européenne. Certains Etats, comme les pays scandinaves ou le Royaume-Uni, la France et l’Allemagne, en ont fait une priorité stratégique et se sont équipées des capacités nécessaires. D’autres, plus à l’Est et au Sud, ne disposent pas de ces moyens.

Attention toutefois à la tentation purement répressive et législative

La réaction doit être « proportionnelle », selon Sarah Lampert, coordinatrice adjointe aux affaires « cyber » du ministère des affaires étrangères britannique. Il faut veiller à ce que les droits de l’homme, notamment en termes de respect de la vie privée, soient respectés. « Notre réponse doit être créative » dit-elle. En fait, elle préconise de mettre en place des « mesures de confiance » et de travailler dans le domaine de l’éducation (former le personnel des institutions mais aussi sensibiliser le public) plutôt que de légiférer. Ainsi, un système similaire au contrôle des armements ne serait pas efficace dans le domaine de la cybersécurité. « C’est facile de compter des tanks, mais qu’en est-il des programmes, des copies de programmes ? » C’est plus difficile, d’autant qu’il y a la question du double usage de ces programmes, explique Martin Fleischer.

Les militaires concernés…

« Nous faisons partie du jeu » dit le général Pascal Roux de l’Etat-major de l’UE (EMUE). Ce qu’on appelle alors la « cyberdéfense » a été inscrite dans la version révisée de 2008 de la Stratégie Européenne de Sécurité. L’EMUE est là pour « fournir de l’expertise ». En ce qui concerne la cybersécurité, cela implique deux choses plus particulièrement. Tout d’abord, il faut adapter les capacités requises de l’UE. Un « catalogue » est en train d’être réalisé suite à une décision de novembre dernier, en coopération avec l’Agence Européenne de la Défense (AED). Il devrait être finalisé « dans semaines à venir ». Puis, sur le plan « conceptuel » : il faut former et s’entraîner. S’il est encore trop tôt pour inclure la cyberdéfense au prochain exercice de gestion de crise (impliquant toute la chaîne de commandement, qui aura lieu en octobre), ce sera « clairement » le cas pour celui d’après.

L’Agence européenne européenne de défense

Un défi à relever consiste à améliorer la coordination entre les différents services concernés, que ce soit au niveau national ou européen. Là-dessus, « nous ne sommes pas très bien préparés » constate Denis Trioulaire, directeur « capacités » à l’Agence européenne de la Défense (EDA). Une autre difficulté spécifique pour ce type de menace est la nécessité d’être rapide dans la réaction : il faut avoir des moyens et des plans adaptés, disponibles en commun et prêt à tout moment. Il y a là un « paradoxe » explique Denis Trioulaire : il faut du temps pour déterminer l’origine de la menace, alors que justement il n’y en a pas dans ce type de situation. L’EDA se voit tout de même un rôle considérable à jouer, comme « hub » entre les 26 Etats Membres qui en font partie. C’est même sa « raison d’être » que de « garantir l’interopérabilité ».

Question un poil provocatrice dans l’audience, mais tout à fait pertinente : pourquoi un Etat qui serait face à une crise majeure de cybersécurité se tournerait-il vers l’UE alors que l’OTAN est déjà bien avancée dans ce domaine ? Parce que la réponse de l’UE fait partie d’une approche globale, « c’est ça qui fait la différence », répond le général Pascal Roux. Mais « probablement, les deux [structures] prendront des mesures ».

Et la Commission Européenne, également

On y concocte par exemple une nouvelle législation, qui reposera sur trois piliers principaux, comme l’explique Giuseppe Abbamonte de la DG Société de l’Information. Tout d’abord, « faire en sorte que tout le monde dispose des capacités adaptées » en établissant une sorte de niveau minimum européen. Les Etats Membres devraient alors par exemple développer des stratégies nationales de cybersécurité, avec des exercices réguliers. Un deuxième pan de cette législation devra rendre la coopération européenne plus systématique. En effet, elle est encore trop « spontanée [et] dépendante de la bonne volonté des Etats ». Or, « tout le monde ne fait pas partie de ce club ». Enfin, il s’agit d’élargir les règles s’appliquant à certains types d’acteurs du secteur privé : là où, aujourd’hui, seules les télécommunications doivent notifier aux autorités toute atteinte à la sécurité, la nouvelle législation impliquera que les autres fournisseurs de services (comme Skype, Amazon ou encore les boîtes mails) devront ces mêmes règles.

Outre cette nouvelle législation, il y a les différents programmes de recherche financés par la Commission. Et, comme annoncé sur ce site, la création d’un centre européen de lutte contre la cybercriminalité, l’EC3, qui viendra compléter l’action européenne déjà en place (par exemple au sein de l’Agence Européenne chargée de la sécurité des réseaux et de l’information, ENISA).

Commission européenne, Cyberattaque, Cybersecurité, EDA, SEAE / 0 Comment

mai 2, 2012

Vers un Centre européen de lutte contre la cybercriminalité

Mieszko Dusautoy / Cyber Espace /

Le nouveau quartier général d'Europol, qui abritera l'EC3, à La Haye (Crédit: Europol)

(BRUXELLES2) L’Union Européenne se penche en ce moment sur la question de la cybercriminalité et envisage de créer un Centre Européen de lutte contre la Cybercriminalité, ou EC3.

Sortir des sentiers battus de la police

Selon la Commission, qui a présenté sa proposition à la sous commission sécurité et défense du Parlement Européen, la semaine dernière, la valeur ajoutée d’un tel centre doit venir d’une nouvelle approche pour lutter contre la cybercriminalité, autrement dit il faut “sortir des sentiers battus” comme l’a expliqué l’expert de la Commission aux parlementaires. Il ne s’agit donc plus de traiter le problème uniquement d’un point de vue “police” ou “armée”, mais plutôt de mettre en relation les différents acteurs impliqués: la police et l’armée, bien sûr, mais aussi les juges, le secteur privé (qui a tendance selon la Commission à gérer les problèmes tout seul de son côté, à un niveau national et “en secret” pour ne pas abîmer sa réputation lors d’attaques informatiques réussies contre une entreprise), les chercheurs et les organisations de la société civile.

Les tâches de l’EC3

L’EC3 se concentrera sur 3 types de cybercrimes:
- ceux commis par les groupes criminels organisés (mafias);
- les crimes “lourds de conséquences pour leurs victimes”, par exemple l’exploitation sexuelle des enfants en ligne;
- les attaques contre les infrastructures critiques de l’Union, notamment les institutions européennes.

Pour cela, le mandat de l’EC3 devrait s’articuler autour de 4 fonctions essentielles:
- servir de centre européen d’information en fusionnant les sources (publiques/privées et nationales/transnationales) afin de brosser un tableau des actes et méthodes de la cybercriminalité et définir les menaces;
- renforcer les capacités européennes, en les mettant en commun et en assurant des formations (ou plutôt, en coordonnant les formations et initiatives qui existent déjà, notamment au CEPOL);
- assurer un soutien opérationnel aux enquêtes en encourageant la mise en place d’équipes communes
- créer un forum européen pour les enquêteurs qui pourraient utiliser l’EC3 comme un porte-voix commun lors de leurs discussions avec les différents acteurs concernés (entreprises, chercheurs, société civile). De même, le centre pourrait élaborer des campagnes de sensibilisation du public.

Quant au volet “défense” du centre, il n’est « pas écarté » par la Commission. Mais celle-ci explique que ce n’est « pas de sa compétence » : les Etats Membres seront donc « libres de décider » s’ils veulent utiliser les capacités du centre pour des missions de défense.

Quelle base juridique ?

La base juridique, au niveau européen, de la lutte contre la cybercriminalité, est la convention sur la cybercriminalité du Conseil de l’Europe (dite Convention de Budapest), signée en 2001. La proposition de la Commission se réfère explicitement à ce document. Avec cependant un problème, remarqué par les eurodéputés : 8 Etats Membres de l’UE n’ont pas signé ou ratifié cette Convention.

Pas de nouvelle agence mais une intégration à Europol

Selon la proposition de la Commission Européenne, l’EC3 fera partie d’Europol et sera situé dans les locaux de La Hague. Plusieurs options avaient été envisagées, dont la création d’une nouvelle agence, mais c’est finalement l’intégration à Europol qui a été choisie après une étude de faisabilité. Les raisons sont essentiellement budgétaires, mais aussi logiques puisque la lutte contre la cybercriminalité figure déjà dans le mandat d’Europol et il s’agit là en quelque sorte d’une précision de ce mandat. Ainsi, l’EC3 aurait son propre comité de direction au sein de l’agence européenne, serait composé de représentants d’autres services européens concernés (notamment des agents du Collège Européen de Police (CEPOL), de la “Task Force cybercriminalité” des Etats Membres (EUCTF), d’Eurojust, ou encore de l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA)). Ce comité serait aussi présidé par un directeur de l’EC3. Le but d’une telle structure de gouvernance est d’éviter les doublons entre les différents services, en les mettant justement en commun afin de coordonner la réponse européenne aux cybercrimes.

Un budget et des ressources tout de même modérés

Coté financement de ce centre, « Le moment est plutôt mal tombé » reconnait la Commission. Le temps est plutôt à la réduction des agences… De plus, cela s’inscrira dans le cadre du programme financier pluriannuel 2014-2020, encore en négociation. Pas de chiffres précis donc, juste des “indications”, susceptibles de changements. Ainsi, le budget de l’EC3 ne devrait pas être extraordinaire: d’abord 3,6 millions pour la phase de mise en place (année 2013) puis entre 7 millions d’euros (lors de charge de travail réduite) et 44 millions d’euros (charge lourde), selon l’étude de faisabilité. Du personnel supplémentaire devrait être recruté pour renforcer les équipes d’Europol: d’abord 7 personnes pour la phase de mise en place des capacités opérationnelles (jusqu’à décembre 2013), puis entre 32 (lors de charge de travail réduite) et 251 (charge lourde).

NB: En regardant à l’échelle mondiale, cette initiative va de pair avec l’idée d’un centre mondial de lutte contre la cybercriminalité sous l’autorité d’Interpol, qui serait basé à Singapour. EC3 serait donc “l’interface européenne”, selon la Commission.

Agences, Cybersecurité, Europol / 2 Comments

jan 19, 2012

Les députés britanniques s’intéressent aussi à la cyber-sécurité

Nicolas Gros-Verheyde / Brèves /

(B2) La cyber-sécurité est aujourd’hui le sujet de toutes les attentions. Après la note du chef d’Etat-Major américain, voilà la Chambre des communes, par le biais de sa commission de défense, qui lance une enquête sur la cyber-sécurité. Identifié comme un des trois risques principaux par la stratégie national de sécurité, les Britanniques ont ainsi lancé un programme de 650 millions de £ pour assurer la cyber-sécurité. Les parlementaires veulent connaitre d’abord la nature et l’étendue de cette menace pour les systèmes des forces armés et les opérations ; l’organisation de la réplique au niveau ministériel comme des différents Etats-Majors.

Premier pas

Cette mission d’enquête n’est qu’un premier pas, annonce les parlementaires. Ils veulent approfondir le sujet prochainement pour aborder toute une autre série de sujets liées à cette menace. Et toute contribution qui mérite leur attention est donc « bienvenue »…

Les contributions peuvent être envoyées par mail à : defcom@parliament.uk et porter en titre ‘Defence and cyber-security’. Délai : 20 février 2012.

Lire également : Un nouvel objectif pour les Américains : juguler la menace A2/AD

Chambre des Communes, Cybersecurité, Royaume-Uni / 0 Comment

jan 17, 2012

Un nouvel objectif pour les Américains : juguler la menace A2/AD

Nicolas Gros-Verheyde / Brèves /

(B2) Pour tous ceux que la défense américaine passionne, et même ceux qui ne le sont pas, ils pourront lire avec profit – ou au moins ranger dans leur bibliothèque le nouveau Joint Operational Access Concept (JOAC) qui vient d’être publié par le général en chef US, Martin Dempsey. Objectif : « définir comment nous allons pouvoir acquérir et maintenir des accès n’importe où et dans n’importe quel domaine : terre, air, espace, mer et cyber ». Comme le souligne le chef d’Etat-major américain : « Nos forces peuvent être très redoutables. Si nous sommes incapables d’acquérir nos capacités dans ces domaines, nous ne pourrons pas accomplir la mission ou parfaire aux besoins de notre nation. Les JOAC soulignent combien nous serons confrontés à des menaces de dénis de zones ou d’anti acces (A2/AD) par des ennemis étatiques ou non étatiques. L’A2/AD n’est pas nouveau mais est (désormais) une caractéristique définie de notre environnement opérationnel. Se mesurer à ce défi requiert davantage d’intégration, dans tous les domaines et à tous les échelons, plus que jamais ».

Télécharger ici !

Armée, Cybersecurité, Restructurations, USA / 0 Comment

jan 28, 2011

Le numéro 2 du Pentagone à Bruxelles

Nicolas Gros-Verheyde / Défense UE (droit doctrine politique) /

Réunion à l'Agence européenne de Défense. (Crédit : US Department of Defense, U.S. Air Force Master Sgt. Jerry Morrison)

Le numéro 2 du Pentagone, William J. Lynn, était à Bruxelles mardi pour une visite complète à l’OTAN avec Anders Fogh Rasmussen, à la Commission européenne avec Cathy Ashton et l’Agence européenne de Défense avec Claude-France Arnould, sa nouvelle directrice. Une rencontre dédiée à la cybersécurité et à l’Iran, entre autres. Mais aussi aux questions budgétaires et capacitaires.

Un nécessaire partage du fardeau, une spécialisation des “petites nations”

« Toutes les nations de l’OTAN font face à des pressions budgétaires » a-t-il expliqué. « La diminution des recettes fiscales les forcent à trouver de nouvelles voies de travailler ensemble pour développer de nouvelles capacités. Cela doit nous conduire inévitablement à recherche un meilleur partage du fardeau ». C’était aussi le sens de sa visite à l’Agence européenne de défense. « Je pense paticulièrement que les plus petites nations doivent évoluer pour ne pas chercher à avoir une capacité couvrant l’entièreté du spectre possible ais mais tenter d’identifier les secteurs où elles ont un avantage comparatif et peuvent apporter plus » NB : Un propos quasi similaire à celui que tenait le ministre hongrois de la Défense, Csaba Hende, dans nos colonnes.

Visite à la Commission européenne, avec Cathy Ashton (Crédit : US Department of Defense)

Autre message de l’envoyé américain : la cybersécurité. « Il est important que nous partagions les menaces et les solutions » a-t-il expliqué en substance évoquant les pas concrets pris par les Etats-Unis pour défendre leur cyberspace, notamment dans le travail mené entre le Pentagone et les industriels privés. « Le département de la Défense a beaucoup appris pour protéger les réseaux militaires US » a-t-il dit.

On peut remarquer que cette visite à l’Agence européenne de Défense est un fait qui n’est pas anodin au moment où plusieurs ministres souhaitent sa montée en puissance notamment sur les questions capacitaires et budgétaires.

Lire également :