Cybersécurité - Innovations digitales et numériques

Promulguée le 18 décembre 2013, la Loi de Programmation Militaire (LPM) fait suite aux orientations fixées par le Livre blanc sur la défense et la sécurité nationale 2013. Son article 22 prévoit l’adoption de mesures de renforcement de la sécurité des Opérateurs d’Importance Vitale (OIV) et confère à l’ANSSI de nouvelles prérogatives, explique le Contre-amiral Dominique Riban, Directeur général adjoint, Agence Nationale de la Sécurité des Systèmes d’Information. Pour rappel, la Loi prévoit entre autres que « Le Premier ministre fixe les règles de sécurité nécessaires à la protection des systèmes d’information des OIV et des opérateurs publics ou privés qui participent à ces systèmes pour lesquels l’atteinte à la sécurité ou au fonctionnement risquerait de diminuer d’une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation. » Les OIV devront également mettre en œuvre des systèmes qualifiés de détection des événements susceptibles d’affecter la sécurité de leurs SI, et notifier sans délai tout incident de sécurité affectant le fonctionnement ou la sécurité de ces derniers. Ils devront, de plus, soumettre leurs Systèmes d’Information à des contrôles destinés à vérifier le niveau de sécurité et le respect des règles de sécurité prévues par la Loi.

Cette loi contient de nombreux articles qui dépassent le cadre de ce billet ; nous allons nous concentrer sur le chapitre IV et les articles 21 à 25 qui détaillent les dispositions relatives à la « protection des infrastructures vitales contre la cybermenace ». Depuis l’attaque Stuxnet en 2010, les publications de failles et d’outils offensifs ciblant les « composants SCADA » se sont multipliées. Par ailleurs, de nombreux systèmes sont exposés et accessibles directement sur Internet et peuvent être détectés au moyen de simples requêtes dans un moteur de recherche. Concrètement : il peut suffire de quelques clics de souris pour accéder à des fonctions de pilotage et perturber significativement le comportement d’un site industriel. La capture d’écran ci-contre en est l’illustration : il s’agit d’un système de régulation de chauffage accessible en ligne avec login et mot de passe par défaut.

L'article 13 de cette loi permet aux services de renseignement des ministères de la défense, de l'intérieur, de l'économie et du ministère en charge du budget, d'accéder aux données conservées par les opérateurs de communications électroniques, les fournisseurs d'accès à Internet et les hébergeurs.

on venait poser des questions sur les SCADA. Le contre-amiral nous a assuré qu’il n’amenait pas le sujet sur la table simplement parce que c’est l’axe de communication officiel du moment, mais bien parce que l’agence était cette année particulièrement sollicitée à ce sujet. Selon lui, et comme le mentionnait déjà Patrick Pailloux dans son discours d’ouverture, les visites sur le stand de l’ANSSI montrent qu’il existe dans ce domaine une différence de perspective fondamentale entre la sûreté de fonctionnement et la sécurité de l’information, qui repose sur l’intégrité des données transmises par les capteurs de l’équipement. Et les exploitants semblent parfois encore confondre les deux : les dispositifs de sûreté ne peuvent s’activer et empêcher une catastrophe si les informations qu’ils reçoivent des capteurs sont falsifiées et indiquent que tout va bien. Les collaborateurs de l’ANSSI avaient donc à coeur de marteler cette différence, dans l’espoir que l’écho parvienne jusqu’au automaticiens par l’intermédiaire des RSSI.

L'association rappelle que ce texte « permet d'accéder aux données de connexion et aux contenus dans des conditions déclarées inconstitutionnelles en 2011, pour la loi Loppsi 2 ». Elle cite l'absence de recours à un juge et de limite de conservation des données enregistrés, dans l'article incriminé de la loi de programmation militaire.Sur la base de cet argumentaire, le think tank suggère, dans le respect de l'équilibre des pouvoirs, « de remettre le juge au coeur de l'espace Internet et d'octroyer au Parlement un droit de regard sur ces activités de surveillance et de conservation des données par l'administration ».

L'Asic indique que le régime dérogatoire est « étendu au-delà des cas de terrorisme, [...] à la recherche des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous ».