La cybersécurité, une affaire d’État

Dans le cyberespace, les règles du droit international et les grands principes qui régissent les relations entre États s’appliquent. C’est ce qu’a reconnu le groupe des experts gouvernementaux sur la cybersécurité de l’ONU (GGE), qui a mené des négociations sous l’égide des États-Unis dès 2004. Résultat : en 2015, les États volontaires se sont engagés à faciliter la coopération et à réduire les risques d’incompréhension. Au programme : transparence sur leur organisation et sur leur posture nationale en matière de cybersécurité, et coopération avec les pays victimes d’attaques émanant de leur territoire, en particulier quand elles visent une infrastructure critique. « Afin de renforcer la résilience globale de l’espace numérique, chaque État est encouragé à renforcer sur le plan national sa propre cybersécurité, et notamment celle de ses systèmes les plus sensibles, comme ceux des infrastructures critiques », peut-on lire dans la revue stratégique de cyberdéfense de 2018. Les États s’engagent également à lutter contre la prolifération des outils informatiques malveillants, à ne pas endommager d’infrastructures critiques d’un autre État et à ne pas détériorer ses capacités à fournir un service au public.

En attente de normes internationales

Les dernières négociations du GGE en 2017, ont échoué sur un point : les modalités d’application du droit international. Cet échec ne remet pas en question les accords passés ; il montre simplement une divergence fondamentale de perception de l’architecture internationale de sécurité entre États à l’ère numérique, précise la revue stratégique.

Transparence sur leur organisation et coopération avec les pays victimes d’attaques.

Lancée en février 2017, la commission globale sur la stabilité du cyberespace devrait à son tour préconiser des normes internationales pour encourager un comportement responsable des acteurs, étatiques et non-étatiques, dans le cyberespace. Certaines entreprises sont aussi de la partie : Microsoft a proposé des normes de comportement, aussi bien aux États qu’au secteur privé. Mais les réglementations nationales se multiplient, « créant des obstacles supplémentaires pour les entreprises de sécurité informatique », estime pour sa part Eugène Kaspersky, PDG de la société mondiale Kaspersky Lab. Il leur est alors plus difficile de protéger citoyens et entreprises. Certains pays ont ainsi adopté des obligations plus contraignantes ces dernières années : Union européenne, Royaume-Uni, États-Unis, Russie, Chine… Pour protéger leurs frontières numériques, les États « devront choisir entre balkanisation ou coopération », explique Eugène Kaspersky. La balkanisation signifie une intervention croissante des responsables politiques et une interruption des projets de coopération internationale. Avec pour risques de laisser chaque pays livré à lui-même face aux cybermenaces mondiales et d’affaiblir sa protection. À l’inverse, la coopération entre forces de l’ordre nationales et entreprises de cybersécurité – investigations conjointes, collaboration et partage d’informations – crée « une communauté unie, sans frontières, contre les cybermenaces ». Cet environnement ouvert favorise le dynamisme et la concurrence dans le secteur de la cybersécurité. Avec, à la clef, des technologies plus efficaces et une protection renforcée pour tous.