La cyberguerre et la cyberdéfense sont à la fois des termes à la mode, mais également des vocables mal compris ou inopportunément utilisés : dans le spectre existant des menaces, nous devons inclure tous les aspects technologiques, dont la cyberguerre. Le directeur général de l’Institut international des études stratégiques, John Chipman, n’hésite pas à souligner ⁽¹⁾ que « malgré les preuves de cyberattaques dans les derniers conflits politiques, il y a peu d’intérêt au niveau international pour évaluer les cyberconflits. Nous sommes, en relation avec le problème de la cyberguerre, au même stade de développement intellectuel que nous étions dans les années 50 par rapport à la guerre nucléaire ». C’est pourquoi une attention spéciale est requise dans le cadre de la protection contre cette menace asymétrique : c’est la cyberdéfense. Nous verrons dans l’analyse qui suit que les concepts utilisés en la matière peuvent avoir un contenu différent selon l’organisation qui les utilise. Le point commun en est pourtant l’actualité : tant l’Estonie que la Géorgie ont été victimes de ces aléas. À titre indicatif, la Russie vient d’inclure dans la dernière version de sa doctrine militaire ⁽²⁾ la perturbation du fonctionnement du gouvernement, des installations militaires et de l’infrastructure d’information de la Russie dans la description des dangers militaires internes les plus importants. Une cyberattaque pourrait effectivement être engagée afin d’interférer dans les réseaux d’infrastructure d’un pays, de s’approprier des données militaires internes, d’essayer de perturber ses opérations financières ou désorganiser un certain nombre d’autres objectifs sans qu’aucune action militaire conventionnelle n’ait été engagée. Un aspect amplificateur du problème traité est l’absence de frontières étatiques dans l’espace cybernétique. D’où la nécessité de coordonner les efforts au niveau international.

La Protection de l’infrastructure d’information critique (PIIC) par l’Otan

Depuis les opérations de l’Otan dans les Balkans, des attaques sous forme de déni des services offerts (Distributed Denial of Service – DDoS) ont régulièrement été observées sur les réseaux de l’Alliance. En conséquence, un certain nombre de tâches en matière de défense cybernétique ont été développées, qui sont attribuées à des agences spécifiques au sein de la structure de l’Otan. Bien que l’organisme de commandement de consultation et de contrôle de l’Otan (NC3) relève du Comité militaire, notons que le Conseil du NC3 à un devoir de justification auprès du Conseil de l’Atlantique Nord (CAN). La répartition des responsabilités dans le domaine de la cyberdéfense s’est démultipliée, de même que les activités de l’Otan : lors du Sommet de Prague il a été décidé de lancer un programme technique pour la coordination de la cyberdéfense disposant d’une capacité de réaction, eu égard aux incidents observés sur les réseaux informatiques (Computer Incident Response Capability – NCIRC) ⁽³⁾. La coordination de ce programme est faite au siège de l’Otan à Bruxelles, tandis que le centre technique est délocalisé au SHAPE (à Mons). Pendant les mois d’avril et de mai 2007, l’Estonie fut harcelée par des cyberattaques d’une provenance indéterminable avec certitude. L’impact sur la société estonienne était tellement considérable, qu’il a été proposé de mettre en place un centre d’expertise pour promouvoir la coopération et la formation entre les pays de l’Otan ainsi qu’une législation en vue d’obtenir une meilleure résilience : le Centre d’excellence pour la coopération en matière de cyberdéfense (Cooperative Cyber Defence Centre of Excellence - CCD CoE Talinn) a été créé dans cet état d’esprit, avec un cadre clair, matérialisé par la politique sur la défense cybernétique de l’Otan. Outre le CCD CoE (opérationnel depuis avril 2008), une autorité de contrôle (Cyber Defense Management Authority - CDMA) ⁽⁴⁾ a été créée et mise en service depuis avril 2008 (accréditée depuis octobre 2008). Contrairement au Centre d’excellence, qui constitue une plate-forme intellectuelle et un forum d’échange d’informations, le CDMA incarne la capacité opérationnelle, responsable pour le déclenchement ainsi que la coordination de l’action immédiate de la cyberdéfense en cas d’attaque imminente ou en cours. En pratique, cette autorité est responsable pour l’attribution des interventions concrètes de la NCIRC susmentionnée, organiquement dépendante de l’Agence de communications et des systèmes d’information de l’Otan (Communication and Information Systems Services Agency - NCSA).

Le Conseil de l’Atlantique Nord contrôle à la fois la politique et les activités en matière de défense cybernétique. En janvier 2008, cette politique fut officiellement entérinée ⁽⁵⁾. Aussi bien l’Agence de consultation, de commandement et de contrôle de l’Otan (NATO Consultation, Command and Control Agency - NC3A), que le Comité militaire ont la responsabilité de sa mise en œuvre ⁽⁶⁾ : à cette fin, un concept d’opérations a été élaboré ⁽⁷⁾. Dans ce cadre, la NCIRC est mandatée pour prendre les mesures appropriées en cas d’attaque avérée. À l’heure actuelle, des rapports mensuels sont publiés par la NCIRC, décrivant les incidents ou attaques cybernétiques observés sur le réseau de l’Otan sous la forme de rapport d’incident. Les constituants de la politique adoptée sont classifiés, mais on peut imaginer que les missions attribuées au Centre d’excellence (CCD CoE), sont en pleine conformité avec la politique choisie ⁽⁸⁾ qui consiste à offrir des cyberdoctrines et de concepts connexes, à organiser des formations, des cours et des exercices pour les États membres de l’Otan, à procéder à la recherche et au développement des activités antagonistes, à étudier les attaques passées ou actuelles, à en tirer les leçons, et à fournir des conseils lors d’attaques en cours. L’Otan a également développé la capacité de protéger ses systèmes de communication sous l’égide de la NCSA.