Dans cette édition, nous avons décidé de nous concentrer sur les cybermenaces en lien avec la guerre déclenchée par la Russie contre l’Ukraine et choisi pour titre une date qui restera désormais dans l’histoire.
“Yesterday, December 7, 1941 – a date which will live in infamy – the United States of America was suddenly and deliberately attacked by naval and air forces of the Empire of Japan.” Ainsi commença le discours du Président Roosevelt devant le Congrès le 8 décembre 1941. Comment, le 24 février 2022, en est-on arrivé à cette situation qui risque de nous précipiter dans un nouveau conflit généralisé aux conséquences dévastatrices? Comment en est-on arrivé au point où ce gouvernement russe se met à menacer le monde du feu nucléaire? Nous laisserons ici les commentateurs – tous plus avisés les uns que les autres – déterminer qui porte quelles responsabilités dans le chemin qui a amené l’humanité à ce point de bascule, mais nous voulons, haut et fort, affirmer notre profonde conviction qu’aucune raison ne justifie cette escalade de violence et qu’elle doit être condamnée dans les termes les plus durs.
Quels sont les développements possibles de cette guerre dans les sphères cybernétique et informationnelle pour la Suisse? Toute action dépend de trois critères: savoir, pouvoir, vouloir. Le savoir, soit le “où et comment frapper”, est largement disponible. Le pouvoir, soit les moyens opérationnels, ils sont déjà largement engagés au quotidien. Le vouloir, ou la décision de passer à l’acte; Poutine a balayé lui-même les derniers doutes et ses dernières déclarations sur l’emploi de l’arme nucléaire ne laissent rien augurer de bon.
Nous avons donc décrit ci-après les risques qui, sur la base des faits passés et actuels, pourraient se matérialiser dans un futur proche contre la Suisse et ses intérêts.
Dans l’immédiat
- Cyberharcèlement – Les soutiens criminels habituels du Kremlin peuvent, à l’instar des actions des Anonymous qui ont annoncé vouloir cibler la Russie, arroser la société de multiples cyberattaques peu sophistiquées, mais suffisantes pour provoquer d’importantes perturbations qui ne manqueraient pas de toucher directement la vie quotidienne de la population et impacteraient les activités de nos entreprises. Nos moyens de lutte atteindront ici déjà rapidement leurs limites.
- Propagande et désinformation – Ces actions sont déjà largement en cours. Les réseaux sociaux sont inondés de fake news et la rhétorique utilisée est extrêmement agressive avec des allusions hallucinantes au nazisme et à un génocide en cours. À part la diffusion de consignes au moyen de ses services de communication, notre gouvernement n’a pas de moyens. Elle ne peut que se réfugier derrière la liberté de l’information et espérer que cette situation n’aille pas plus diviser une population déjà éprouvée par deux ans de dégâts informationnels infligés par le COVID.
- Cybercriminalité – Le vacarme de la guerre est une aubaine pour ceux qui veulent profiter d’un “effet tunnel”. Il faut donc s’attendre à une recrudescence de cyberattaques opportunistes des “petits voleurs”, comme ce fut le cas dès le début de la crise du COVID.
Ensuite, si le conflit dure et s’étend à d’autres théâtres (les poudrières ne manquent pas).
- Cybersabotages – La préparation de cyberattaques sophistiquées prendra quelques semaines ou mois, sauf si les préparatifs ont déjà été réalisés. Des actions à des fins stratégiques visant des infrastructures et services vitaux dans le but de paralyser la société sont ainsi probables avec pour cibles primaires l’électricité et les câbles sous-marins pour le transport des données dont nous sommes totalement dépendants. Dans ce cas, des attaques contre l’UE impacteront aussi la Suisse en raison de l’interconnexion des réseaux. Ces dernières années, la Russie s’est déjà “exercée” contre l’Ukraine, les USA et le réseau de distribution européen et divers alliés de la Russie pourraient intensifier les efforts de celle-ci et compliquer l’attribution de ces cyberattaques, entravant ainsi notre propre défense. Car sans identification claire de l’auteur, pas de contre-mesure possible.
- Chaînes d’approvisionnement – La perturbation croissante des flux complexes de l’économie mondiale conduira à un manque de ressources de base (métaux, pétrole, etc.) et de composants, entraînant une perturbation croissante de notre économie. Seront notamment impactés le remplacement ou la réparation de systèmes en panne ou ayant subi divers types d’attaques, dont celles cyber. Le fragile équilibre de notre économie “en flux tendu” sera fortement perturbé pendant une durée inconnue à ce stade.
- Atteinte contre la société et la démocratie – Rappelons-nous les élections aux USA avec des mouvements de type Q-Anon, aussi présents en Suisse. Rappelons-nous aussi la votation sur la loi COVID à fin 2021. Nous l’avons déjà écrit, la Suisse n’est pas à l’abri et personne ne sait ce que le cocktail “hausse des prix / privations + peur + désinformation” pourrait entraîner chez nous aussi. Dans ce contexte, il faut aussi craindre un possible effet boule de neige qui pourrait affecter d’autres régions du monde.
Que l’on ne vienne pas nous dire que ces développements ne sont pas réalistes! Depuis 1991, ceux qui ont désarmé notre Pays ont eu tort: la guerre et ses conséquences n’ont pas disparu du paysage de la politique européenne et mondiale et doivent demeurer partie intégrante de notre vocabulaire. La culture suisse en matière de politique de sécurité doit revenir à la réalité: le monde n’est pas une grande colonie de gentils Bisounours! Il y aura toujours des intérêts de puissance utilisés abusivement par des criminels prêts à presser sur le bouton…
Nous non plus ne savions pas ce qui allait se passer le 24 février 2022, mais chez digiVolution nous cultivons un sens profond de précaution et les recommandations de notre billet du 14 février étaient ainsi en phase avec la situation devenue entre-temps réelle. S’il n’est pas honteux de subir une attaque, quelle qu’elle soit, il est en revanche inacceptable de subir des dégâts qui auraient pu être évités par des mesures préconisées et répétées depuis longtemps par de nombreux professionnels. Rappelons que la négligence est un acte criminel puni pénalement par notre code pénal.
La Suisse est-elle prête aux développements probables exposés ci-dessus? La réponse est clairement non! Alors, en fonction de l’évolution de la situation, voici une mise à jour de nos recommandations:
- Les mesures préconisées dans notre billet du 14 février doivent être mises en œuvre sans plus attendre: vérifier la liste des cyberrisques susceptibles d’impacter la marche des affaires et adapter les mesures decybersécurité en conséquence; former le personnel à détecter et à réagir face à des actes cybermalveillants et aux perturbations qui pourraient s’ensuivre; vérifier et entraîner le dispositif de gestion de crise. Au besoin digiVolution peut prêter main forte.
- Dans le cyberespace, un suivi permanent de l’évolution de la situation doit être réalisé et le renseignement ainsi gagné doit être distribué sans attendre à tous les décideurs. digiVolution construit en ce moment une solution qui sera annoncée lors des prochains SCSD.
- Les enseignements de cette première guerre de haute intensité au temps de l’hyperconnectivité doivent être tirés et concrétisés en continu. Se donner des années pour mettre en place un projet? C’est terminé. L’agilité doit être un fait et non plus un slogan vide. Chez digiVolution nous assurons une veille stratégique et partagerons volontiers nos observations pour aider les organisations à prendre les bonnes décisions.
- La milice est un moyen unique pour créer sans délai un successeur à feu le Régiment d’information 1 disparu à fin 2003. La Suisse doit enfin se donner les moyens d’analyser et de combattre en continu la propagande et la désinformation. Là aussi, digiVolution dispose dans ses cartons d’une solution qui devrait pouvoir être prochainement communiquée.
- Il faut d’urgence prendre acte des transformations profondes qu’entraînent la digitalisation et l’hyperconnexion. Quand on lit “Ueli Maurer will eine starke Armee“, de laquelle s’agit-il? Nous doutons que dans l’immédiat plus de blindés et d’artillerie soient la bonne réponse. Il est par ailleurs urgent d’adapter les mécanismes politiques qui, année après année, empêchent l’armée de se développer. L’initiative contre le F35 en étant le dernier avatar. On peut réduire les droits abusifs de recours contre le déploiement d’éoliennes et pas en matière de défense nationale? Et quid de notre base industrielle de défense?
Chers Lectrices et Lecteurs, nous aspirons tous à la paix et à un bonheur légitime, mais l’actualité nous a brutalement réveillés et montré un visage que beaucoup avaient voulu oublier. Il n’est plus l’heure de tergiverser et de remettre à demain ce que nous aurions dû faire depuis longtemps pour notre cybersécurité. Si nous avons pu mettre des milliards pour défendre les salaires durant le COVID, pourquoi ne pourrions pas mettre des moyens enfin à la hauteur des défis pour défendre nos entreprises et infrastructures menacées par d’autres virus…! Cela est urgent.
Nous nous permettons, une fois encore, de revenir sur nos remarques sur le Rapport de politique de sécurité du Conseil fédéral. Nous en sommes convaincus, les enjeux de la mutation digitale n’ont pas été compris.
Dans les années ’80, on disait de la Suisse qu’elle n’avait pas d’armée, mais quelle était une armée. Et si nous adaptions cette image aux nouveaux défis? Dans le cyberespace seule une société solide en profondeur, où toutes les mains, petites et grandes, font leur part, sera en mesure d’assurer sa protection et sa résilience, de maintenir la confiance et l’unité de ses citoyens et d’assumer sa souveraineté. Une “défense générale” – bien sûr revisitée – est l’affaire de tous.
Chez digiVolution nous militons, comme d’autres pour penser et construire une cybersécurité globale qui ne soit pas un simple accessoire de notre temps, mais la clé d’une mutation digitale réussie de notre société et pour passer d’une logique de réaction à celle de l’anticipation.
—————————-
Nous vous souhaitons une enrichissante découverte des articles et liens sélectionnés, nous réjouissons de vous retrouver dans 15 jours.