Osons replacer l’humain au cœur de nos stratégies de cybersécurité

Le piratage massif de l’administration fiscale française (670 000 contribuables) constitue un véritable choc national mais aussi une immense prise de conscience. Les données personnelles détenues par une administration publique peuvent être dérobées et exploitées par des criminels. Et l’Etat n’a probablement plus les moyens de les protéger efficacement. Pourtant ce vol d’une ampleur inédite a été rendu possible par une simple erreur humaine.

Par Major-Général Pierre Ciparisse, Commandant en chef de la Force Cyber, Belgian Cyber command.

Le premier Ministre Sébastien Lecornu avait assez bien résumé la situation en expliquant que la sécurisation des systèmes du fisc répondait à de hauts standards mais que « la meilleure serrure du monde ne sert à rien si on laisse la clé sous le paillasson ». Et il a ajouté : « Surtout si toute la rue sait où se trouve la clé ».

Osons donc replacer l’humain au centre de nos stratégies, car la cybersécurité ce n’est pas qu’une affaire de machines et d’algorithmes, c’est avant tout une question d’humains. L’humain et son libre arbitre, ses sentiments et sa perception qui constituent aussi bien la cible des cyberattaques que de la désinformation.

Mais il faut aussi oser penser à l’humain dans ses différents rôles : concepteur de programmes et de systèmes, utilisateur des plateformes numériques mais aussi acteur et citoyen. Et pour y arriver les campagnes de sensibilisation ne suffiront pas. Nous devons travailler en amont conscientiser les jeunes à l’école. Transformer cette « cyber hygiène » en véritable réflexe, en automatisme qui les accompagnera dans toutes les étapes de leur vie personnelle et professionnelle.

En Belgique, nous devons oser briser les frontières, qu’elles soient linguistiques, culturelles ou administratives afin de renforcer la résilience nationale. Cet enjeu dépasse largement nos niveaux de pouvoir qui sont comparables aux compétences exercées en France entre l’Etat central et les collectivités territoriales. Il existe cependant de nombreuses différences institutionnelles, notamment le fait qu’il n’existe en Belgique aucune hiérarchie entre l’Etat fédéral et les entités fédérées ce qui peut provoquer une dispersion des moyens et des compétences dans des matières aussi complexes et transversales que la cybersécurité.

Nous pensons que la Défense peut justement participer à cette indispensable coordination en réunissant les acteurs gouvernementaux, ceux du monde académique et de la recherche. Sans oublier les centres de formation et le monde l’associatif. Cette dernière dimension est parfois négligée alors qu’elle est probablement aussi importante que les autres. J’en reviens à l’humain, car nous pensons que la cybersécurité est inclusive par définition puisqu’elle s’est imposée comme une question de société.

C’est pour ces raisons que nous avons inauguré pas moins de trois « Cyber Defence Factories » en à peine plus de deux ans. Elles constituent des lieux de rencontre et de recherche dans des microcosmes cyber locaux mais aussi les premières implantations officielles de la Force Cyber et du renseignement militaire en milieu civil.

Nous nous sommes inspirés de l’exemple français du pôle économique cyber de Rennes et nous l’avons adapté à nos spécificités belges. Nous avons par exemple ouvert la première à Charleroi dans un incubateur d’entreprises, la seconde à Bruges dans une école supérieure et la troisième à Hasselt sur le plus grand campus technologique du pays qui regroupe plus de 250 entreprises.

Le moteur de ces « factories », c’est évidemment l’innovation et la Défense joue encore ce rôle de trait d’union entre le monde public et privé puisqu’elle permet de financer des projets concrets en matière de cybersécurité à vocation « duale » c’est-à-dire aussi bien civile que militaire.

De plus, elles peuvent être amenées à remplir un rôle sociétal en illustrant concrètement notre appui à la Nation. En 2023, le Centre Public d’Aide Sociale (CPAS) de Charleroi a été l’objet d’une cyberattaque sans précédent. Elle était l’œuvre de groupes d’activistes liés à la Russie qui cherchaient à dérober les noms et adresses des réfugiés ukrainiens accueillis dans notre pays. Nous avons signé un accord de partenariat avec le CPAS, le SGRS (le service général de renseignement et de sécurité), une entreprise privée de cybersécurité et une association afin de partager les données de cette attaque. C’est ce qui a permis à cette dernière d’utiliser ces données comme cas d’école dans le cadre de ses formations en cybersécurité.

Enfin, en ce qui concerne l’Europe nous devons oser aller plus loin en dépassant les échéances politiques nationales et définir une vision sur les dix prochaines années au minimum. Mais au niveau militaire, nous ne sommes certainement pas inactifs. Les cybercommanders des Etats membres se réunissent afin de coordonner différentes opérations européennes, notamment celles liées au CRRT (European Union Cyber Rapid Response Teams).

Ces équipes multinationales permettent la mutualisation des moyens européens, en matière de formation ou de déploiement par exemple, mais aussi d’assurer le partage d’informations liées aux incidents ou aux vulnérabilités. Mais surtout, elles visent à mettre à disposition des capacités opérationnelles conjointes qui offrent une réponse coordonnée à différentes menaces en Europe ou à ses frontières.

Le premier déploiement des CRRT au profit de pays tiers a eu lieu en 2022 afin de sécuriser les infrastructures critiques ukrainiennes lourdement menacées par les cyberattaques russes. Le deuxième s’est déroulé en Moldavie en 2024 lors du scrutin présidentiel et du référendum d’adhésion à l’Union européenne. Nos équipes avaient pour mission de sécuriser la transmission des résultats électoraux et de surveiller la désinformation russe qui visait à perturber le déroulement du scrutin.

Ne l’oublions pas, au-delà des attaques menées contre les Etats, c’est l’Europe qui est visée car elle incarne encore un idéal de démocratie malgré la montée des extrêmes et des populismes. Et c’est ce que nous comptons défendre ensemble dans le cyberespace au nom de la liberté.