Cybercriminalité : la France est l'un des pays les plus exposés aux risques de rançongiciels

Atlantico : Face aux différentes menaces de cybercriminalité, les pouvoirs publics se préparent-ils assez ?

Fabrice Epelboin : La problématique la plus importante en cybersécurité est la suivante : il faut se préparer longtemps à l’avance, au moment de la conception plutôt qu’agir avec précipitation. Certes le Président de la République a annoncé un milliard d’investissements à ce propos, mais nous sommes montés d’un niveau en termes de menace. Lorsqu’intervient le débat sur la cybersécurité cela arrive après-coup et souvent c’est beaucoup moins efficace et beaucoup plus cher. Il faut savoir que l’on ne peut plus revenir en arrière et que cela ne sera jamais aussi efficient que si l’on avait prévu cela en amont.

Nous avons toujours considéré cette dépense comme une dépense informatique or ce n’est pas un investissement, mais une couverture de risque. Ces dépenses sont appréhendées par des personnes ayant des compétences informatiques se limitant à Excel. Il y a un véritable gap culturel entre ceux qui dirigent les entreprises, sans formation technique, et ceux de la technique. Nous diminuons les coûts car cela ne se voit pas dans l’immédiat. Il y a un déficit de culture technique et cyber chez les dirigeants d’entreprises. Nous allons payer cela et la note va être salée.

En réponse, il faut former, sensibiliser aux outils techniques. Les décisions à ce propos doivent impérativement être faites avec des personnes saisissant l’importance de ce point de vue pour le prendre en compte. Ils sont tous confrontés à des choix de cyber-sécurité, faire ces choix sans les comprendre c’est faire des choix à l’aveugle.

En terme de cybersécurité, on pourrait croire les États-Unis comme l’un des pays les plus préparés et pourtant ils continuent à être victimes d’attaques massives comme le hack du Colonial Pipeline. Comment expliquer une telle situation ?

Tout cela est lié à votre surface d’attaque. Vous pouvez être l’un des pays les plus forts en termes d’attaque, mais avoir en même temps d’innombrables cibles d’attaques. Même avec une armée gigantesque, il y a tellement de choses à défendre que cela paraît compliqué à protéger. La défense en matière de cybersécurité est le plus souvent du ressort des entreprises voir de temps en temps assistées par l’État quand elles sont stratégiques. Nous revenons alors vers ce problème de management des entreprises. Et en France comme aux Etats-Unis, il y a un déficit de culture numérique…

La situation de la France est quelque peu plus problématique que celle des Etats-Unis. Les ingénieurs sont moins présents dans les comités d’entreprises françaises, donc il y a moins de culture technique. D’autre part, la criminalité la plus grave, le rançongiciel, marche très bien en France car nous avons la réputation de payer les rançons… Du fait de cette réputation, nous allons être plus attaqués que d’autres.

Il est très difficile de se protéger des rançongiciels. Ils peuvent être utilisés suite à une « boulette » d’un employé ou ils peuvent venir de techniques d’attaques très sophistiquées. Il faut savoir qu’en termes de gestion de risque, l’Etat ne peut pas obliger à se protéger car il est impossible d’obtenir des obligations de résultats. Les assurances, comme AXA, ont même arrêté de rembourser de telles sommes.

Après la crise sanitaire, la cyber-criminalité serait-elle l’une des plus grandes menaces que les Etats modernes devront affronter ce siècle ?

Nuançons quelque peu le propos car face au changement climatique ce n’est rien. Nous pouvons dire que c’est l’une des plus grandes menaces car toute notre société est numérique. Cette criminalité rapporte plus que le trafic de drogue et le trafic d’être humain réunis ! Cela donne une idée des enjeux derrière la pratique, c’est l’équivalent de 500 milliards de dollars.

En France, nous nous préparons peu à cette menace. Nous sommes dirigés par des personnalités sorties de Sciences-Po et de l’ENA. En comparaison, le comité central du Parti communiste chinois est composé majoritairement d’ingénieurs. La culture française n’est pas adaptée à la technologie. En dehors de Thierry Breton, qui est ingénieur, nous avons des politiques qui croient au progrès avec la foi du charbonnier comme au Moyen-Âge on croyait en dieu. Ils sont incapables de voir une technologie qui aurait un impact positif pour la société, d’autres qui auront un impact à court terme ou à long terme. C’est valable pour l’Etat et pour la plupart des grandes entreprises.

A lire aussi : Cybercriminalité : la (coupable) stratégie de l’autruche ?