Étudions maintenant le premier objectif affiché de cette stratégie p 14 à 17, dont une pleine de dessin, soit 3 pages utiles.
L’introduction du texte laissait penser que nous n’étions pas dans la stratégie, le premier objectif le confirme, ne serait-ce que par son libellé auquel il manque des verbes d’action.

Source

L’exposé des enjeux laisse sceptique. En effet, nous apprenons que Demain, un attaquant pourrait prendre le contrôle d’objets connectés, interrompre à distance une activité industrielle ou détruire sa cible. Bon. Stuxnet doit être un rêve, un blockbluster ou un bad trip alors…

Je ne vois pas non plus en quoi l’attaque de TV5 a pu favorise(r) la radicalisation. Qu’elle en ait été un agent de propagande, pourquoi pas, ce qui expliquerait d’ailleurs la volonté des politiques de nier l’existence du cybercalifat, mais de là à favoriser la radicalisation…

Sont évoqués les États qui se livrent à des frappes informatiques contre leurs alliés (c’est dit de manière diplomatique), ce qui ruinerait la confiance qu’il serait naturel d’attribuer aux produits et services numériques de leurs entreprises. Dans l’absolu, oui, mais dans la pratique, est-il possible de se passer d’un anti-virus, d’un logiciel américain ou russe ? Nous ne sommes plus dans la stratégie mais dans les bonnes paroles, car une véritable stratégie aurait conclu à l’impérieuse nécessité de recréer une industrie du logiciel et de l’OS. Malheureusement, rien n’a été appris de l’échec d’Alcatel qui se voulait une entreprise fabless. Les mêmes causes vont-elles produire les mêmes effets ?

Vient ensuite l’annonce de la création d’un groupe d’expert pour la confiance numérique. Pourquoi pas. Il a cependant plusieurs faiblesses structurelles :

1. n’être composé que de représentants des administrations ;
2. ne pas inclure la CNIL alors qu’il œuvrera pour la confiance numérique, ce qui l’amènera à évoquer la question des données personnelles ;
3. ne s’appuyer que sur des produits logiciels que la France ne maîtrise pas.

De plus, ses missions étonnent : identifier les technologies-clés dont la maîtrise est nécessaire pour les métiers de la cybersécurité et plus largement pour le développement d’un environnement numérique de confiance. Il était temps de s’en préoccuper. Évaluer les besoins en formations initiales et continues. Même remarque.

On apprend aussi que la France restera vigilante sur la nature et les capacités des équipements matériels et logiciels installés au cœur de ses réseaux de communications électroniques, pour protéger le secret des correspondances, la vie privée de ses citoyens. Bon, avec la LPM et la loi sur le renseignement, cela risque d’être un beau défi. (…) et poursuivra l’adaptation de son cadre réglementaire aux nouvelles technologies émergentes. Bien, mais le cadre législatif (différent du réglementaire) va-t-il rester figé ? Ce serait dommage.

Aviser les Français des éléments contraires à la sécurité est une bonne chose. Cependant, écrire que le cas échéant, ces informations auront au préalable été consolidées avec les administrations compétentes risque d’allonger les délais de transmission. Or le temps joue pour les attaquants…

Rien de spécial à relever à partir de la page 17, si ce n’est la confusion entretenue chez les lecteurs par le passage du terme numérique à celui de cyber. Il eût été bon, comme je l’ai écrit dans mon billet d’avant-propos, que ces termes aient été définis avant d’être employés. Car de cette lecture je déduis que la cybersécurité est incluse dans le numérique. Mais qu’est donc ce numérique ?
Enfin, si ! Il faut élaborer un corpus intellectuel relatif au cyberespace. Alors, les chaires Castex et Saint-Cyr, on dort ?

À suivre…