« Il faut se préparer au grand soir, quand des pans entiers de notre société seront attaqués simultanément. » Pour sa première intervention aux Assises de la sécurité des systèmes d’information de Monaco, l’un des événements phares du secteur, Vincent Strubel a mis l’accent sur la montée des menaces informatiques. Une dramatisation des enjeux classique des patrons de l’Anssi. Elle a le mérite d’être efficace dans cet exercice d’ouverture des Assises, une prise de parole qui donne le la au secteur.
Triple défi
Car pour Vincent Strubel, arrivé aux manettes du cyber-pompier de l’Etat en janvier dernier, la barre est toujours très haute en matière de cybersécurité. Et de signaler un triple défi. Il s’agit premièrement d’arriver à tirer vers le haut une multitude d’acteurs qui n’ont pas les mêmes moyens. Deuxièmement, il faut se préparer au pire – le grand soir évoqué – en mettant en place des « mécanismes d’escalade ». Il s’agit de pouvoir répondre collectivement à une attaque massive qui déborderait les capacités de l’Anssi. Enfin troisièmement, il faut arriver à faire tout cela en évitant d’avoir le nez dans le guidon et en gardant de fortes expertises.
Le principal instrument de l’Anssi pour faire face à ces menaces est la future transposition de la directive européenne NIS-2. Mais ses contours, à plusieurs mois de l’arrivée du projet de loi au printemps, sont toujours incertains. Il y aura ainsi entre dix fois et trente fois plus d’acteurs régulés par l’Anssi, historiquement une administration dédiée à la cybersécurité de l’informatique de l’Etat. « Le fait qu’on ne puisse pas donner de chiffres est une indication », glisse Vincent Strubel. « J’ai fait euphémisme en langue vivante 1 », dira-t-il plus tard.
La redondance plutôt que le trou dans la raquette
Un exemple du travail commun de cartographie à mener? L’hiver dernier, le cyber-pompier de l’Etat s’était attelé à identifier les acteurs sensibles de l’électricité et du gaz qui n’étaient pas encore dans son périmètre. « Les analyses de risque, nous en faisons tous comme on respire, mais nous ne pouvons peut-être pas les imposer à toutes les structures », remarque ainsi le directeur général de l’Anssi à propos de l’hétérogénéité du futur périmètre couvert.
« Nous devons donc faire évoluer notre offre de service », avec des outils plus simples, automatisés, et un travail en réseaux, au pluriel, adaptés aux structures visées. poursuit Vincent Strubel. Quitte parfois à ce que plusieurs structures fassent la même chose, l’une des critiques apportées aux nouveaux centres de réponse à incidents régionaux qui viennent d’être incubés par son agence. « Je suis convaincu qu’ils apportent plus d’opportunités que de redondance », signale toutefois Vincent Strubel. Et de préciser préférer la redondance au trou dans la raquette. Autrement dit: face au grand soir attendu, mieux vaut ne pas manquer de bras.