L’ANSSI le garant de la cybersécurité et de la cyberdéfense de la France

Cheffe de la cyber­sé­cu­ri­té et de la cyber­dé­fense en France, l’ANSSI se mobi­lise pour défendre les inté­rêts de la France et pour pro­té­ger le tis­su éco­no­mique et socié­tal natio­nal dans un monde où le numé­rique est de plus en plus omni­pré­sent et la menace cyber de plus en plus sophis­ti­quée. Vincent Stru­bel (X00), Direc­teur géné­ral de l’ANSSI, nous pré­sente cette auto­ri­té, ses mis­sions, ses enjeux, ain­si que ses forces vives.

Pouvez-vous nous rappeler le rôle et les missions de l’ANSSI ?

L’ANSSI est l’autorité natio­nale en matière de cyber­sé­cu­ri­té et de cyber­dé­fense. Au sein de l’État, l’ANSSI a un posi­tion­ne­ment par­ti­cu­lier : elle fait par­tie des ser­vices du Pre­mier ministre au sein du Secré­ta­riat géné­ral de la sécu­ri­té et de la défense natio­nale. La France a ain­si fait un choix assez ori­gi­nal dans le pay­sage inter­na­tio­nal en se dotant d’une agence inter­mi­nis­té­rielle pla­cée à proxi­mi­té du som­met de l’exécutif et qui a comme mis­sion unique et exclu­sive la cyber­sé­cu­ri­té, là où la plu­part de nos voi­sins com­binent les ser­vices de ren­sei­gne­ment, d’enquêteurs…
Notre rôle et nos mis­sions sont exclu­si­ve­ment défen­sifs. Nous nous adres­sons à l’ensemble du tis­su natio­nal afin de garan­tir la cyber­sé­cu­ri­té de tous et de trou­ver les solu­tions les plus adé­quates pour les par­ti­cu­liers, les entre­prises et les admi­nis­tra­tions. Nous accom­pa­gnons prin­ci­pa­le­ment deux types de béné­fi­ciaires : les admi­nis­tra­tions et les opé­ra­teurs régu­lés (opé­ra­teurs d’importance vitale et les opé­ra­teurs de ser­vices essen­tiels), dont le sta­tut est défi­ni par la loi.

Plus par­ti­cu­liè­re­ment, les mis­sions de l’ANSSI s’articulent autour de trois grands axes :
• Répondre aux attaques : dans ce cadre, il ne s’agit pas d’avoir une démarche offen­sive dans le cybe­res­pace. Nos enjeux sont de mieux com­prendre la menace qui cherche à por­ter atteinte aux inté­rêts fran­çais ; détec­ter les attaques, notam­ment celles visant l’État ; inter­ve­nir en cas d’incident pour y mettre fin, remettre le sys­tème d’information en état accep­table pour main­te­nir l’activité… ;
• Sécu­ri­ser l’État et les acti­vi­tés d’importance vitale : l’ANSSI dis­pose d’un pou­voir d’autorité et peut ain­si impo­ser aux admi­nis­tra­tions et aux opé­ra­teurs du sec­teur pri­vé des mesures afin de se sécu­ri­ser avec une obli­ga­tion de reporting ;
• Pro­mou­voir la cyber­sé­cu­ri­té dans la socié­té fran­çaise : nous met­tons à la dis­po­si­tion de l’ensemble du tis­su éco­no­mique et socié­tal natio­nal (PME, asso­cia­tions…), les moyens qui vont leur per­mettre de se pro­té­ger et de se sécu­ri­ser. Pour ce faire, nous menons un impor­tant tra­vail de péda­go­gie. Nous col­la­bo­rons avec les indus­triels pour déve­lop­per et ren­for­cer leur offre en la matière. Nous mobi­li­sons l’État au ser­vice de nos conci­toyens pour répondre à ces enjeux de cybersécurité.

Pour por­ter ces vastes mis­sions, l’ANSSI s’appuie sur plus de 600 agents.

Au cours des dernières décennies, la cybersécurité est devenue un sujet central et stratégique pour les États, les administrations, les villes, les collectivités et les entreprises de toute taille. Quelles sont les évolutions qui ont marqué ce secteur ?

Dans les années 90 à 2000, la cyber­sé­cu­ri­té a d’abord été une nui­sance. C’était l’époque où nous ins­tal­lions tous des anti­vi­rus sur nos ordi­na­teurs et les consé­quences étaient assez res­treintes. À la fin des années 2000 et le début des années 2010, la cyber­sé­cu­ri­té est deve­nue un enjeu stra­té­gique pour les États, qui ont été les pre­mières cibles des cybe­rat­taques, mais aus­si, pour cer­tains, les pre­miers cybe­rat­ta­quants dans une logique d’espionnage et de désta­bi­li­sa­tion. La créa­tion de l’ANSSI en 2009 est inter­ve­nue entre deux évé­ne­ments majeurs : les cybe­rat­taques de 2007 qui ont for­te­ment désta­bi­li­sé l’Estonie et les pre­mières affaires d’espionnage à Bercy.

Une décen­nie plus tard, la cyber­sé­cu­ri­té n’était alors plus seule­ment un enjeu stra­té­gique pour les États, mais un enjeu de socié­té à cause de deux phé­no­mènes qui ont tota­le­ment redes­si­né le monde de la cyber­sé­cu­ri­té. Nous avons assis­té au déve­lop­pe­ment du crime orga­ni­sé dans le domaine de la cyber­sé­cu­ri­té avec l’explosion du recours aux ran­çon­gi­ciels. Les cybe­rat­ta­quants ne s’en prennent alors plus aux États, mais vont cibler tout et tout le monde : les entre­prises, les hôpi­taux, les admi­nis­tra­tions, les col­lec­ti­vi­tés locales… Aujourd’hui, l’industrialisation et la concen­tra­tion des acteurs du numé­rique, notam­ment dans le domaine du cloud, posent un défi en matière de cyber­sé­cu­ri­té, mais aus­si de sou­ve­rai­ne­té nationale.

Le Plan de Relance suite à la pandémie prévoyait un volet cybersécurité. Que faut-il retenir ?

Le plan de relance pré­voyait, en effet, un volet cyber­sé­cu­ri­té, dont nous avons assu­ré le pilo­tage, avec un bud­get de 176 mil­lions d’euros sur deux ans, soit près de 7 fois le bud­get annuel de l’ANSSI. Dans un contexte post-pan­dé­mie mar­qué par l’accélération de la trans­for­ma­tion numé­rique, ce plan a été un for­mi­dable accé­lé­ra­teur pour nos mis­sions ain­si que la pos­si­bi­li­té de déployer des pro­jets pour les­quels nous ne dis­po­sions pas de moyens finan­ciers jusque-là. Le Plan de Relance nous a éga­le­ment per­mis de nous posi­tion­ner sur de nou­veaux domaines. Nous avons notam­ment pu déployer une logique de par­cours de cyber­sé­cu­ri­té des­ti­nés aux hôpi­taux et aux col­lec­ti­vi­tés locales, qui n’ont pas for­cé­ment la même matu­ri­té sur le sujet que nos béné­fi­ciaires habi­tuels. Cette démarche per­met aujourd’hui à des éta­blis­se­ments hos­pi­ta­liers d’éviter d’être para­ly­sés par des rançongiciels.

En juin 2023, l’Assemblée a voté un élargissement de vos prérogatives. Qu’en est-il ?

L’ANSSI, à sa créa­tion, a été dotée de moyens d’action, de pré­ro­ga­tives et de leviers par des textes de loi suc­ces­sifs, et plus par­ti­cu­liè­re­ment par les dif­fé­rentes Lois de Pro­gram­ma­tion Mili­taire de 2013, de 2018 et de 2023. Cette démarche nous per­met, dans le cadre de la loi, de fixer des pré­ro­ga­tives, de véri­fier leur pro­por­tion­na­li­té, leur équi­libre, mais aus­si de fixer les limites que nous devons res­pec­ter. C’est une dimen­sion que plu­sieurs de nos voi­sins et par­te­naires inter­na­tio­naux nous envient, car ces der­niers ne béné­fi­cient pas de la même écoute et prise en compte au niveau de leurs par­le­ments natio­naux. Et c’est aus­si une très belle illus­tra­tion du fonc­tion­ne­ment de notre démocratie !

Plus par­ti­cu­liè­re­ment, la Loi de la Pro­gram­ma­tion Mili­taire de 2023 est venue déve­lop­per spé­ci­fi­que­ment nos capa­ci­tés opé­ra­tion­nelles, dans le cadre de notre pre­mière mis­sion de réponse aux attaques. Si nos capa­ci­tés en la matière ont été ren­for­cées, les actions et les moyens déployés doivent néan­moins s’inscrire dans un cadre légal. Ce ren­for­ce­ment de nos pré­ro­ga­tives a don­né lieu à un débat sur de la notion de pro­por­tion­na­li­té et des sujets sen­sibles, comme l’accès aux don­nées, le blo­cage de flux… Ce tra­vail et ces dia­logues ont per­mis d’aboutir à un très bon enca­dre­ment de ces enjeux. Nous nous féli­ci­tons de pou­voir avoir ces échanges construc­tifs et ouverts avec la repré­sen­ta­tion nationale.
En paral­lèle, nous nous pré­pa­rons à la trans­po­si­tion de la direc­tive euro­péenne NIS 2 qui va étendre nos pré­ro­ga­tives de régle­men­ta­tion en amont et nos capa­ci­tés à cadrer les mesures de cyber­sé­cu­ri­té qui sont déployées par des myriades d’acteurs. Dans cette conti­nui­té, nous allons ain­si pas­ser de 500 à près de 10 000 acteurs régulés.

Les grands événements sportifs prévus dans notre pays, tels que les JOP 2024, posent aussi un enjeu en matière de cybersécurité. Un rapport a, d’ailleurs, été publié en ce sens. Quelles en sont les grandes lignes ?

Ces évé­ne­ments, et encore plus par­ti­cu­liè­re­ment les Jeux Olym­piques et Para­lym­piques, jouissent d’une très forte visi­bi­li­té et ont une très grande por­tée sym­bo­lique, média­tique et éco­no­mique. C’est aus­si des cibles pour l’ensemble des cybe­rat­ta­quants, notam­ment les atta­quants éta­tiques qui pour­raient vou­loir s’en prendre à ce sym­bole et por­ter ain­si atteinte à l’image de la France, au regard du contexte géo­po­li­tique actuel extrê­me­ment com­plexe. La France est ain­si une cible pour le crime orga­ni­sé qui est conscient de la por­tée éco­no­mique et « busi­ness » d’un tel événement.

Pour des acteurs plus reven­di­ca­tifs et de la mou­vance acti­viste, qui ne sont pas notre cœur de cible tra­di­tion­nel, c’est une occa­sion pour atti­rer l’attention média­tique et gagner en visi­bi­li­té. Forts de ces constats, nous sommes ame­nés à consi­dé­rer divers scé­na­rios d’attaque qui ont été décrits dans ce rap­port et qui peuvent prendre la forme, par exemple, d’atteinte à la com­pé­ti­tion, aux sys­tèmes anti­do­page, aux sys­tèmes de chro­no­mé­trage… Des attaques qui vien­draient, in fine, per­tur­ber le bon dérou­le­ment des épreuves spor­tives et de l’événement dans sa glo­ba­li­té. Et à cela s’ajoute un risque plus éle­vé d’attaques sur le tis­su éco­no­mique pen­dant les Jeux Olym­piques et Paralympiques.
Nous devons donc nous pré­pa­rer à toutes ces éven­tua­li­tés. Pour ce faire, nous sommes ame­nés à col­la­bo­rer et à inter­agir avec l’univers du monde spor­tif et les acteurs qui opèrent dans cet éco­sys­tème afin de se pré­pa­rer aux Jeux Olym­piques et Paralympiques.

“Notre rôle et nos missions sont exclusivement défensifs. Nous nous adressons à l’ensemble du tissu national afin de garantir la cybersécurité de tous et de trouver les solutions les plus adéquates pour les particuliers, les entreprises et les administrations.”

Dans un monde fortement perturbé notamment sur le plan géopolitique, la cybersécurité représente un enjeu pour la France, mais aussi pour l’Europe de manière plus générale. Pour déployer une stratégie européenne de la cybersécurité, quels sont les principaux enjeux selon vous ?

S’il est bien évi­dem­ment néces­saire de pré­ser­ver un arbi­trage sub­til entre les pré­ro­ga­tives natio­nales et euro­péennes, l’ANSSI sou­tient la construc­tion de la cyber­sé­cu­ri­té au niveau euro­péen. En effet, parce que les États membres sont tous inter­con­nec­tés, il est néces­saire, voire vital, d’avoir une approche euro­péenne de la cyber­sé­cu­ri­té. Tou­te­fois, il s’agit d’une démarche com­plexe à cause de plu­sieurs fac­teurs, dont les prin­ci­paux sont les niveaux de matu­ri­té très hété­ro­gènes entre les dif­fé­rents États, ain­si que des dif­fé­rences notables en termes de moyens alloués, d’exposition et de per­cep­tion de la menace, d’organisation. Dans cette démarche d’harmonisation de la cyber­sé­cu­ri­té à une échelle euro­péenne, le pre­mier volet est régle­men­taire. J’ai pré­cé­dem­ment cité la direc­tive NIS 2, mais d’autres pro­jets sont en cours de préparation.

Ils ont voca­tion à rendre le cadre euro­péen de la cyber­sé­cu­ri­té plus lisible et vont éga­le­ment avoir un impact béné­fique sur le plan éco­no­mique et socié­tal. Nous sommes aujourd’hui dans une phase pivot, où au-delà de ce tra­vail régle­men­taire, il y a éga­le­ment des efforts pour opti­mi­ser le pilo­tage de la recherche et du déve­lop­pe­ment en matière de cyber­sé­cu­ri­té en s’appuyant sur un réseau de centres de com­pé­tences natio­naux, qui tra­vaillent de concert. Il s’agit aus­si d’arriver à mettre en place une forme de soli­da­ri­té entre États membres. Aujourd’hui, dans le cadre du réseau CyCLONe, j’échange avec mes 26 homo­logues euro­péens quand nous sommes confron­tés à des situa­tions d’urgence. En paral­lèle, le com­mis­saire Thier­ry Bre­ton a pré­sen­té une ini­tia­tive légis­la­tive pour struc­tu­rer cette soli­da­ri­té qui ne doit pas uni­que­ment concer­ner les agences, mais doit aus­si inclure les prestataires.

Les compétences restent aussi un enjeu clé dans ce secteur où il y a une véritable guerre des talents. Quels sont les profils que vous recherchez et quelles sont les perspectives de carrière que votre agence peut offrir aux ingénieurs ?

L’agence est une enti­té aty­pique dans le pay­sage admi­nis­tra­tif de par ses mis­sions et le pro­fil de ses agents. Au sein de l’ANSSI, nous avons un très fort ADN d’ingénieurs. La majo­ri­té de nos effec­tifs sont des ingé­nieurs et on retrouve éga­le­ment une belle pro­por­tion de doc­teurs qui réa­lisent leurs tra­vaux de thèses au sein de nos labo­ra­toires de recherche internes. La consti­tu­tion de nos équipes est donc très dif­fé­rente de celle des ser­vices « clas­siques » de l’État et du Pre­mier minis­tère, plus par­ti­cu­liè­re­ment. Au-delà, on retrouve aus­si dans nos équipes des juristes, des spé­cia­listes de la com­mu­ni­ca­tion, des rela­tions inter­na­tio­nales, des poli­tiques publiques.

J’ai ten­dance à dire que la prin­ci­pale force de l’ANSSI est d’être une « mai­son poly­glotte » qui maî­trise la tech­nique et les dimen­sions poli­tiques. En effet, nous devons être en mesure d’échanger avec nos dif­fé­rentes par­ties pre­nantes, les par­le­men­taires, nos par­te­naires inter­na­tio­naux, les médias, dans la langue qu’elles comprennent.

Pour des ingé­nieurs, il est évident que le monde de la cyber­sé­cu­ri­té et de la cyber­dé­fense est por­teur d’une mul­ti­tude d’opportunités. C’est aus­si un sec­teur ultra-com­pé­ti­tif où il y a une guerre des talents. Dans ce monde, l’ANSSI se démarque à plu­sieurs niveaux. Nous sommes véri­ta­ble­ment au cœur du réac­teur, de l’action publique, de la tech­nique et des enjeux poli­tiques, géo­po­li­tiques, éco­no­miques et sociétaux.
Nous avons un impact qui est mesu­rable sur le monde qui nous entoure. En effet, au sein de l’ANSSI, nous ser­vons la France et ses intérêts.
Sur un plan plus per­son­nel, j’ai pas­sé quinze ans à l’ANSSI et, après un pas­sage à l’OSIIC, l’Opérateur des Sys­tèmes d’Information Inter­mi­nis­té­riels Clas­si­fiés, j’y suis de retour depuis un peu plus d’un an. Nous avons la chance de tra­vailler sur des sujets et des enjeux pas­sion­nants et inté­res­sants, qui évo­luent très vite. Aucune jour­née ne se res­semble ! Enfin, l’ANSSI, c’est aus­si une for­mi­dable carte de visite. Aujourd’hui, on retrouve des anciens de l’ANSSI dans tous les métiers de la cyber­sé­cu­ri­té en France et dans le monde entier.

Et pour conclure, quelles pistes de réflexion pourriez-vous partager avec nos lecteurs ?

Tout d’abord, il me semble impor­tant de se deman­der, voire d’anticiper, com­ment la cyber­sé­cu­ri­té, et plus lar­ge­ment le numé­rique, vont évo­luer et se struc­tu­rer. Il me semble évident que nous nous diri­geons vers une logique de bloc, avec un monde du numé­rique qui res­te­ra domi­né par les États-Unis.

En paral­lèle, se pose aus­si la ques­tion de l’industrialisation de la cyber­sé­cu­ri­té, dans un monde où le numé­rique est omni­pré­sent et où le risque cyber ne menace plus uni­que­ment les États ou les grandes entre­prises, mais tout le monde. Le prin­ci­pal défi est de faire pas­ser à l’échelle les solu­tions de cyber­sé­cu­ri­té sans tom­ber dans un sché­ma où les com­pé­tences sont concen­trées entre les mains de quelques grands acteurs, ce qui crée­rait une situa­tion de dépen­dance et donc un risque pour notre souveraineté.

Enfin, dans une démarche plus pros­pec­tive, il s’agit aus­si de réflé­chir à com­ment nous pou­vons mieux accom­pa­gner les futures grandes évo­lu­tions tech­no­lo­giques. Cela néces­site une réflexion appro­fon­die autour des notions de dépen­dance, de ges­tion des risques, de conti­nui­té et de rési­lience, mais aus­si une forme d’anticipation tech­nique en s’assurant notam­ment que nous dis­po­sons des forces vives, ingé­nieurs, doc­teurs, cher­cheurs, pour mieux les appréhender.

---

Articles similaires :

Sto­cker, fia­bi­li­ser, sécu­ri­ser et valo­ri­ser vos don­nées !dat Une offre et un accom­pa­gne­ment en matière de cyber­sé­cu­ri­té adap­tés à toutes les entreprises Le risque cyber ou la néces­si­té de for­mer ses collaborateurs Cam­pus Cyber : la vitrine de l’excellence fran­çaise en cybersécurité Connaître et anti­ci­per la menace : un enjeu déci­sif pour se pro­té­ger efficacement