CyberDéfense : l’ANSSI en première ligne

Dans un monde de plus en plus connec­té, la cyber­sé­cu­ri­té est deve­nue un enjeu stra­té­gique majeur. En France, l’Agence natio­nale de la sécu­ri­té des sys­tèmes d’information (ANSSI) joue un rôle cru­cial dans la pro­tec­tion des infra­struc­tures numé­riques et la défense contre les cybermenaces.

Quel est le rôle de l’ANSSI et quelles sont ses missions principales ?

Ser­vice du Pre­mier ministre pla­cé sous l’autorité du secré­taire géné­ral de la défense et de la sécu­ri­té natio­nale (SGDSN), l’Agence natio­nale de la sécu­ri­té des sys­tèmes d’information (ANSSI) est l’autorité natio­nale en matière de cyber­sé­cu­ri­té et de cyber­dé­fense en France. Notre rai­son d’être est de construire et d’organiser, en inter­mi­nis­té­riel, la pro­tec­tion de la Nation face aux cybe­rat­taques, et de contri­buer à la sta­bi­li­té du cybe­res­pace. Notre action s’inscrit dans le cadre des mis­sions réga­liennes de l’État. Elle se place éga­le­ment au ser­vice d’un objec­tif géné­ral de poli­tique publique de sécu­ri­té et de rési­lience des admi­nis­tra­tions, de l’économie et de la socié­té dans son ensemble. Notre action se tra­duit en cinq grandes mis­sions : défendre, connaître, par­ta­ger, accom­pa­gner, réguler.

Les questions de cybersécurité sont omniprésentes depuis quelques années. Comment les cybermenaces ont-elles évoluées et comment l’ANSSI fait-elle pour les combattre au mieux ? 

Aujourd’hui, les cyber­me­naces sont nom­breuses et concernent tout le monde ; elles consti­tuent une pres­sion constante sur le tis­su éco­no­mique et social français.

Pre­mier point : la menace por­tée par le crime orga­ni­sé – prin­ci­pa­le­ment carac­té­ri­sée par des attaques visant l’extorsion de ran­çons, via des fuites de don­nées et des attaques par ran­çon­gi­ciel – s’impose désor­mais comme un risque glo­bal et quo­ti­dien pour toutes les orga­ni­sa­tions françaises.

“Aujourd’hui, les cybermenaces sont nombreuses et concernent tout le monde ; elles constituent une pression constante sur le tissu économique et social français.”

D’autre part, les cyber­me­naces res­tent consti­tu­tives d’un espace d’affrontement entre États. Cette réa­li­té n’est pas nou­velle, mais elle s’intensifie dans le contexte géo­po­li­tique actuel par­ti­cu­liè­re­ment com­plexe. Les équipes de l’ANSSI res­tent par­ti­cu­liè­re­ment mobi­li­sées pour trai­ter des attaques visant l’espionnage stra­té­gique ou industriel.

On note en par­ti­cu­lier cette année une hausse des attaques à but de désta­bi­li­sa­tion. Celles-ci sont prin­ci­pa­le­ment le fait de groupes dits « hack­ti­vistes » cher­chant à atti­rer l’attention en met­tant en œuvre des attaques de faible tech­ni­ci­té, mais à forte visi­bi­li­té. Des groupes se reven­di­quant pro-russes ont notam­ment sabo­té de petites ins­tal­la­tions indus­trielles mal sécu­ri­sées. Mal­gré leurs impacts limi­tés, cela repré­sente une évo­lu­tion vers une logique de sabo­tage, pour laquelle une vigi­lance par­ti­cu­lière s’impose. C’est d’autant plus vrai que des acteurs éta­tiques étran­gers s’inscrivent éga­le­ment dans cette logique de sabo­tage, avec des capa­ci­tés tech­niques bien plus avan­cées. De telles attaques sont désor­mais le quo­ti­dien de l’Ukraine et il faut s’y préparer.

“Géopolitique : les « hacktivistes » de plus en plus visibles ”

Face à ce constat, nous ne sommes pas désar­més, le suc­cès des Jeux olym­piques et para­lym­piques (JOP) de Paris 2024 le démontre. L’année écou­lée nous conforte dans les tra­vaux de conso­li­da­tion d’un col­lec­tif rési­lient, aux côtés des autres ser­vices de l’État et en s’appuyant sur des relais effi­caces en régions et dans les dif­fé­rents sec­teurs d’activité.

Quid de la loi de programmation militaire de 2023 : avez-vous vu vos moyens et vos capacités opérationnelles renforcés ? 

La loi de pro­gram­ma­tion mili­taire 2024–2030 (LPM) ne pres­crit pas les moyens de l’ANSSI, qui relève du bud­get des ser­vices du Pre­mier ministre. En revanche, elle intègre quatre articles nor­ma­tifs qui concernent direc­te­ment l’Agence, et nous dotent de nou­velles capa­ci­tés légales. Nous avons ain­si vu nos capa­ci­tés d’investigation numé­rique ren­for­cées face aux menaces les plus avan­cées qui ciblent direc­te­ment les inté­rêts de la défense et de la sécu­ri­té natio­nale, et été dotés d’une capa­ci­té de blo­cage des infra­struc­tures d’attaque dans les cas les plus graves. La LPM a éga­le­ment for­ma­li­sé les obli­ga­tions des four­nis­seurs de solu­tions numé­riques, vis-à-vis de leurs clients et de l’ANSSI, lorsque des vul­né­ra­bi­li­tés sont iden­ti­fiées dans leurs solutions. 

Le rôle de l’Autorité de régu­la­tion des com­mu­ni­ca­tions élec­tro­niques, des postes et de la dis­tri­bu­tion de la presse (ARCEP) a par ailleurs été ren­for­cé dans le contrôle du bon usage de ces capa­ci­tés nou­velles par l’ANSSI.

Les Jeux Olympiques et Paralympiques de Paris avaient soulevé énormément d’inquiétudes en termes de cyberattaques. Comment les avez-vous traitées, et ont-elles été aussi massives qu’on le craignait ? 

En 2022, l’ANSSI s’est vue confier le pilo­tage du volet cyber­sé­cu­ri­té dans la pré­pa­ra­tion et la conduite des Jeux de Paris 2024. S’en sont sui­vies deux intenses années de tra­vail, où l’Agence a coor­don­né l’élaboration et la mise en œuvre d’une stra­té­gie de pré­ven­tion des cybe­rat­taques arti­cu­lée en cinq axes de tra­vail : connais­sance de la menace, sécu­ri­sa­tion des sys­tèmes d’information cri­tiques, pro­tec­tion des don­nées sen­sibles, sen­si­bi­li­sa­tion de l’écosystème, et pré­pa­ra­tion opé­ra­tion­nelle inten­sive. Cette stra­té­gie de pré­ven­tion, mais aus­si la pré­pa­ra­tion de l’écosystème et le dis­po­si­tif opé­ra­tion­nel mis en œuvre ont por­té leurs fruits : aucun évé­ne­ment cyber n’a affec­té l’organisation ou la tenue de l’événement. Tous les types de menaces cyber ont bien ciblé les JOP, avec un niveau d’intensité douze fois plus éle­vé que lors des Jeux pré­cé­dents (selon la métrique du CIO), mais aucune de ces ten­ta­tives n’a entraî­né de per­tur­ba­tion signi­fi­ca­tive de ce grand moment spor­tif et festif. 

Ce suc­cès a démon­tré que l’ANSSI et l’écosystème cyber fran­çais sont à la hau­teur des enjeux. Alors que l’intensification des conflits invite à une mobi­li­sa­tion et une vigi­lance de tous les ins­tants de la part de tous les acteurs fran­çais, il est désor­mais néces­saire de tirer tous les ensei­gne­ments pos­sibles de cette réus­site afin de se pré­pa­rer aux éven­tuelles crises à venir.

Dans un contexte géopolitique bouleversé, quels sont les enjeux d’une CyberDéfense européenne ? 

L’Europe de la cyber est plus que jamais néces­saire pour répondre aux menaces aux­quelles nous devons faire face et au contexte géo­po­li­tique. Les régle­men­ta­tions que nous avons adop­tées au niveau euro­péen ces der­nières années, à l’image de la direc­tive dite NIS2 ou encore du Cyber Resi­lience Act (CRA), nous per­mettent d’élever le niveau géné­ral de cyber­sé­cu­ri­té à l’échelle euro­péenne en impo­sant de nou­velles obli­ga­tions pour les admi­nis­tra­tions et entre­prises, mais éga­le­ment pour les four­nis­seurs de ser­vices numériques. 

Mais la cyber­sé­cu­ri­té euro­péenne passe éga­le­ment par la coopé­ra­tion que nous avons éta­blie, à tous les niveaux, avec nos par­te­naires euro­péens. Dif­fé­rents canaux ont été mis en place, depuis plu­sieurs années, au sein de l’Union euro­péenne (UE) afin de par­ta­ger rapi­de­ment de l’information sur des cybe­rat­taques en cours, ou sur nos ana­lyses de la menace. Le CSIRT Net­work, regrou­pant les centres de réponse à inci­dents (CSIRT) des États membres de l’UE, ain­si que le CERT-EU est une base pré­cieuse pour le par­tage d’information au quotidien.

“L’Europe de la cyber est plus que jamais nécessaire pour répondre aux menaces auxquelles nous devons faire face et au contexte géopolitique.”

Cet éche­lon tech­nique est com­plé­té par un niveau stra­té­gique, le réseau de coopé­ra­tion CyCLONe (Cyber Cri­sis Liai­son Orga­ni­sa­tion Net­work), regrou­pant les direc­tions des agences natio­nales de cyber­sé­cu­ri­té de chaque État membre, la Com­mis­sion euro­péenne et l’Agence de l’Union euro­péenne pour la cyber­sé­cu­ri­té (ENISA). CyCLONe contri­bue à l’adoption d’une réponse coor­don­née en cas d’incident d’ampleur ou de crise infor­ma­tique trans­fron­ta­lière de la Com­mis­sion. Ces deux réseaux contri­buent à la cyber­dé­fense euro­péenne et ont démon­tré leur néces­si­té et leur effi­ca­ci­té. Ils ont été par­ti­cu­liè­re­ment utiles tant lors des JOP de Paris 2024, mais aus­si à l’occasion des élec­tions euro­péennes, autre moment de mobi­li­sa­tion col­lec­tive pour assu­rer la cyber­sé­cu­ri­té de ce ren­dez-vous important. 

Elle passe enfin par le recours à une filière du numé­rique de confiance, sur les­quels nous pou­vons nous appuyer. C’est un modèle de coopé­ra­tion public-pri­vé qui fonc­tionne au niveau natio­nal, notam­ment pour la réponse à inci­dent, et que nous devons conti­nuer à déve­lop­per à l’échelle européenne. 

Quels sont les risques d’un mauvais usage, ou d’un usage abusif de l’IA ?

L’IA géné­ra­tive offre de nom­breuses oppor­tu­ni­tés, mais pré­sente aus­si, comme toute tech­no­lo­gie émer­gente, des risques qui doivent être éva­lués et maî­tri­sés, qu’il s’agisse de pos­sibles fuites de don­nées d’apprentissage, d’empoisonnement de modèles d’IA par des don­nées mal­veillantes, ou tout sim­ple­ment de cybe­rat­taques clas­siques sur l’infrastructure numé­rique héber­geant les solu­tions d’IA.

Au-delà de ces risques tech­niques, nous fai­sons sur­tout face à une forme d’irrationalité vis-à-vis d’une tech­no­lo­gie qui se prête faci­le­ment au fan­tasme, et qui peut conduire les uti­li­sa­teurs à sur­es­ti­mer ces risques, ou au contraire à les sous-esti­mer gravement.

C’est pour­quoi nous avons publié ce pre­mier guide, qui connaî­tra cer­tai­ne­ment des évo­lu­tions avec le déve­lop­pe­ment de l’IA, pour rap­pe­ler objec­ti­ve­ment les risques et les bonnes pra­tiques appli­cables pour y faire face.

Dans le cadre du Sommet pour l’action sur l’IA de Paris en février 2025, l’ANSSI a présenté des conclusions sur la cybersécurité et l’IA de confiance…

Le Som­met pour l’action sur l’IA en février der­nier a été l’occasion pour l’ANSSI de rap­pe­ler que la confiance dans cette tech­no­lo­gie repose sur une sécu­ri­sa­tion rigou­reuse et gui­dée par une per­cep­tion objec­tive des risques. 

C’était le but du rap­port d’analyse de risque que nous avons éla­bo­ré avec de nom­breux par­te­naires étran­gers, et pré­sen­té à l’occasion des jour­nées scien­ti­fiques orga­ni­sées avant le Som­met à l’École poly­tech­nique. C’était aus­si un objec­tif de l’exercice de crise qui nous a vus réunir 250 spé­cia­listes de l’IA et de la cyber­sé­cu­ri­té au Cam­pus Cyber en paral­lèle du Sommet.

Ce qui res­sort de ces tra­vaux, c’est notam­ment une prise en compte sou­vent insuf­fi­sante des bonnes pra­tiques de cyber­sé­cu­ri­té « clas­sique » dans le déploie­ment de solu­tions d’IA, mais aus­si la néces­si­té de revoir nos approches de cyber­sé­cu­ri­té pour avoir une prise en compte plus exten­sive du cycle de vie de ces solu­tions, seul moyen d’appréhender cor­rec­te­ment cer­tains risques spé­ci­fiques à l’IA, comme l’empoisonnement de modèle. Nous for­mu­lons aus­si des constats en matière de rési­lience : les IA se prêtent très mal à l’investigation numé­rique, et ne se « patchent » pas comme un logi­ciel clas­sique – la levée de doute et la cor­rec­tion éven­tuelle en cas de sus­pi­cion de vul­né­ra­bi­li­té peut donc être beau­coup plus longue, et cela doit être inté­gré dans l’architecture de ces solutions.

Mais le constat le plus fon­da­men­tal reste que les com­mu­nau­tés de la cyber­sé­cu­ri­té et de l’IA ne se parlent pas assez, et nous allons conti­nuer à œuvrer pour qu’elles le fassent plus !

Enjeux, perspectives : quels seront selon vous les points chauds à surveiller dans les mois ou années à venir ? 

Le contexte géo­po­li­tique requiert de conti­nuer à ren­for­cer nos défenses aus­si bien au sein de l’État et des admi­nis­tra­tions que dans l’ensemble du tis­su éco­no­mique et social, et ce au niveau natio­nal, mais aus­si euro­péen. Ce même contexte requiert d’investir dans nos exper­tises sur les évo­lu­tions tech­no­lo­giques telles que le cloud, l’IA ou encore la cryp­to­gra­phie post-quan­tique, mais aus­si d’entretenir celles que nous déte­nons dans des domaines plus clas­siques, mais néan­moins clés : cryp­to­gra­phie, détec­tion d’attaque, éva­lua­tion de sécu­ri­té… Notre capa­ci­té à défi­nir nos propres règles pour sécu­ri­ser ces tech­no­lo­gies est un autre enjeu de sou­ve­rai­ne­té et de rési­lience, qui s’articule bien à l’échelle euro­péenne. Un der­nier enjeu de ces pro­chains mois et années sera la mise en œuvre effec­tive des dif­fé­rentes régle­men­ta­tions euro­péennes (NIS 2, CRA, règle­ment sur l’intelligence arti­fi­cielle, etc.), aus­si bien entre États membres pour évi­ter les dis­pa­ri­tés d’interprétation, qu’en France pour accom­pa­gner les enti­tés concernées. 

---

Articles similaires :

« La cyber­sé­cu­ri­té est un enjeu stra­té­gique, mais ne doit pas être un frein à la trans­for­ma­tion digitale » Sto­cker, fia­bi­li­ser, sécu­ri­ser et valo­ri­ser vos don­nées !dat Un expert euro­péen de la cyber­sé­cu­ri­té au rayon­ne­ment international Avec Mithril Secu­ri­ty, les entre­prises peuvent uti­li­ser l’IA en toute sécurité Cam­pus Cyber : des réus­sites, des pro­jets et de belles pers­pec­tives de développement