NATO - North Atlantic Treaty Organisation

L'OTAN et la cyberdéfense

Les cyberattaques continuent de représenter une menace réelle pour l'OTAN, et la cyberdéfense restera une capacité centrale de l'Alliance.

• Contexte et évolution

  Même si l'OTAN a toujours assuré la protection de ses systèmes d'information et de communication, c'est au sommet de Prague, en 2002, que la cyberdéfense a été pour la première fois inscrite à son agenda politique. S'appuyant sur les progrès techniques réalisés depuis ce sommet, les dirigeants des pays de l’Alliance réunis au sommet de Riga en novembre 2006 ont réaffirmé la nécessité de protéger davantage ces systèmes.

  Une série de cyberattaques de grande ampleur menées en avril et mai 2007 contre des institutions publiques et privées de l'Estonie ont incité l'OTAN à examiner de plus près ses moyens de cyberdéfense. À leur réunion de juin 2007, les ministres de la Défense des pays de l’Alliance sont convenus qu'il était urgent de mener des travaux dans ce domaine. Dans les mois qui ont suivi, l'OTAN a procédé à une réévaluation complète de son approche de la cyberdéfense ; dans les conclusions qui en ont été tirées, il était recommandé que l'Alliance joue certains rôles spécifiques et qu'un certain nombre de nouvelles mesures soient prises pour renforcer la protection contre les cyberattaques. L'élaboration d'une politique OTAN de cyberdéfense était également préconisée.

  Depuis les attaques qui ont visé l'Estonie en 2007, la fréquence et la complexité des cybermenaces ont rapidement évolué. À l'été 2008, la guerre en Géorgie a montré que les cyberattaques pouvaient devenir un élément essentiel de la guerre conventionnelle. La mise au point et l'utilisation d'outils informatiques destructeurs susceptibles de menacer la sécurité et la stabilité des pays et de la zone euro-atlantique constituent une évolution stratégique qui a rendu d'autant plus urgente l'adoption d'une nouvelle politique de cyberdéfense en vue de renforcer les moyens de cyberdéfense non seulement du siège de l'OTAN et de ses structures, mais également de l'ensemble de l'Alliance.

  Par conséquent, le concept stratégique adopté au sommet de Lisbonne en 2010 a mis l'accent sur la nécessité d'intensifier les efforts dans le domaine de la cyberdéfense, et le Conseil de l'Atlantique Nord a été chargé d'élaborer une nouvelle politique OTAN de cyberdéfense, adoptée le 8 juin 2011 par les ministres de la Défense des pays de l'OTAN, ainsi qu'un plan d'action, actuellement mis en œuvre. En 2012, au sommet de Chicago, cette politique a été réaffirmée.

• Principales activités dans le domaine de la cyberdéfense

  Coordination de la cyberdéfense et fourniture d’avis dans ce domaine

  La politique OTAN de cyberdéfense sera mise en œuvre par les autorités politiques, militaires et techniques de l'OTAN, ainsi que par les Alliés à titre individuel. Selon la nouvelle version de cette politique, le Conseil de l'Atlantique Nord assure la supervision politique de haut niveau de tous les aspects de la mise en œuvre. Le Conseil sera informé des incidents et des cyberattaques de grande ampleur et exercera le rôle de principal organe de décision pour ce qui est de la gestion des crises liées à la cyberdéfense. Le Comité de la politique et des plans de défense assure la supervision pour le compte des Alliés et remet des avis d'expert concernant les efforts de cyberdéfense déployés par l'Alliance. Au niveau opérationnel, le Bureau de gestion de la cyberdéfense (CDMB) est chargé de la coordination des activités de cyberdéfense dans l'ensemble des organismes civils et militaires de l’OTAN. Le CDMB est composé des responsables des services politiques, militaires, opérationnels et techniques de l’OTAN qui assument des responsabilités dans le domaine de la cyberdéfense. Il relève de la Division Défis de sécurité émergents du siège de l'OTAN (qui assure la présidence et le soutien administratif).

  Le Bureau des C3 (C3B) est le principal organe consultatif pour toutes les questions touchant aux aspects techniques et à la mise en œuvre de la cyberdéfense. 

  Les autorités militaires de l’OTAN (NMA) et l'Agence OTAN d’information et de communication (NCIA) sont expressément responsables de l'énoncé des besoins opérationnels, ainsi que de l'acquisition, la mise en œuvre et l'exploitation des capacités de cyberdéfense de l'Organisation.

  Enfin, la NCIA, par l’intermédiaire du Centre technique de la NCIRC, est responsable de la fourniture des services techniques et opérationnels permettant d’assurer la cybersécurité dans l’ensemble de l’OTAN. La NCIRC est une capacité fonctionnelle à deux niveaux, au sein de laquelle le Centre technique constitue la principale capacité opérationnelle et technique de l'OTAN et joue un rôle clé qui consiste à réagir à toute cyberattaque qui pourrait être menée contre l'Alliance. Elle offre un moyen de traiter et de signaler les incidents et de communiquer les informations cruciales sur ceux-ci aux responsables de la gestion des systèmes et de la sécurité et aux utilisateurs. Par ailleurs, elle centralise et coordonne le traitement des incidents en un point unique, éliminant de ce fait toute répétition de tâches. Le premier niveau de la NCIRC est le Centre de coordination de la NCIRC, situé au siège de l'OTAN et composé de personnels du NHQC3S. Le Centre de coordination de la NCIRC est un élément d'état-major responsable de la coordination des activités de cyberdéfense menées au sein de l'OTAN et avec les pays, du soutien administratif du CDMB, de la planification de l'exercice annuel Cyber Coalition, et de la liaison dans le domaine de la cyberdéfense avec les organisations internationales telles que l'UE, l'OSCE et l'ONU/UIT. La Cellule d'évaluation de la cybermenace (CTAC) est également colocalisée avec le Centre de coordination de la NCIRC.

  Aide aux pays de l’Alliance

  Avant les cyberattaques dont l'Estonie a été victime en 2007, l’OTAN s'employait surtout à protéger les systèmes de communication détenus et exploités par elle. Après ces attaques, dirigées contre les services publics et menées par le biais de l'Internet, l’OTAN a élargi son champ d'action. Elle a ainsi mis au point, et perfectionnera constamment, des mécanismes destinés à aider les Alliés qui sollicitent son aide pour protéger leurs systèmes de communication, ces mécanismes prévoyant notamment l'envoi d'équipes de réaction rapide (RRT). S'il est vrai que les Alliés restent responsables au premier chef de la sûreté et de la sécurité de leurs systèmes de communication, l'OTAN a besoin d'une infrastructure de soutien fiable et sûre. Elle s'emploiera donc, avec le concours des autorités nationales, à définir les principes et les critères garantissant un niveau minimum de cyberdéfense aux points d'interconnexion entre les réseaux des pays et ceux de l'OTAN.

  Recherche et formation

  Selon la nouvelle politique de cyberdéfense, l'OTAN intensifiera ses efforts de formation au travers de ses écoles existantes et de son centre de cyberdéfense à Tallinn. Le Centre d’excellence pour la cyberdéfense en coopération (CCD COE) de Tallinn (Estonie), homologué en tant que centre d’excellence de l’OTAN en 2008, mène des travaux de recherche et propose des formations dans le domaine de la cyberdéfense. Il dispose de spécialistes de la cyberdéfense, issus notamment des pays contributeurs. Pour plus d'informations sur le CCD COE, prière de consulter le site www.ccdcoe.org.

  Coopération avec les partenaires

  Comme les cybermenaces ne connaissent aucune frontière, ni politique ni institutionnelle, la coopération avec les partenaires est un élément important de la nouvelle politique OTAN de cyberdéfense. Cette coopération sera menée « à la carte » et reposera sur des valeurs partagées et des approches communes, l'accent étant mis sur la complémentarité et la non-redondance. Par ailleurs, l'OTAN reconnaît aussi la nécessité de faire appel à l'expertise du secteur privé et du monde universitaire dans ce domaine complexe où les idées nouvelles et les nouveaux partenariats seront autant d'éléments décisifs.