Cyberdéfense

 

 

Approche OTAN de la cyberdéfense

Politique OTAN de cyberdéfense

Afin de suivre l’évolution rapide de l’ensemble des menaces et de conserver des moyens solides de cyberdéfense, l’OTAN a adopté une politique renforcée ainsi qu’un plan d’action, qui ont été entérinés au sommet tenu en 2014 au pays de Galles. La politique de 2014 a permis de poser comme principe que la cyberdéfense fait partie de la tâche fondamentale de l’Alliance qu’est la défense collective, de soutenir que le droit international s’applique au cyberespace, de favoriser le développement des capacités de l’OTAN et des Alliés, et d’intensifier la coopération entre l’OTAN et l’industrie.

Au sommet qu’ils ont tenu à Varsovie en 2016, les Alliés ont réaffirmé le mandat défensif de l’OTAN et reconnu le cyberespace en tant que milieu d’opérations dans lequel l’OTAN doit se défendre aussi efficacement qu’elle le fait dans les airs, sur terre et en mer. Comme la plupart des crises et des conflits ont aujourd’hui une dimension cyber, le fait de considérer le cyberespace comme un milieu à part entière permet à l’OTAN de mieux protéger et mener ses opérations et missions.

Les Alliés ont en outre pris l’engagement, au sommet de Varsovie, de faire du renforcement et de l’amélioration des moyens de cyberdéfense des infrastructures et des réseaux nationaux une priorité. Conjuguée à l’adaptation continue des capacités de cyberdéfense de l’OTAN, cette démarche renforcera le dispositif de cyberdéfense et la résilience globale de l’Alliance.

En 2021, au sommet de l’OTAN à Bruxelles, les Alliés ont entériné une nouvelle politique de cyberdéfense globale, qui contribue aux trois tâches fondamentales de l’OTAN (défense collective, gestion de crise et sécurité coopérative) et à sa posture globale de dissuasion et de défense. Le mandat défensif de l’OTAN a par ailleurs été réaffirmé, et les Alliés se sont engagés à employer toute la gamme des capacités, y compris cyber, pour assurer à tout moment la dissuasion et la défense et ainsi lutter contre l’éventail complet des cybermenaces. Les réponses doivent être continues et faire appel à divers éléments de la boîte à outils OTAN, qui comprend des instruments politiques, diplomatiques et militaires. Les Alliés sont par ailleurs conscients que, dans certaines circonstances, les incidences d’actes de cybermalveillance majeurs aux effets cumulés sont telles que ces actes peuvent être considérés comme équivalant à une attaque armée. La nature même du cyberespace exige une approche globale conjuguant les efforts sur les plans politique, militaire et technique. La politique de 2021 et le plan d’action correspondant permettront de faire avancer les activités pour ces trois niveaux.

Développer les moyens de cyberdéfense de l’OTAN

La capacité OTAN de réaction aux incidents informatiques (NCIRC), basée au SHAPE, à Mons (Belgique), protège les réseaux de l’OTAN en assurant un soutien centralisé 24 heures sur 24 en matière de cyberdéfense. Cette capacité s’adapte continuellement et suit l’évolution rapide des menaces et de l’environnement technologique.

L’OTAN a par ailleurs mis en place, à Mons, un Centre des cyberopérations, qui permet aux commandants militaires d’avoir une meilleure connaissance de la situation, à l’appui des opérations et missions de l’Alliance. Ce centre coordonne également l’activité opérationnelle de l’OTAN dans le cyberespace afin qu’elle y dispose de sa liberté d’action et que ses opérations soient plus résilientes aux cybermenaces.

Pour favoriser une approche commune, à l’échelle de l’Alliance, du développement des moyens de cyberdéfense, l’OTAN fixe également des objectifs pour la mise en œuvre, par les pays membres, de moyens nationaux de cyberdéfense dans le cadre du processus OTAN de planification de défense.

L’OTAN aide les Alliés à renforcer leurs moyens nationaux de cyberdéfense en facilitant le partage d’informations et l’échange de bonnes pratiques et en conduisant des exercices de cyberdéfense pour développer les compétences nationales. De même, les pays de l’Alliance peuvent, sur une base volontaire et avec le concours de l’OTAN, aider d’autres Alliés à développer leurs moyens nationaux de cyberdéfense.

Renforcer la capacité de cyberdéfense de l’OTAN

La cyberdéfense est autant une question de personnes que de technologie : c’est pourquoi l'OTAN continue d'améliorer ses activités d'entraînement, de formation et d'exercices en matière de cyberdéfense.

L’OTAN conduit régulièrement des exercices – notamment l’exercice annuel Cyber Coalition – et s’emploie à intégrer des éléments de cyberdéfense dans toute la gamme de ses exercices, y compris dans l’exercice de gestion de crise (CMX). L’OTAN renforce également ses capacités en matière de formation et d’entraînement, notamment le cyberpolygone OTAN, qui fait appel à une installation mise à disposition par l’Estonie.

L’OTAN dispose d’un certain nombre d’outils pratiques pour améliorer la connaissance de la situation et faciliter l’échange d’informations, notamment des points de contact avec les autorités nationales de cyberdéfense dans les capitales de chacun des trente et un pays de l’Alliance. Un mémorandum d’entente (MOU) spécifique définit les modalités pour l’échange d’informations diverses relatives à la cyberdéfense et pour la fourniture d’une assistance mutuelle dans ce domaine afin d’améliorer les capacités de prévention, de résilience et de réponse face à des cyberincidents.

Des informations techniques sont également échangées au moyen de la plateforme d'échange d'informations sur les logiciels malveillants (MISP), qui permet aux spécialistes en cyberdéfense des pays de l’Alliance de partager des indicateurs de compromission.

Le Centre d’excellence pour la cyberdéfense en coopération (CCD CoE) de l’OTAN, installé à Tallinn (Estonie), est un centre de recherche et d’entraînement accrédité par l’OTAN s’occupant de formation, de consultation, de retour d’expérience, de recherche et de développement en matière de cyberdéfense. Le CCD CoE ne fait pas partie de la structure de commandement de l’OTAN, mais il possède néanmoins une expertise et une expérience reconnues.

L’Académie OTAN des technologies de l’information et de la communication, située à Oeiras (Portugal), propose aux personnels des pays membres (et non membres) de l’Alliance des formations à l’exploitation et à la maintenance des systèmes d’information et de communication de l’OTAN. Elle dispense également des formations théoriques et pratiques en matière de cyberdéfense.

L’École de l’OTAN à Oberammergau (Allemagne) propose des formations et des entraînements liés à la cyberdéfense à l’appui des opérations, de la stratégie, de la politique, de la doctrine et des procédures de l’Alliance.

Le Collège de défense de l’OTAN, à Rome (Italie), favorise la réflexion stratégique sur les questions politico-militaires, y compris les questions de cyberdéfense.

Coopération avec les partenaires

Les cybermenaces ne connaissant aucune frontière, ni étatique ni organisationnelle, l’OTAN collabore avec un certain nombre de pays partenaires et d’autres organisations internationales pour renforcer la sécurité commune.

L’engagement avec les pays partenaires s’appuie sur des valeurs partagées et des approches communes de la cyberdéfense. Les demandes de coopération avec l'Alliance sont traitées au cas par cas.

L’OTAN travaille aussi, entre autres, avec l’Union européenne (UE), l’Organisation des Nations Unies (ONU) et l’Organisation pour la sécurité et la coopération en Europe (OSCE).

La cyberdéfense est l’un des domaines de coopération renforcée entre l’OTAN et l’UE, et ce au titre de la lutte contre les menaces hybrides, qui fait l’objet d’une coordination accrue entre les deux organisations. L’OTAN et l’UE partagent des informations, au travers de leurs équipes de cyberréponse, et procèdent à des échanges de bonnes pratiques. La coopération est également intensifiée dans le cadre d’entraînements, de travaux de recherche et d’exercices, des résultats tangibles étant observés dans la lutte contre les cybermenaces.

En 2021, au sommet de l’OTAN à Bruxelles, les Alliés ont réaffirmé leur détermination à agir dans le respect du droit international, notamment la Charte des Nations Unies, le droit international humanitaire et le droit international des droits de la personne, afin de promouvoir un cyberespace libre, ouvert, pacifique et sûr. Ils se sont aussi engagés à poursuivre les efforts visant à renforcer la stabilité et à réduire le risque de conflit.

Coopération avec l’industrie

Le secteur privé est un acteur clé du cyberespace : les innovations et l’expertise technologiques qui en émanent sont indispensables pour permettre à l’OTAN et à ses pays membres de répondre efficacement aux cybermenaces.

Au travers du cyberpartenariat OTAN-industrie (NICP), l'OTAN et ses pays membres s'emploient à renforcer leurs relations avec l'industrie et le secteur universitaire. Ce partenariat réunit des entités OTAN, des centres nationaux d’alerte et de réaction aux attaques informatiques (CERT) ainsi que des représentants d’industries des pays de l’Alliance. Le partage de l'information, les exercices, l'entraînement et la formation ne sont que quelques exemples de domaines dans lesquels l'OTAN et l'industrie collaborent.

 

Gouvernance

La politique de cyberdéfense globale de l’OTAN est mise en œuvre par les autorités politiques, militaires et techniques de l’OTAN, ainsi que par les Alliés à titre individuel. Le Conseil de l’Atlantique Nord, principal organe de décision politique de l’OTAN, assure la supervision politique de haut niveau de tous les aspects de cette mise en œuvre. 

Le Comité de cyberdéfense, qui relève du Conseil de l’Atlantique Nord, est le comité pilote pour la gouvernance politique et la politique de cyberdéfense en général. Le Bureau des C3 (C3B) de l’OTAN est le principal comité consultatif pour toutes les questions touchant aux aspects techniques et à la mise en œuvre de la cyberdéfense. Les autorités militaires de l’OTAN et l’Agence OTAN de communication et d’information sont expressément responsables de l’énoncé des besoins opérationnels, ainsi que de l’acquisition, de la mise en œuvre et de l’exploitation des capacités de cyberdéfense de l’Organisation. Le Commandement allié Transformation est quant à lui chargé de la planification et de la conduite de l’exercice annuel Cyber Coalition.

Le directeur des systèmes d'information (CIO) facilite l’intégration, l’harmonisation et la cohésion des systèmes TIC (technologies de l'information et de la communication) dans l’ensemble de l'OTAN, et supervise le développement et l’exploitation des capacités TIC. Il est également l’autorité unique pour toutes les questions de cybersécurité dans l’ensemble de l’Organisation. Cela implique de diriger les activités de gestion des incidents, d’orienter des investissements spécifiques, d’améliorer la posture de cybersécurité de l’OTAN, et d’accroître la sensibilisation à la cybersécurité dans l’ensemble de l'Organisation. 

L'Agence OTAN d’information et de communication, par l’intermédiaire du Centre technique de la NCIRC (installé à Mons, en Belgique), est responsable de la fourniture des services techniques de cybersécurité dans l’ensemble de l’OTAN. Le Centre technique de la NCIRC joue un rôle clé, qui consiste à réagir à tout cyberincident touchant l’OTAN. Il gère et signale les incidents, et il communique les informations cruciales sur ceux-ci aux responsables de la gestion des systèmes et de la sécurité ainsi qu’aux utilisateurs. 

 

Évolution

Même si l’OTAN a toujours assuré la protection de ses systèmes d’information et de communication, c’est au sommet de Prague, en 2002, que la cyberdéfense a été pour la première fois inscrite à son agenda politique. Les dirigeants des pays de l’Alliance réunis au sommet de Riga, en 2006, ont réaffirmé la nécessité de protéger davantage ces systèmes.

Suite aux cyberattaques qui ont touché des institutions publiques et privées de l’Estonie en 2007, les ministres de la Défense des pays de l’Alliance sont convenus qu’il était urgent de mener des travaux dans ce domaine. Suite à ce constat, l’OTAN a adopté sa première politique de cyberdéfense en janvier 2008.

À l’été 2008, le conflit entre la Russie et la Géorgie a montré que les cyberattaques pouvaient devenir un élément essentiel de la guerre conventionnelle.

Au sommet tenu à Lisbonne en 2010, l’OTAN a adopté un nouveau concept stratégique reconnaissant pour la première fois que les cyberattaques risquaient d’atteindre un seuil pouvant menacer la prospérité, la sécurité et la stabilité des États et de la zone euro-atlantique. 

En juin 2011, les ministres de la Défense des pays de l’OTAN ont approuvé la deuxième version de la politique de cyberdéfense, qui énonce une vision des efforts coordonnés à mener en matière de cyberdéfense dans l’ensemble de l’Alliance, compte tenu de l’évolution rapide des menaces et de l’environnement technologique. 

En avril 2012, la cyberdéfense a été intégrée dans le processus OTAN de planification de défense. Les besoins pertinents en matière de cyberdéfense sont recensés et priorisés dans le cadre de ce processus.

Au sommet que l‘OTAN a tenu en 2012 à Chicago, les dirigeants des pays de l’Alliance ont réaffirmé qu’ils étaient déterminés à renforcer les moyens de cyberdéfense de l’Alliance en plaçant tous les réseaux de l’OTAN sous un dispositif centralisé de protection et en mettant en œuvre une série de modernisations des capacités de cyberdéfense de l’OTAN.

En juillet 2012, dans le cadre de la réforme des agences de l’OTAN, l’Agence OTAN d'information et de communication a été créée.

En février 2014, les ministres de la Défense des pays de l’Alliance ont chargé l’OTAN d’élaborer une nouvelle politique de cyberdéfense renforcée intégrant la défense collective, l’assistance aux Alliés, la gouvernance rationalisée, diverses considérations juridiques et les relations avec l’industrie. 

En avril 2014, le Conseil a décidé de renommer le Comité de la politique et des plans de défense (Cyberdéfense) en Comité de cyberdéfense.

Au sommet de l'OTAN au pays de Galles, en 2014, les Alliés ont entériné une nouvelle politique de cyberdéfense affirmant que la cyberdéfense fait partie de la tâche fondamentale de l’OTAN qu’est la défense collective, ce qui signifie qu'une cyberattaque pourrait constituer un motif pour invoquer l'article 5 du traité fondateur de l’OTAN. Les Alliés ont reconnu que le droit international s'applique au cyberespace.

En septembre 2014, l’OTAN a lancé une initiative destinée à intensifier la coopération avec le secteur privé sur les défis et menaces en matière de cybersécurité. Le Cyberpartenariat OTAN industrie (NICP), entériné par les dirigeants des pays de l’Alliance au sommet de l’OTAN tenu au pays de Galles, a été présenté lors d’une conférence de deux jours sur la cyberdéfense tenue à Mons, en Belgique, où 1 500 responsables et décideurs industriels étaient rassemblés pour évoquer la coopération dans ce domaine. Le NCIP reconnaît l’importance de collaborer avec des partenaires de l’industrie pour permettre à l’Alliance d’atteindre ses objectifs de cyberdéfense. 

En février 2016, l'OTAN et l'Union européenne ont conclu un arrangement technique sur la cyberdéfense afin d'aider les deux organisations à mieux prévenir les cyberattaques et à y répondre. Cet arrangement technique entre la NCIRC et le centre d’alerte et de réaction aux attaques informatiques de l’UE (CERT-UE) fixe un cadre pour l’échange d’informations et le partage de bonnes pratiques entre les équipes d’intervention d’urgence.

Au sommet de l’OTAN à Varsovie, en juillet 2016, les chefs d’État et de gouvernement des pays membres de l’Alliance ont réaffirmé le mandat défensif de l’OTAN, et reconnu le cyberespace en tant que milieu d’opérations dans lequel l’OTAN doit se défendre aussi efficacement qu’elle le fait dans les airs, sur terre et en mer. L’OTAN a ainsi renforcé son aptitude à protéger et à mener ses missions et opérations. L’Alliance s’est aussi félicitée des efforts entrepris dans d’autres enceintes internationales pour élaborer des normes en vue d’un comportement responsable des États, ainsi que des mesures de confiance visant à favoriser la transparence et la stabilité du cyberespace.

Lors de ce même sommet, les Alliés ont également pris un engagement en faveur de la cyberdéfense, visant à faire du renforcement et de l’amélioration des moyens de cyberdéfense des infrastructures et des réseaux nationaux une priorité. Chacun des Alliés s’est engagé à améliorer sa résilience et son aptitude à répondre rapidement et efficacement aux cybermenaces, y compris celles lancées dans le cadre de campagnes hybrides.

En décembre 2016, l’OTAN et l’UE ont approuvé plus d’une quarantaine de mesures visant à favoriser la coopération entre les deux organisations, notamment pour ce qui est de lutter contre les menaces hybrides, d’assurer la cyberdéfense et de rendre leur voisinage commun plus stable et plus sûr. En ce qui concerne la cyberdéfense, l’OTAN et l’UE sont convenues de renforcer leur participation croisée à des exercices et de promouvoir la recherche, les formations et le partage d’informations. 

En février 2017, les ministres de la Défense des pays de l’Alliance ont entériné un plan d’action actualisé pour la cyberdéfense, ainsi que la feuille de route pour le traitement du cyberespace en tant que milieu d’opérations. Ces mesures ont amélioré l’aptitude des Alliés à travailler ensemble, à développer des capacités et à partager des informations. 

En février 2017 toujours, l'OTAN et la Finlande(qui était alors un pays partenaire, avant de devenir membre de l’OTAN en 2023), soucieuses de resserrer leur coopération en matière de cyberdéfense, ont signé un accord-cadre politique qui leur permet d'améliorer la résilience de leurs réseaux et de mieux les protéger.

En décembre 2017, les ministres des pays de l’OTAN et de l’UE sont convenus d’intensifier la coopération entre les deux organisations dans plusieurs domaines, dont la cybersécurité et la cyberdéfense. La coopération porte notamment sur l’analyse des cybermenaces et la collaboration entre les équipes de réponse aux incidents, ainsi que sur l’échange de bonnes pratiques concernant les aspects et implications cyber de la gestion de crise.

En 2018, au sommet de l’OTAN à Bruxelles, les Alliés ont décidé de créer un Centre des cyberopérations intégré à la structure de commandement de l’OTAN et chargé d’assurer la connaissance de la situation et la coordination de l’activité opérationnelle de l’OTAN dans et à travers le cyberespace. Les Alliés sont également convenus que l’OTAN pourrait faire appel aux capacités cyber des pays pour ses opérations et missions. Les Alliés conserveront la pleine maîtrise de ces contributions, tout comme ils restent propriétaires des chars, des navires et des avions qu’ils engagent dans des opérations et missions de l’OTAN. 

En février 2019, les ministres de la Défense des pays de l’Alliance ont adopté un manuel décrivant une série d’outils visant à renforcer encore l’aptitude de l’OTAN à répondre à des actes de cybermalveillance majeurs. L’OTAN doit être à même d’utiliser tous les moyens à sa disposition, qu’ils soient politiques, diplomatiques ou militaires, pour faire face aux cybermenaces auxquelles elle est confrontée. Les possibilités de réponse énoncées dans ce manuel aident l’Organisation et les Alliés à améliorer leur connaissance de la situation dans le cyberespace, à accroître leur résilience et à collaborer avec leurs partenaires pour mieux assurer la dissuasion, la défense et la lutte contre l’éventail complet des cybermenaces.

Le 3 juin 2020, le Conseil de l’Atlantique Nord a publié une déclaration condamnant les actes de cybermalveillance déstabilisants commis dans le contexte de la pandémie de COVID-19. Les Alliés y ont indiqué qu’ils demeuraient solidaires et qu’ils étaient prêts à aider ceux qui subissaient les conséquences de ces actes, notamment les services de soins de santé, les hôpitaux et les instituts de recherche. Ils ont également appelé au respect du droit international et des normes de conduite étatique responsable dans le cyberespace. 

En 2021, au sommet de l’OTAN à Bruxelles, les Alliés ont entériné une nouvelle politique de cyberdéfense globale, pour contribuer aux trois tâches fondamentales de l’OTAN (défense collective, gestion de crise et sécurité coopérative) et à sa posture globale de dissuasion et de défense. L’OTAN doit assurer activement la dissuasion, la défense et la lutte contre l’éventail complet des cybermenaces, et ce en toute circonstance – en temps de paix comme en période de crise ou de conflit – et aux niveaux politique, militaire et technique. Les Alliés sont par ailleurs conscients que, dans certaines circonstances, les incidences d’actes de cybermalveillance majeurs aux effets cumulés sont telles que ces actes peuvent être considérés comme équivalant à une attaque armée. Les Alliés ont décidé d’utiliser davantage l’OTAN comme plateforme de consultation politique, où ils peuvent partager les préoccupations concernant les actes de cybermalveillance, mettre en commun les approches et réponses nationales, et réfléchir à de possibles réponses collectives. 

Le 19 juillet 2021, le Conseil de l’Atlantique Nord a publié une déclaration de solidarité avec ceux touchés par des actes de cybermalveillance, notamment la compromission des serveurs Microsoft Exchange. Cette déclaration a mis en lumière les incidents récents liés à des logiciels rançonneurs et autres actes de cybermalveillance dirigés contre nos infrastructures critiques et nos institutions démocratiques, et exploitant des faiblesses dans les chaînes d'approvisionnement de matériels et logiciels informatiques. Elle a condamné ces actes de cybermalveillance et souligné que tous les États ont un rôle important à jouer dans la promotion et le respect de normes volontaires de comportement étatique responsable.

En septembre 2021, le Conseil de l’Atlantique Nord a nommé le premier directeur des systèmes d'information (CIO) de l’OTAN, chargé de faciliter l’intégration, l’harmonisation et la cohérence des systèmes TIC dans l’ensemble de l'OTAN.