ASPJ Afrique amp Francophonie - 1er trimestre 2018

La cyber-dissuasion est-elle une strateacutegie illusoire Emilio iasiEllo

Depuis la reconnaissance par le gouvernement ameacutericain (G-US) drsquoune partde la graviteacute des menaces cyberneacutetiques en particulier contre ses infrastrucshytures critiques et par le ministegravere de la Deacutefense (DOD) drsquoautre part qui a officiellement qualifieacute le cyberespace de zone de combat les experts en seacutecushy

riteacute les deacutecideurs politiques et les chercheurs de divers groupes de reacuteflexion ont ressusciteacute une strateacutegie de la Guerre froide pour lutter contre les nouvelles menaces qui germent sur le cyberespace1 Les mecircmes principes qui ont contribueacute agrave la dissuasion nucleacuteaire sovieacuteshytique pourraient ainsi potentiellement srsquoappliquer au cyberespace et aux ennemis qui y opegraverent Mecircme si la theacuteorie est convaincante nous devons garder agrave lrsquoesprit que ces strateacuteshygies bien que similaires ne sont pas transfeacuterables les facteurs cleacutes qui ont permis la dissuasion nucleacuteaire nrsquoont pas la mecircme valeur dans le cyberespace Alors que seule une poigneacutee drsquoeacutetats ont deacutemontreacute leur capaciteacute agrave mettre au point des armes nucleacuteaires plus de 140 pays ont mis ou sont en train de mettre au point des armes cyberneacutetiques Selon certaines estimations plus de 30 pays auraient creacuteeacute des cyber-uniteacutes militaires ou seraient en passe de le faire Ajoutons encore que ce contingent drsquoennemis ne se compose pas uniquement drsquoeacutetats-nations mais qursquoil comprend notamment des cybercriminels des pirates informatiques et des hacktivistes aux multiples niveaux de sophistication et des ressources precirctes agrave mettre leurs capaciteacutes aux services drsquointentions malveillantes2

Drsquoaucuns deacutefendent la mise en œuvre drsquoune strateacutegie de cyber-dissuasion pour atteacuteshynuer le volume drsquoactiviteacutes cyberneacutetiques hostiles aux inteacuterecircts des secteurs public et priveacuteMais un trop grand nombre de facteurs y compris les deacutefis lieacutes agrave lrsquoattribution et lrsquoampleur du combat agrave mener face agrave un spectre de menaces drsquoune telle envergure ne permettent pas aux strateacutegies de dissuasion cyberneacutetique drsquoatteindre le reacutesultat escompteacute agrave court terme

Emilio Iasiello travaille comme responsable de lrsquouniteacute drsquoanalyse de la menace au sein drsquoun cabinet decyber-renseignement international qui aide les entiteacutes feacutedeacuterales et les entreprises agrave geacuterer les risques cyberneacuteshytiques auxquels elles font face agrave mieux comprendre les vulneacuterabiliteacutes de leur environnement et agrave prioriser leurs investissements face aux menaces qui pegravesent sur leurs activiteacutes ou leur mission Emilio Iasiello a eacutecrit plusieurs articles portant sur lrsquoeacutelaboration drsquoune nouvelle meacutethodologie drsquoanalyse de la cyber-menace et sur la cyber-menace dans le domaine de lrsquoaeacuteronautique Il a eacutegalement proposeacute des solutions visant agrave ameacuteliorer lrsquoefficaciteacute des efforts entrepris par les Eacutetats-Unis en matiegravere de cyberseacutecuriteacute nationale et de seacutecurisation de la chaicircne drsquoapprovisionnement informatique

IASIELLO Emilio laquo Is Cyber Deterrence an Illusory Course of Action raquo Journal of Strategic Security 7 no 1 2013 pp 54-67DOI httpdxdoiorg1050381944-0472715 Disponible agrave lrsquoadresse httpscholarcommonsusfedujssvol7iss16

36

CYBER-DISSUASION 37

Qui plus est drsquoautres strateacutegies de dissuasion telles que celles utiliseacutees contre lrsquoutilisation drsquoarmes nucleacuteaires le terrorisme et les comportements des eacutetats voyous ne sont pas des modegraveles approprieacutes pour le cyberespace Malgreacute quelques points communs le domaine du cyberespace manque en effet de transparence et de traccedilabiliteacute des acteurs pour deacuteveshylopper des mesures de dissuasion En deacutepit de ces obstacles les eacutetats-nations devraient srsquoefforcer drsquoeacutelaborer de perfectionner et de mettre en œuvre des strateacutegies nationales de cyberseacutecuriteacute qui mettent lrsquoaccent sur lrsquoameacutelioration de la cyberdeacutefense et impliquent un principe de responsabilisation Si les acteurs les plus sophistiqueacutes resteront capables drsquoexploiter les failles des systegravemes de deacutefense les plus robustes le succegraves des intrusions sur les reacuteseaux nationaux reacutesulte en grande partie de mauvaises pratiques de cyberseacutecuriteacutetelles que la mise en place de systegravemes deacutefaillants et un manque de formation des utilisashyteurs aux principes de seacutecuriteacute de lrsquoinformation La cyber-seacutecuriteacute implique un effort continu et un suivi permanent Elle doit aussi ecirctre adapteacutee agrave un environnement de menace en constante eacutevolution

Qursquoest-ce que la cyber-dissuasion Avant drsquoaborder la conception et lrsquoeacutelaboration drsquoune strateacutegie nationale de cybershy

dissuasion il est important de comprendre les concepts fondamentaux de la dissuasion et ce qursquoils impliquent sur la mise en place drsquoune possible strateacutegie Une strateacutegie de dissuashysion cherche par deacutefinition agrave inciter un ennemi potentiel agrave ne pas attaquer une cible en lui faisant croire que les coucircts et les conseacutequences qui reacutesulteront de lrsquoattaque seront supeacuteshyrieurs aux avantages potentiels qursquoil pourra en retirer Nous pourrions ainsi deacutefinir le concept de la cyber-dissuasion avec surtout ses reacutepercussions et ses effets escompteacutescomme suit

La cyber-dissuasion est une strateacutegie par laquelle un eacutetat deacutesireux de deacutefendre son inteacuteshygriteacute affiche son intention de convaincre tout adversaire de renoncer agrave une activiteacute cybershyneacutetique destructrice en ciblant et en influenccedilant son appareil deacutecisionnel dans le but de susciter dans son chef la crainte de repreacutesailles dont lrsquoampleur deacutepasserait celle de lrsquoattaque initiale

Cette deacutefinition fondamentale poseacutee il est tout aussi essentiel drsquoidentifier les types de dissuasion possibles en analysant le cours de lrsquohistoire Bien qursquoil y ait une myriade drsquoiteacuterations et de sous-ensembles on peut distinguer deux types de strateacutegies de dissuashysion utiliseacutees par les Eacutetats-Unis la dissuasion par punition et la dissuasion par deacuteni

bull La dissuasion par punition ou crainte du chacirctiment laisse entendre agrave lrsquoagresseur que toute attaque sera suivie de repreacutesailles drsquoenvergure3 Dans ce sceacutenario les reshypreacutesailles ne doivent pas se limiter agrave des actions speacutecifiques et peuvent aussi inteacuteshygrer drsquoautres moyens tels que les frappes cineacutetiques ou des moyens plus diplomashytiques tels que les sanctions eacuteconomiques4 Parmi les exemples de dissuasion par punition citons la doctrine de destruction mutuelle pendant la guerre froide qui

38 ASPJ AFRIQUE amp FRANCOPHONIE

impliquait que la menace drsquoun recours agrave lrsquoarme nucleacuteaire dissuadait tout adversaire drsquoy recourir lui aussi

Appliquant le mecircme principe au cyberespace la dissuasion par punition peut prendre la forme drsquoactions numeacuteriques telles qursquoune frappe cyberneacutetique de repreacuteshysailles contre les auteurs drsquoune cyberattaque ou une frappe preacuteventive contre les auteurs potentiels drsquoune attaque reacuteseau Cette forme de dissuasion pourrait touteshyfois eacutegalement entraicircner des attaques cineacutetiques des neacutegociations diplomatiques ou des sanctions eacuteconomiques Ainsi ceux qui pensent que les Eacutetats-Unis sont agrave lrsquoorigine de lrsquoattaque STUXNET (qui visait les centrifugeuses nucleacuteaires irashyniennes) pourraient la voir une dissuasion preacuteventive agrave lrsquoencontre de lrsquoIran qui a continueacute agrave affiner ses proceacutedures drsquoenrichissement de lrsquouranium

bull La dissuasion par le deacuteni est moins motiveacutee par le conflit et cherche plutocirct agrave convaincre les agresseurs potentiels que leurs efforts ne seront pas couronneacutes de succegraves et que les avantages qursquoils recherchent leur seront refuseacutes5 Lrsquoavantage de cette strateacutegie est qursquoelle peut ecirctre baseacutee sur des mesures deacutefensives et donc non seulement ecirctre un moyen drsquoempecirccher lrsquoennemi drsquoagir mais aussi une solution au cas ougrave il passerait tout de mecircme agrave lrsquoaction6 Le blocus naval ameacutericain autour de Cuba en 1962 constitue un exemple de ce type de dissuasion Dans ce cas preacutecisles Eacutetats-Unis ont choisi de refuser aux navires russes lrsquoentreacutee dans les eaux cushybaines plutocirct que de deacuteployer des frappes aeacuteriennes contre des sites de missiles cubains

Dans le cyberespace la dissuasion par le deacuteni assume un rocircle deacutefensif plus traditionnel en deacutecourageant ou en faisant eacutechouer les attaques au moyen de deacuteshyfenses robustes proactives et coucircteuses Elle exige un engagement important et cibleacute de la part du gouvernement pour seacutecuriser les systegravemes et les reacuteseaux dont il a le controcircle avec la pleine coopeacuteration des proprieacutetaires priveacutes de lrsquoinfrastructure7 Cette forme de dissuasion implique un coucirct consideacuterablement plus eacuteleveacute compte tenu de lrsquoampleur de lrsquoentreprise en ce compris lrsquoutilisation de pratiques de seacutecuriteacute avanceacutees et lrsquoadoption de composants mateacuteriels et logiciels fiables8

Les facteurs neacutecessaires agrave une dissuasion cyberneacutetique efficace La cyber-dissuasion est difficile agrave mettre en œuvre car il faut tenir compte de plushy

sieurs facteurs pour atteindre les reacutesultats de lrsquoun ou lrsquoautre sous-ensemble de la strateacutegie de dissuasion Une strateacutegie de cyber-dissuasion doit deacuteterminer au preacutealable les parashymegravetres sur lesquels elle se fonde Agrave deacutefaut lrsquoennemi ne pourra pas comprendre et traiter lrsquointention du deacutefenseur qui risque donc drsquoecirctre mal comprise ou mal interpreacuteteacutee augmenshytant ainsi le risque drsquoescalade et probablement aussi celui de la confrontation entre eacutetats

CYBER-DISSUASION 39

La communication

Toute strateacutegie de dissuasion implique en partie une capaciteacute de communication efficace avec la communauteacute internationale et les adversaires en particulier sur ce qui est acceptable et sur les lignes rouges agrave ne pas deacutepasser Dans Arms and Influence Thomas Schelling note que le succegraves de la dissuasion par punition ou deacuteni deacutepend de lrsquoefficaciteacute de la communication entre un eacutetat et lrsquoentiteacute qursquoil souhaite dissuader9 Parallegravelement agrave la communication la notion de creacutedibiliteacute est eacutegalement primordiale Un eacutetat-nation ne peut en effet se contenter de deacutecreacuteter qursquoune activiteacute a franchi la ligne rouge il doit ecirctre precirct agrave agir en conseacutequence Agrave deacutefaut un eacutetat-nation risque de perdre sa creacutedibiliteacute intershynationale En 2012 par exemple le preacutesident Barack Obama a proclameacute que lrsquoutilisation drsquoarmes chimiques par le gouvernement syrien contre ses citoyens eacutetait la ligne rouge agrave ne pas franchir10 Pourtant lorsque les services de renseignements ont confirmeacute que des armes chimiques avaient eacuteteacute utiliseacutees six mois plus tard Obama nrsquoavait toujours pas donneacute suite agrave sa deacuteclaration11 En manquant agrave sa parole Barack Obama a causeacute du tort agrave la creacutedibiliteacute des Eacutetats-Unis Il avait certes accepteacute ensuite en juillet 2013 de fournir des armes aux rebelles syriens mais de nombreux membres de la communauteacute internationale ont estimeacute cette reacuteaction laquo trop faible et tardive12 raquo

Au sein du cyberespace la communication relegraveve drsquoune importance capitale en raishyson du caractegravere ambigu de ce domaine Une communication efficace neacutecessiterait un consensus sur les normes de comportement agrave adopter dans le cyberespace une entreprise difficile agrave reacutealiser comme en teacutemoigne lrsquoincapaciteacute des Eacutetats-Unis et de la Chine agrave deacutefinir un langage commun dans le cadre du Dialogue strateacutegique et eacuteconomique de juillet 201313 Les Eacutetats-Unis orientent leur propos sur les technologies et les reacuteseaux de mashychines automatiseacutees et preacutefegraverent utiliser le terme laquo cyber-seacutecuriteacute raquo tandis que des pays comme la Chine et la Russie preacutefegraverent utiliser le terme plus large laquo seacutecuriteacute de lrsquoinformashytion raquo pour inclure les informations reacutesidant sur les reacuteseaux ou transitant par ces derniersainsi que pour deacutesigner les technologies elles-mecircmes14 La raison de cette divergence reacuteside dans les activiteacutes qui se deacuteroulent dans le cyberespace la Chine favorise une intershypreacutetation plus large pour pouvoir dicter et controcircler le contenu et lrsquoinformation auxquels ses citoyens ont accegraves alors que les Eacutetats-Unis soutiennent les liberteacutes sur Internet Deshypuis la deuxiegraveme reacuteunion du Groupe de travail sur la cyber-seacutecuriteacute ChineminusEacutetats-Unis en deacutecembre 2013 les deux pays sont dans lrsquoimpasse et ne parvienne pas agrave trouver un terrain drsquoentente sur le contenu de la deacutefinition En lrsquoabsence drsquoun lexique commun et concerteacute et de consensus sur la maniegravere dont Internet devrait ecirctre utiliseacute la communication entre les deux parties est voueacutee agrave lrsquoeacutechec De mecircme lorsqursquoil srsquoagit de faire face agrave des activiteacutes hostiles dans le cyberespace ougrave les acteurs sont eacutetrangers les uns aux autres cette commushynication deacutefaillante favorise lrsquoincapaciteacute agrave envoyer des messages clairs et agrave deacutesamorcer les tensions La Convention sur la cybercriminaliteacute dirigeacutee par le Conseil de lrsquoEurope en 2001 fournit un cadre propice agrave lrsquoadoption drsquoune terminologie commune La convention identifie la terminologie convenue par tous les signataires Agrave ce jour on deacutenombre 41 ratifications ou adheacutesions Notons que la Russie qui figure neacuteanmoins sur la liste des eacutetats

40 ASPJ AFRIQUE amp FRANCOPHONIE

non-membres nrsquoa donc pas ratifieacute la charte pas plus que la Chine ce qui indique la reacutetishycence de ce pays agrave accepter la terminologie accepteacutee par les eacutetats occidentaux15

Le jeu de signal

La logique du jeu de signal de lrsquoeacutequilibre bayeacutesien parfait a eacuteteacute appliqueacutee agrave de nomshybreux domaines de la politique internationale au cours de la derniegravere deacutecennie y compris lors des deacutecisions drsquoentrer en guerre des neacutegociations de crise des neacutegociations eacuteconoshymiques internationales de lrsquointeacutegration reacutegionale et des politiques eacutetrangegraveres des eacutetats deacutemocratiques16 Que ce soit en temps de paix ou en temps de guerre lrsquoun des eacuteleacutements cleacutes de toute strateacutegie de cyber-dissuasion est la capaciteacute de signaler correctement ses intentions au destinataire Sans cette capaciteacute de laquo signalement raquo la dissuasion cyberneacuteshytique par punition devient inefficace et risque drsquoecirctre mal comprise ou mal interpreacuteteacutee ce qui augmente le risque drsquoescalade et de conflit Ainsi avant lrsquoexeacutecution de la dissuasion par punition lrsquoeacutetat qui se deacutefend doit clairement signaler son meacutecontentement agrave lrsquoagresseur (que ce soit un eacutetat-nation ou un acteur non eacutetatique) de maniegravere agrave ce que ce dernier lrsquointerpregravete correctement le comprenne et en conclue que les coucircts potentiels drsquoune telle action lrsquoemportent largement sur ses avantages potentiels Il convient cependant de noter que lrsquoeacutetat-nation signalant doit disposer pour que le signalement soit efficace des capacishyteacutes et de la creacutedibiliteacute neacutecessaires lui permettant drsquoexercer des repreacutesailles cyberneacutetiques destructrices Si lrsquoadversaire ne croit pas en la creacutedibiliteacute drsquoun eacutetat signalant ou srsquoil ne srsquoen soucie pas outre mesure le signalement nrsquoa plus de valeur Dans ce cas lrsquoagresseur ne sera pas dissuadeacute par la menace de punition

Agrave lrsquoinstar de la communication le signalement dans le cyberespace peut ecirctre facileshyment mal interpreacuteteacute ignoreacute ou mecircme ignoreacute par lrsquoagresseur Il peut se faire ouvertementsecregravetement ou par voie diplomatique eacuteconomique ou militaire Prenons lrsquoexemple de STUXNET Si le gouvernement des Eacutetats-Unis avait eacuteteacute responsable du deacuteploiement de STUXNET dans les systegravemes informatiques des centrifugeuses iraniennes le gouverneshyment des Eacutetats-Unis aurait eacuteteacute susceptible de signaler par la voie diplomatique au goushyvernement iranien qursquoune telle actionmdashsans reacuteveacuteler la cible viseacuteemdashse produirait si lrsquoIran ne mettait pas fin agrave son processus drsquoenrichissement Lorsque les centrifugeuses ont eacuteteacute deacutetruites et remplaceacutees le monde aurait compris que les Eacutetats-Unis eacutetaient derriegravere lrsquoeacuteveacuteshynement Un autre exemple de signalement potentiel dans le cyberespace serait lrsquoutilisation drsquoattaques de deacuteni de service distribueacute (DDoS) Sur la base du mecircme sceacutenario les banques ameacutericaines ont eacuteteacute la cible drsquoattaques DDoS peu apregraves la deacutecouverte de STUXNET De nombreux leacutegislateurs ameacutericains ont immeacutediatement soupccedilonneacute le gouvernement irashynien drsquoavoir meneacute ou orchestreacute les attaques par proxys17 Si lrsquoIran avait eacuteteacute responsable le fait drsquoavoir signaleacute au preacutealable par la voie diplomatique ou par des voies tierces sans reacuteveacuteler de cibles preacutecises aurait clairement indiqueacute au gouvernement ameacutericain que lrsquoIran non seulement reacutepondait agrave lrsquoattaque STUXNET mais que le pays disposait eacutegalement de la capaciteacute cyberneacutetique

CYBER-DISSUASION 41

Lrsquoattribution

Il est extrecircmement difficile de deacuteterminer lrsquoattribution dans le cyberespace ougrave les opeacuterateurs aviseacutes disposent drsquoune multitude de techniques de brouillage pour empecirccher les deacutefenseurs drsquoidentifier correctement leur veacuteritable point drsquoorigine Qursquoil srsquoagisse de compromettre une seacuterie drsquoordinateurs dans diffeacuterents pays avant exeacutecution ou drsquoutiliser des anonymiseurs et des proxys le cyberespace est un environnement propice aux attaques malveillantes Lrsquoattribution est un eacuteleacutement neacutecessaire de toute strateacutegie de dissuasion car il incombe agrave lrsquoeacutetat qui se deacutefend drsquoidentifier lrsquoattribution drsquoun agresseur avant le deacutebut de toute mesure de repreacutesailles Il nrsquoest toutefois pas neacutecessaire de proceacuteder agrave une attribution complegravete pour exercer un effet dissuasif par deacuteni lorsque drsquoautres formes drsquoactions non destructives peuvent ecirctre dirigeacutees contre un agresseur Jason Healey du Conseil atlanshytique propose un moyen efficace pour deacuteterminer le laquo spectre de la responsabiliteacute de lrsquoeacutetat raquo un outil conccedilu pour aider les analystes ayant des connaissances imparfaites agrave attrishybuer la responsabiliteacute drsquoune attaque particuliegravere ou drsquoune campagne drsquoattaques avec plus de preacutecision et de transparence18 Le spectre attribue dix cateacutegories chacune drsquoentre elles eacutetant caracteacuteriseacutee par un degreacute de responsabiliteacute diffeacuterent selon qursquoune nation ignoresoutienne ou megravene une attaque19 Le niveau de culpabiliteacute attribueacute agrave lrsquoeacutetat-nation servirait de guide pour le type et le niveau de reacuteponse approprieacute allant de lrsquoignorance de lrsquoattaque initiale agrave la riposte de lrsquoagresseur identifieacute

Les pratiques drsquoattribution reacuteussies dans le cyberespace devraient ideacutealement comshybiner lrsquoanalyse technique cognitive et comportementale pour mieux identifier les agresshyseurs ainsi que les influences qui peuvent les aider agrave guider leurs opeacuterations Lrsquoanalyse technique nrsquoest pas suffisante aux fins drsquoattribution eacutetant donneacute que de nombreux acteurs hostiles mettent en œuvre les mecircmes tactiques techniques proceacutedures et outils ou se livrent agrave des opeacuterations de laquo faux signalement raquo dans le cadre drsquoactiviteacutes malveillantes20 Aucune norme ne permet actuellement drsquoeacutetablir un degreacute de confiance dans la deacutetermishynation de lrsquoattribution cyberneacutetique21 Lorsqursquoil srsquoagit de deacuteployer eacuteventuellement une cyber-dissuasion par punition le deacutefenseur doit ecirctre en mesure drsquoidentifier lrsquoauteur de la cyber-dissuasion afin de prendre les mesures qui srsquoimposent Plusieurs problegravemes emshypecircchent les processus drsquoattribution rapides et preacutecis notamment la mauvaise attributionle temps neacutecessaire agrave la collecte et agrave lrsquoanalyse de la meacutethode drsquoattaque employeacutee et lrsquoidenshytification du mobile du comportement et des influences exteacuterieures de lrsquoacteur Neacuteanshymoins afin drsquoeacuteviter de perdre la face en public et de reacuteduire le volume et la probabiliteacute des dommages collateacuteraux un niveau acceptable drsquoattribution doit ecirctre eacutetabli avant le deacutebut de toute mesure de repreacutesailles

La proportionnaliteacute

Sur la base des Conventions de Genegraveve de 1949 sur le droit des conflits armeacutes et des principes de proportionnaliteacute ainsi que de ceux exprimeacutes par lrsquoOTAN dans le Manuel de Tallinn procircnant lrsquoassimilation de la cyberguerre agrave la guerre conventionnelle une cybershyaction de repreacutesailles doit ecirctre proportionnelle en particulier si elle est dirigeacutee contre un

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

38 ASPJ AFRIQUE amp FRANCOPHONIE

impliquait que la menace drsquoun recours agrave lrsquoarme nucleacuteaire dissuadait tout adversaire drsquoy recourir lui aussi

Appliquant le mecircme principe au cyberespace la dissuasion par punition peut prendre la forme drsquoactions numeacuteriques telles qursquoune frappe cyberneacutetique de repreacuteshysailles contre les auteurs drsquoune cyberattaque ou une frappe preacuteventive contre les auteurs potentiels drsquoune attaque reacuteseau Cette forme de dissuasion pourrait touteshyfois eacutegalement entraicircner des attaques cineacutetiques des neacutegociations diplomatiques ou des sanctions eacuteconomiques Ainsi ceux qui pensent que les Eacutetats-Unis sont agrave lrsquoorigine de lrsquoattaque STUXNET (qui visait les centrifugeuses nucleacuteaires irashyniennes) pourraient la voir une dissuasion preacuteventive agrave lrsquoencontre de lrsquoIran qui a continueacute agrave affiner ses proceacutedures drsquoenrichissement de lrsquouranium

bull La dissuasion par le deacuteni est moins motiveacutee par le conflit et cherche plutocirct agrave convaincre les agresseurs potentiels que leurs efforts ne seront pas couronneacutes de succegraves et que les avantages qursquoils recherchent leur seront refuseacutes5 Lrsquoavantage de cette strateacutegie est qursquoelle peut ecirctre baseacutee sur des mesures deacutefensives et donc non seulement ecirctre un moyen drsquoempecirccher lrsquoennemi drsquoagir mais aussi une solution au cas ougrave il passerait tout de mecircme agrave lrsquoaction6 Le blocus naval ameacutericain autour de Cuba en 1962 constitue un exemple de ce type de dissuasion Dans ce cas preacutecisles Eacutetats-Unis ont choisi de refuser aux navires russes lrsquoentreacutee dans les eaux cushybaines plutocirct que de deacuteployer des frappes aeacuteriennes contre des sites de missiles cubains

Dans le cyberespace la dissuasion par le deacuteni assume un rocircle deacutefensif plus traditionnel en deacutecourageant ou en faisant eacutechouer les attaques au moyen de deacuteshyfenses robustes proactives et coucircteuses Elle exige un engagement important et cibleacute de la part du gouvernement pour seacutecuriser les systegravemes et les reacuteseaux dont il a le controcircle avec la pleine coopeacuteration des proprieacutetaires priveacutes de lrsquoinfrastructure7 Cette forme de dissuasion implique un coucirct consideacuterablement plus eacuteleveacute compte tenu de lrsquoampleur de lrsquoentreprise en ce compris lrsquoutilisation de pratiques de seacutecuriteacute avanceacutees et lrsquoadoption de composants mateacuteriels et logiciels fiables8

Les facteurs neacutecessaires agrave une dissuasion cyberneacutetique efficace La cyber-dissuasion est difficile agrave mettre en œuvre car il faut tenir compte de plushy

sieurs facteurs pour atteindre les reacutesultats de lrsquoun ou lrsquoautre sous-ensemble de la strateacutegie de dissuasion Une strateacutegie de cyber-dissuasion doit deacuteterminer au preacutealable les parashymegravetres sur lesquels elle se fonde Agrave deacutefaut lrsquoennemi ne pourra pas comprendre et traiter lrsquointention du deacutefenseur qui risque donc drsquoecirctre mal comprise ou mal interpreacuteteacutee augmenshytant ainsi le risque drsquoescalade et probablement aussi celui de la confrontation entre eacutetats

CYBER-DISSUASION 39

La communication

Toute strateacutegie de dissuasion implique en partie une capaciteacute de communication efficace avec la communauteacute internationale et les adversaires en particulier sur ce qui est acceptable et sur les lignes rouges agrave ne pas deacutepasser Dans Arms and Influence Thomas Schelling note que le succegraves de la dissuasion par punition ou deacuteni deacutepend de lrsquoefficaciteacute de la communication entre un eacutetat et lrsquoentiteacute qursquoil souhaite dissuader9 Parallegravelement agrave la communication la notion de creacutedibiliteacute est eacutegalement primordiale Un eacutetat-nation ne peut en effet se contenter de deacutecreacuteter qursquoune activiteacute a franchi la ligne rouge il doit ecirctre precirct agrave agir en conseacutequence Agrave deacutefaut un eacutetat-nation risque de perdre sa creacutedibiliteacute intershynationale En 2012 par exemple le preacutesident Barack Obama a proclameacute que lrsquoutilisation drsquoarmes chimiques par le gouvernement syrien contre ses citoyens eacutetait la ligne rouge agrave ne pas franchir10 Pourtant lorsque les services de renseignements ont confirmeacute que des armes chimiques avaient eacuteteacute utiliseacutees six mois plus tard Obama nrsquoavait toujours pas donneacute suite agrave sa deacuteclaration11 En manquant agrave sa parole Barack Obama a causeacute du tort agrave la creacutedibiliteacute des Eacutetats-Unis Il avait certes accepteacute ensuite en juillet 2013 de fournir des armes aux rebelles syriens mais de nombreux membres de la communauteacute internationale ont estimeacute cette reacuteaction laquo trop faible et tardive12 raquo

Au sein du cyberespace la communication relegraveve drsquoune importance capitale en raishyson du caractegravere ambigu de ce domaine Une communication efficace neacutecessiterait un consensus sur les normes de comportement agrave adopter dans le cyberespace une entreprise difficile agrave reacutealiser comme en teacutemoigne lrsquoincapaciteacute des Eacutetats-Unis et de la Chine agrave deacutefinir un langage commun dans le cadre du Dialogue strateacutegique et eacuteconomique de juillet 201313 Les Eacutetats-Unis orientent leur propos sur les technologies et les reacuteseaux de mashychines automatiseacutees et preacutefegraverent utiliser le terme laquo cyber-seacutecuriteacute raquo tandis que des pays comme la Chine et la Russie preacutefegraverent utiliser le terme plus large laquo seacutecuriteacute de lrsquoinformashytion raquo pour inclure les informations reacutesidant sur les reacuteseaux ou transitant par ces derniersainsi que pour deacutesigner les technologies elles-mecircmes14 La raison de cette divergence reacuteside dans les activiteacutes qui se deacuteroulent dans le cyberespace la Chine favorise une intershypreacutetation plus large pour pouvoir dicter et controcircler le contenu et lrsquoinformation auxquels ses citoyens ont accegraves alors que les Eacutetats-Unis soutiennent les liberteacutes sur Internet Deshypuis la deuxiegraveme reacuteunion du Groupe de travail sur la cyber-seacutecuriteacute ChineminusEacutetats-Unis en deacutecembre 2013 les deux pays sont dans lrsquoimpasse et ne parvienne pas agrave trouver un terrain drsquoentente sur le contenu de la deacutefinition En lrsquoabsence drsquoun lexique commun et concerteacute et de consensus sur la maniegravere dont Internet devrait ecirctre utiliseacute la communication entre les deux parties est voueacutee agrave lrsquoeacutechec De mecircme lorsqursquoil srsquoagit de faire face agrave des activiteacutes hostiles dans le cyberespace ougrave les acteurs sont eacutetrangers les uns aux autres cette commushynication deacutefaillante favorise lrsquoincapaciteacute agrave envoyer des messages clairs et agrave deacutesamorcer les tensions La Convention sur la cybercriminaliteacute dirigeacutee par le Conseil de lrsquoEurope en 2001 fournit un cadre propice agrave lrsquoadoption drsquoune terminologie commune La convention identifie la terminologie convenue par tous les signataires Agrave ce jour on deacutenombre 41 ratifications ou adheacutesions Notons que la Russie qui figure neacuteanmoins sur la liste des eacutetats

40 ASPJ AFRIQUE amp FRANCOPHONIE

non-membres nrsquoa donc pas ratifieacute la charte pas plus que la Chine ce qui indique la reacutetishycence de ce pays agrave accepter la terminologie accepteacutee par les eacutetats occidentaux15

Le jeu de signal

La logique du jeu de signal de lrsquoeacutequilibre bayeacutesien parfait a eacuteteacute appliqueacutee agrave de nomshybreux domaines de la politique internationale au cours de la derniegravere deacutecennie y compris lors des deacutecisions drsquoentrer en guerre des neacutegociations de crise des neacutegociations eacuteconoshymiques internationales de lrsquointeacutegration reacutegionale et des politiques eacutetrangegraveres des eacutetats deacutemocratiques16 Que ce soit en temps de paix ou en temps de guerre lrsquoun des eacuteleacutements cleacutes de toute strateacutegie de cyber-dissuasion est la capaciteacute de signaler correctement ses intentions au destinataire Sans cette capaciteacute de laquo signalement raquo la dissuasion cyberneacuteshytique par punition devient inefficace et risque drsquoecirctre mal comprise ou mal interpreacuteteacutee ce qui augmente le risque drsquoescalade et de conflit Ainsi avant lrsquoexeacutecution de la dissuasion par punition lrsquoeacutetat qui se deacutefend doit clairement signaler son meacutecontentement agrave lrsquoagresseur (que ce soit un eacutetat-nation ou un acteur non eacutetatique) de maniegravere agrave ce que ce dernier lrsquointerpregravete correctement le comprenne et en conclue que les coucircts potentiels drsquoune telle action lrsquoemportent largement sur ses avantages potentiels Il convient cependant de noter que lrsquoeacutetat-nation signalant doit disposer pour que le signalement soit efficace des capacishyteacutes et de la creacutedibiliteacute neacutecessaires lui permettant drsquoexercer des repreacutesailles cyberneacutetiques destructrices Si lrsquoadversaire ne croit pas en la creacutedibiliteacute drsquoun eacutetat signalant ou srsquoil ne srsquoen soucie pas outre mesure le signalement nrsquoa plus de valeur Dans ce cas lrsquoagresseur ne sera pas dissuadeacute par la menace de punition

Agrave lrsquoinstar de la communication le signalement dans le cyberespace peut ecirctre facileshyment mal interpreacuteteacute ignoreacute ou mecircme ignoreacute par lrsquoagresseur Il peut se faire ouvertementsecregravetement ou par voie diplomatique eacuteconomique ou militaire Prenons lrsquoexemple de STUXNET Si le gouvernement des Eacutetats-Unis avait eacuteteacute responsable du deacuteploiement de STUXNET dans les systegravemes informatiques des centrifugeuses iraniennes le gouverneshyment des Eacutetats-Unis aurait eacuteteacute susceptible de signaler par la voie diplomatique au goushyvernement iranien qursquoune telle actionmdashsans reacuteveacuteler la cible viseacuteemdashse produirait si lrsquoIran ne mettait pas fin agrave son processus drsquoenrichissement Lorsque les centrifugeuses ont eacuteteacute deacutetruites et remplaceacutees le monde aurait compris que les Eacutetats-Unis eacutetaient derriegravere lrsquoeacuteveacuteshynement Un autre exemple de signalement potentiel dans le cyberespace serait lrsquoutilisation drsquoattaques de deacuteni de service distribueacute (DDoS) Sur la base du mecircme sceacutenario les banques ameacutericaines ont eacuteteacute la cible drsquoattaques DDoS peu apregraves la deacutecouverte de STUXNET De nombreux leacutegislateurs ameacutericains ont immeacutediatement soupccedilonneacute le gouvernement irashynien drsquoavoir meneacute ou orchestreacute les attaques par proxys17 Si lrsquoIran avait eacuteteacute responsable le fait drsquoavoir signaleacute au preacutealable par la voie diplomatique ou par des voies tierces sans reacuteveacuteler de cibles preacutecises aurait clairement indiqueacute au gouvernement ameacutericain que lrsquoIran non seulement reacutepondait agrave lrsquoattaque STUXNET mais que le pays disposait eacutegalement de la capaciteacute cyberneacutetique

CYBER-DISSUASION 41

Lrsquoattribution

Il est extrecircmement difficile de deacuteterminer lrsquoattribution dans le cyberespace ougrave les opeacuterateurs aviseacutes disposent drsquoune multitude de techniques de brouillage pour empecirccher les deacutefenseurs drsquoidentifier correctement leur veacuteritable point drsquoorigine Qursquoil srsquoagisse de compromettre une seacuterie drsquoordinateurs dans diffeacuterents pays avant exeacutecution ou drsquoutiliser des anonymiseurs et des proxys le cyberespace est un environnement propice aux attaques malveillantes Lrsquoattribution est un eacuteleacutement neacutecessaire de toute strateacutegie de dissuasion car il incombe agrave lrsquoeacutetat qui se deacutefend drsquoidentifier lrsquoattribution drsquoun agresseur avant le deacutebut de toute mesure de repreacutesailles Il nrsquoest toutefois pas neacutecessaire de proceacuteder agrave une attribution complegravete pour exercer un effet dissuasif par deacuteni lorsque drsquoautres formes drsquoactions non destructives peuvent ecirctre dirigeacutees contre un agresseur Jason Healey du Conseil atlanshytique propose un moyen efficace pour deacuteterminer le laquo spectre de la responsabiliteacute de lrsquoeacutetat raquo un outil conccedilu pour aider les analystes ayant des connaissances imparfaites agrave attrishybuer la responsabiliteacute drsquoune attaque particuliegravere ou drsquoune campagne drsquoattaques avec plus de preacutecision et de transparence18 Le spectre attribue dix cateacutegories chacune drsquoentre elles eacutetant caracteacuteriseacutee par un degreacute de responsabiliteacute diffeacuterent selon qursquoune nation ignoresoutienne ou megravene une attaque19 Le niveau de culpabiliteacute attribueacute agrave lrsquoeacutetat-nation servirait de guide pour le type et le niveau de reacuteponse approprieacute allant de lrsquoignorance de lrsquoattaque initiale agrave la riposte de lrsquoagresseur identifieacute

Les pratiques drsquoattribution reacuteussies dans le cyberespace devraient ideacutealement comshybiner lrsquoanalyse technique cognitive et comportementale pour mieux identifier les agresshyseurs ainsi que les influences qui peuvent les aider agrave guider leurs opeacuterations Lrsquoanalyse technique nrsquoest pas suffisante aux fins drsquoattribution eacutetant donneacute que de nombreux acteurs hostiles mettent en œuvre les mecircmes tactiques techniques proceacutedures et outils ou se livrent agrave des opeacuterations de laquo faux signalement raquo dans le cadre drsquoactiviteacutes malveillantes20 Aucune norme ne permet actuellement drsquoeacutetablir un degreacute de confiance dans la deacutetermishynation de lrsquoattribution cyberneacutetique21 Lorsqursquoil srsquoagit de deacuteployer eacuteventuellement une cyber-dissuasion par punition le deacutefenseur doit ecirctre en mesure drsquoidentifier lrsquoauteur de la cyber-dissuasion afin de prendre les mesures qui srsquoimposent Plusieurs problegravemes emshypecircchent les processus drsquoattribution rapides et preacutecis notamment la mauvaise attributionle temps neacutecessaire agrave la collecte et agrave lrsquoanalyse de la meacutethode drsquoattaque employeacutee et lrsquoidenshytification du mobile du comportement et des influences exteacuterieures de lrsquoacteur Neacuteanshymoins afin drsquoeacuteviter de perdre la face en public et de reacuteduire le volume et la probabiliteacute des dommages collateacuteraux un niveau acceptable drsquoattribution doit ecirctre eacutetabli avant le deacutebut de toute mesure de repreacutesailles

La proportionnaliteacute

Sur la base des Conventions de Genegraveve de 1949 sur le droit des conflits armeacutes et des principes de proportionnaliteacute ainsi que de ceux exprimeacutes par lrsquoOTAN dans le Manuel de Tallinn procircnant lrsquoassimilation de la cyberguerre agrave la guerre conventionnelle une cybershyaction de repreacutesailles doit ecirctre proportionnelle en particulier si elle est dirigeacutee contre un

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 39

La communication

Toute strateacutegie de dissuasion implique en partie une capaciteacute de communication efficace avec la communauteacute internationale et les adversaires en particulier sur ce qui est acceptable et sur les lignes rouges agrave ne pas deacutepasser Dans Arms and Influence Thomas Schelling note que le succegraves de la dissuasion par punition ou deacuteni deacutepend de lrsquoefficaciteacute de la communication entre un eacutetat et lrsquoentiteacute qursquoil souhaite dissuader9 Parallegravelement agrave la communication la notion de creacutedibiliteacute est eacutegalement primordiale Un eacutetat-nation ne peut en effet se contenter de deacutecreacuteter qursquoune activiteacute a franchi la ligne rouge il doit ecirctre precirct agrave agir en conseacutequence Agrave deacutefaut un eacutetat-nation risque de perdre sa creacutedibiliteacute intershynationale En 2012 par exemple le preacutesident Barack Obama a proclameacute que lrsquoutilisation drsquoarmes chimiques par le gouvernement syrien contre ses citoyens eacutetait la ligne rouge agrave ne pas franchir10 Pourtant lorsque les services de renseignements ont confirmeacute que des armes chimiques avaient eacuteteacute utiliseacutees six mois plus tard Obama nrsquoavait toujours pas donneacute suite agrave sa deacuteclaration11 En manquant agrave sa parole Barack Obama a causeacute du tort agrave la creacutedibiliteacute des Eacutetats-Unis Il avait certes accepteacute ensuite en juillet 2013 de fournir des armes aux rebelles syriens mais de nombreux membres de la communauteacute internationale ont estimeacute cette reacuteaction laquo trop faible et tardive12 raquo

Au sein du cyberespace la communication relegraveve drsquoune importance capitale en raishyson du caractegravere ambigu de ce domaine Une communication efficace neacutecessiterait un consensus sur les normes de comportement agrave adopter dans le cyberespace une entreprise difficile agrave reacutealiser comme en teacutemoigne lrsquoincapaciteacute des Eacutetats-Unis et de la Chine agrave deacutefinir un langage commun dans le cadre du Dialogue strateacutegique et eacuteconomique de juillet 201313 Les Eacutetats-Unis orientent leur propos sur les technologies et les reacuteseaux de mashychines automatiseacutees et preacutefegraverent utiliser le terme laquo cyber-seacutecuriteacute raquo tandis que des pays comme la Chine et la Russie preacutefegraverent utiliser le terme plus large laquo seacutecuriteacute de lrsquoinformashytion raquo pour inclure les informations reacutesidant sur les reacuteseaux ou transitant par ces derniersainsi que pour deacutesigner les technologies elles-mecircmes14 La raison de cette divergence reacuteside dans les activiteacutes qui se deacuteroulent dans le cyberespace la Chine favorise une intershypreacutetation plus large pour pouvoir dicter et controcircler le contenu et lrsquoinformation auxquels ses citoyens ont accegraves alors que les Eacutetats-Unis soutiennent les liberteacutes sur Internet Deshypuis la deuxiegraveme reacuteunion du Groupe de travail sur la cyber-seacutecuriteacute ChineminusEacutetats-Unis en deacutecembre 2013 les deux pays sont dans lrsquoimpasse et ne parvienne pas agrave trouver un terrain drsquoentente sur le contenu de la deacutefinition En lrsquoabsence drsquoun lexique commun et concerteacute et de consensus sur la maniegravere dont Internet devrait ecirctre utiliseacute la communication entre les deux parties est voueacutee agrave lrsquoeacutechec De mecircme lorsqursquoil srsquoagit de faire face agrave des activiteacutes hostiles dans le cyberespace ougrave les acteurs sont eacutetrangers les uns aux autres cette commushynication deacutefaillante favorise lrsquoincapaciteacute agrave envoyer des messages clairs et agrave deacutesamorcer les tensions La Convention sur la cybercriminaliteacute dirigeacutee par le Conseil de lrsquoEurope en 2001 fournit un cadre propice agrave lrsquoadoption drsquoune terminologie commune La convention identifie la terminologie convenue par tous les signataires Agrave ce jour on deacutenombre 41 ratifications ou adheacutesions Notons que la Russie qui figure neacuteanmoins sur la liste des eacutetats

40 ASPJ AFRIQUE amp FRANCOPHONIE

non-membres nrsquoa donc pas ratifieacute la charte pas plus que la Chine ce qui indique la reacutetishycence de ce pays agrave accepter la terminologie accepteacutee par les eacutetats occidentaux15

Le jeu de signal

La logique du jeu de signal de lrsquoeacutequilibre bayeacutesien parfait a eacuteteacute appliqueacutee agrave de nomshybreux domaines de la politique internationale au cours de la derniegravere deacutecennie y compris lors des deacutecisions drsquoentrer en guerre des neacutegociations de crise des neacutegociations eacuteconoshymiques internationales de lrsquointeacutegration reacutegionale et des politiques eacutetrangegraveres des eacutetats deacutemocratiques16 Que ce soit en temps de paix ou en temps de guerre lrsquoun des eacuteleacutements cleacutes de toute strateacutegie de cyber-dissuasion est la capaciteacute de signaler correctement ses intentions au destinataire Sans cette capaciteacute de laquo signalement raquo la dissuasion cyberneacuteshytique par punition devient inefficace et risque drsquoecirctre mal comprise ou mal interpreacuteteacutee ce qui augmente le risque drsquoescalade et de conflit Ainsi avant lrsquoexeacutecution de la dissuasion par punition lrsquoeacutetat qui se deacutefend doit clairement signaler son meacutecontentement agrave lrsquoagresseur (que ce soit un eacutetat-nation ou un acteur non eacutetatique) de maniegravere agrave ce que ce dernier lrsquointerpregravete correctement le comprenne et en conclue que les coucircts potentiels drsquoune telle action lrsquoemportent largement sur ses avantages potentiels Il convient cependant de noter que lrsquoeacutetat-nation signalant doit disposer pour que le signalement soit efficace des capacishyteacutes et de la creacutedibiliteacute neacutecessaires lui permettant drsquoexercer des repreacutesailles cyberneacutetiques destructrices Si lrsquoadversaire ne croit pas en la creacutedibiliteacute drsquoun eacutetat signalant ou srsquoil ne srsquoen soucie pas outre mesure le signalement nrsquoa plus de valeur Dans ce cas lrsquoagresseur ne sera pas dissuadeacute par la menace de punition

Agrave lrsquoinstar de la communication le signalement dans le cyberespace peut ecirctre facileshyment mal interpreacuteteacute ignoreacute ou mecircme ignoreacute par lrsquoagresseur Il peut se faire ouvertementsecregravetement ou par voie diplomatique eacuteconomique ou militaire Prenons lrsquoexemple de STUXNET Si le gouvernement des Eacutetats-Unis avait eacuteteacute responsable du deacuteploiement de STUXNET dans les systegravemes informatiques des centrifugeuses iraniennes le gouverneshyment des Eacutetats-Unis aurait eacuteteacute susceptible de signaler par la voie diplomatique au goushyvernement iranien qursquoune telle actionmdashsans reacuteveacuteler la cible viseacuteemdashse produirait si lrsquoIran ne mettait pas fin agrave son processus drsquoenrichissement Lorsque les centrifugeuses ont eacuteteacute deacutetruites et remplaceacutees le monde aurait compris que les Eacutetats-Unis eacutetaient derriegravere lrsquoeacuteveacuteshynement Un autre exemple de signalement potentiel dans le cyberespace serait lrsquoutilisation drsquoattaques de deacuteni de service distribueacute (DDoS) Sur la base du mecircme sceacutenario les banques ameacutericaines ont eacuteteacute la cible drsquoattaques DDoS peu apregraves la deacutecouverte de STUXNET De nombreux leacutegislateurs ameacutericains ont immeacutediatement soupccedilonneacute le gouvernement irashynien drsquoavoir meneacute ou orchestreacute les attaques par proxys17 Si lrsquoIran avait eacuteteacute responsable le fait drsquoavoir signaleacute au preacutealable par la voie diplomatique ou par des voies tierces sans reacuteveacuteler de cibles preacutecises aurait clairement indiqueacute au gouvernement ameacutericain que lrsquoIran non seulement reacutepondait agrave lrsquoattaque STUXNET mais que le pays disposait eacutegalement de la capaciteacute cyberneacutetique

CYBER-DISSUASION 41

Lrsquoattribution

Il est extrecircmement difficile de deacuteterminer lrsquoattribution dans le cyberespace ougrave les opeacuterateurs aviseacutes disposent drsquoune multitude de techniques de brouillage pour empecirccher les deacutefenseurs drsquoidentifier correctement leur veacuteritable point drsquoorigine Qursquoil srsquoagisse de compromettre une seacuterie drsquoordinateurs dans diffeacuterents pays avant exeacutecution ou drsquoutiliser des anonymiseurs et des proxys le cyberespace est un environnement propice aux attaques malveillantes Lrsquoattribution est un eacuteleacutement neacutecessaire de toute strateacutegie de dissuasion car il incombe agrave lrsquoeacutetat qui se deacutefend drsquoidentifier lrsquoattribution drsquoun agresseur avant le deacutebut de toute mesure de repreacutesailles Il nrsquoest toutefois pas neacutecessaire de proceacuteder agrave une attribution complegravete pour exercer un effet dissuasif par deacuteni lorsque drsquoautres formes drsquoactions non destructives peuvent ecirctre dirigeacutees contre un agresseur Jason Healey du Conseil atlanshytique propose un moyen efficace pour deacuteterminer le laquo spectre de la responsabiliteacute de lrsquoeacutetat raquo un outil conccedilu pour aider les analystes ayant des connaissances imparfaites agrave attrishybuer la responsabiliteacute drsquoune attaque particuliegravere ou drsquoune campagne drsquoattaques avec plus de preacutecision et de transparence18 Le spectre attribue dix cateacutegories chacune drsquoentre elles eacutetant caracteacuteriseacutee par un degreacute de responsabiliteacute diffeacuterent selon qursquoune nation ignoresoutienne ou megravene une attaque19 Le niveau de culpabiliteacute attribueacute agrave lrsquoeacutetat-nation servirait de guide pour le type et le niveau de reacuteponse approprieacute allant de lrsquoignorance de lrsquoattaque initiale agrave la riposte de lrsquoagresseur identifieacute

Les pratiques drsquoattribution reacuteussies dans le cyberespace devraient ideacutealement comshybiner lrsquoanalyse technique cognitive et comportementale pour mieux identifier les agresshyseurs ainsi que les influences qui peuvent les aider agrave guider leurs opeacuterations Lrsquoanalyse technique nrsquoest pas suffisante aux fins drsquoattribution eacutetant donneacute que de nombreux acteurs hostiles mettent en œuvre les mecircmes tactiques techniques proceacutedures et outils ou se livrent agrave des opeacuterations de laquo faux signalement raquo dans le cadre drsquoactiviteacutes malveillantes20 Aucune norme ne permet actuellement drsquoeacutetablir un degreacute de confiance dans la deacutetermishynation de lrsquoattribution cyberneacutetique21 Lorsqursquoil srsquoagit de deacuteployer eacuteventuellement une cyber-dissuasion par punition le deacutefenseur doit ecirctre en mesure drsquoidentifier lrsquoauteur de la cyber-dissuasion afin de prendre les mesures qui srsquoimposent Plusieurs problegravemes emshypecircchent les processus drsquoattribution rapides et preacutecis notamment la mauvaise attributionle temps neacutecessaire agrave la collecte et agrave lrsquoanalyse de la meacutethode drsquoattaque employeacutee et lrsquoidenshytification du mobile du comportement et des influences exteacuterieures de lrsquoacteur Neacuteanshymoins afin drsquoeacuteviter de perdre la face en public et de reacuteduire le volume et la probabiliteacute des dommages collateacuteraux un niveau acceptable drsquoattribution doit ecirctre eacutetabli avant le deacutebut de toute mesure de repreacutesailles

La proportionnaliteacute

Sur la base des Conventions de Genegraveve de 1949 sur le droit des conflits armeacutes et des principes de proportionnaliteacute ainsi que de ceux exprimeacutes par lrsquoOTAN dans le Manuel de Tallinn procircnant lrsquoassimilation de la cyberguerre agrave la guerre conventionnelle une cybershyaction de repreacutesailles doit ecirctre proportionnelle en particulier si elle est dirigeacutee contre un

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

40 ASPJ AFRIQUE amp FRANCOPHONIE

non-membres nrsquoa donc pas ratifieacute la charte pas plus que la Chine ce qui indique la reacutetishycence de ce pays agrave accepter la terminologie accepteacutee par les eacutetats occidentaux15

Le jeu de signal

La logique du jeu de signal de lrsquoeacutequilibre bayeacutesien parfait a eacuteteacute appliqueacutee agrave de nomshybreux domaines de la politique internationale au cours de la derniegravere deacutecennie y compris lors des deacutecisions drsquoentrer en guerre des neacutegociations de crise des neacutegociations eacuteconoshymiques internationales de lrsquointeacutegration reacutegionale et des politiques eacutetrangegraveres des eacutetats deacutemocratiques16 Que ce soit en temps de paix ou en temps de guerre lrsquoun des eacuteleacutements cleacutes de toute strateacutegie de cyber-dissuasion est la capaciteacute de signaler correctement ses intentions au destinataire Sans cette capaciteacute de laquo signalement raquo la dissuasion cyberneacuteshytique par punition devient inefficace et risque drsquoecirctre mal comprise ou mal interpreacuteteacutee ce qui augmente le risque drsquoescalade et de conflit Ainsi avant lrsquoexeacutecution de la dissuasion par punition lrsquoeacutetat qui se deacutefend doit clairement signaler son meacutecontentement agrave lrsquoagresseur (que ce soit un eacutetat-nation ou un acteur non eacutetatique) de maniegravere agrave ce que ce dernier lrsquointerpregravete correctement le comprenne et en conclue que les coucircts potentiels drsquoune telle action lrsquoemportent largement sur ses avantages potentiels Il convient cependant de noter que lrsquoeacutetat-nation signalant doit disposer pour que le signalement soit efficace des capacishyteacutes et de la creacutedibiliteacute neacutecessaires lui permettant drsquoexercer des repreacutesailles cyberneacutetiques destructrices Si lrsquoadversaire ne croit pas en la creacutedibiliteacute drsquoun eacutetat signalant ou srsquoil ne srsquoen soucie pas outre mesure le signalement nrsquoa plus de valeur Dans ce cas lrsquoagresseur ne sera pas dissuadeacute par la menace de punition

Agrave lrsquoinstar de la communication le signalement dans le cyberespace peut ecirctre facileshyment mal interpreacuteteacute ignoreacute ou mecircme ignoreacute par lrsquoagresseur Il peut se faire ouvertementsecregravetement ou par voie diplomatique eacuteconomique ou militaire Prenons lrsquoexemple de STUXNET Si le gouvernement des Eacutetats-Unis avait eacuteteacute responsable du deacuteploiement de STUXNET dans les systegravemes informatiques des centrifugeuses iraniennes le gouverneshyment des Eacutetats-Unis aurait eacuteteacute susceptible de signaler par la voie diplomatique au goushyvernement iranien qursquoune telle actionmdashsans reacuteveacuteler la cible viseacuteemdashse produirait si lrsquoIran ne mettait pas fin agrave son processus drsquoenrichissement Lorsque les centrifugeuses ont eacuteteacute deacutetruites et remplaceacutees le monde aurait compris que les Eacutetats-Unis eacutetaient derriegravere lrsquoeacuteveacuteshynement Un autre exemple de signalement potentiel dans le cyberespace serait lrsquoutilisation drsquoattaques de deacuteni de service distribueacute (DDoS) Sur la base du mecircme sceacutenario les banques ameacutericaines ont eacuteteacute la cible drsquoattaques DDoS peu apregraves la deacutecouverte de STUXNET De nombreux leacutegislateurs ameacutericains ont immeacutediatement soupccedilonneacute le gouvernement irashynien drsquoavoir meneacute ou orchestreacute les attaques par proxys17 Si lrsquoIran avait eacuteteacute responsable le fait drsquoavoir signaleacute au preacutealable par la voie diplomatique ou par des voies tierces sans reacuteveacuteler de cibles preacutecises aurait clairement indiqueacute au gouvernement ameacutericain que lrsquoIran non seulement reacutepondait agrave lrsquoattaque STUXNET mais que le pays disposait eacutegalement de la capaciteacute cyberneacutetique

CYBER-DISSUASION 41

Lrsquoattribution

Il est extrecircmement difficile de deacuteterminer lrsquoattribution dans le cyberespace ougrave les opeacuterateurs aviseacutes disposent drsquoune multitude de techniques de brouillage pour empecirccher les deacutefenseurs drsquoidentifier correctement leur veacuteritable point drsquoorigine Qursquoil srsquoagisse de compromettre une seacuterie drsquoordinateurs dans diffeacuterents pays avant exeacutecution ou drsquoutiliser des anonymiseurs et des proxys le cyberespace est un environnement propice aux attaques malveillantes Lrsquoattribution est un eacuteleacutement neacutecessaire de toute strateacutegie de dissuasion car il incombe agrave lrsquoeacutetat qui se deacutefend drsquoidentifier lrsquoattribution drsquoun agresseur avant le deacutebut de toute mesure de repreacutesailles Il nrsquoest toutefois pas neacutecessaire de proceacuteder agrave une attribution complegravete pour exercer un effet dissuasif par deacuteni lorsque drsquoautres formes drsquoactions non destructives peuvent ecirctre dirigeacutees contre un agresseur Jason Healey du Conseil atlanshytique propose un moyen efficace pour deacuteterminer le laquo spectre de la responsabiliteacute de lrsquoeacutetat raquo un outil conccedilu pour aider les analystes ayant des connaissances imparfaites agrave attrishybuer la responsabiliteacute drsquoune attaque particuliegravere ou drsquoune campagne drsquoattaques avec plus de preacutecision et de transparence18 Le spectre attribue dix cateacutegories chacune drsquoentre elles eacutetant caracteacuteriseacutee par un degreacute de responsabiliteacute diffeacuterent selon qursquoune nation ignoresoutienne ou megravene une attaque19 Le niveau de culpabiliteacute attribueacute agrave lrsquoeacutetat-nation servirait de guide pour le type et le niveau de reacuteponse approprieacute allant de lrsquoignorance de lrsquoattaque initiale agrave la riposte de lrsquoagresseur identifieacute

Les pratiques drsquoattribution reacuteussies dans le cyberespace devraient ideacutealement comshybiner lrsquoanalyse technique cognitive et comportementale pour mieux identifier les agresshyseurs ainsi que les influences qui peuvent les aider agrave guider leurs opeacuterations Lrsquoanalyse technique nrsquoest pas suffisante aux fins drsquoattribution eacutetant donneacute que de nombreux acteurs hostiles mettent en œuvre les mecircmes tactiques techniques proceacutedures et outils ou se livrent agrave des opeacuterations de laquo faux signalement raquo dans le cadre drsquoactiviteacutes malveillantes20 Aucune norme ne permet actuellement drsquoeacutetablir un degreacute de confiance dans la deacutetermishynation de lrsquoattribution cyberneacutetique21 Lorsqursquoil srsquoagit de deacuteployer eacuteventuellement une cyber-dissuasion par punition le deacutefenseur doit ecirctre en mesure drsquoidentifier lrsquoauteur de la cyber-dissuasion afin de prendre les mesures qui srsquoimposent Plusieurs problegravemes emshypecircchent les processus drsquoattribution rapides et preacutecis notamment la mauvaise attributionle temps neacutecessaire agrave la collecte et agrave lrsquoanalyse de la meacutethode drsquoattaque employeacutee et lrsquoidenshytification du mobile du comportement et des influences exteacuterieures de lrsquoacteur Neacuteanshymoins afin drsquoeacuteviter de perdre la face en public et de reacuteduire le volume et la probabiliteacute des dommages collateacuteraux un niveau acceptable drsquoattribution doit ecirctre eacutetabli avant le deacutebut de toute mesure de repreacutesailles

La proportionnaliteacute

Sur la base des Conventions de Genegraveve de 1949 sur le droit des conflits armeacutes et des principes de proportionnaliteacute ainsi que de ceux exprimeacutes par lrsquoOTAN dans le Manuel de Tallinn procircnant lrsquoassimilation de la cyberguerre agrave la guerre conventionnelle une cybershyaction de repreacutesailles doit ecirctre proportionnelle en particulier si elle est dirigeacutee contre un

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 41

Lrsquoattribution

Il est extrecircmement difficile de deacuteterminer lrsquoattribution dans le cyberespace ougrave les opeacuterateurs aviseacutes disposent drsquoune multitude de techniques de brouillage pour empecirccher les deacutefenseurs drsquoidentifier correctement leur veacuteritable point drsquoorigine Qursquoil srsquoagisse de compromettre une seacuterie drsquoordinateurs dans diffeacuterents pays avant exeacutecution ou drsquoutiliser des anonymiseurs et des proxys le cyberespace est un environnement propice aux attaques malveillantes Lrsquoattribution est un eacuteleacutement neacutecessaire de toute strateacutegie de dissuasion car il incombe agrave lrsquoeacutetat qui se deacutefend drsquoidentifier lrsquoattribution drsquoun agresseur avant le deacutebut de toute mesure de repreacutesailles Il nrsquoest toutefois pas neacutecessaire de proceacuteder agrave une attribution complegravete pour exercer un effet dissuasif par deacuteni lorsque drsquoautres formes drsquoactions non destructives peuvent ecirctre dirigeacutees contre un agresseur Jason Healey du Conseil atlanshytique propose un moyen efficace pour deacuteterminer le laquo spectre de la responsabiliteacute de lrsquoeacutetat raquo un outil conccedilu pour aider les analystes ayant des connaissances imparfaites agrave attrishybuer la responsabiliteacute drsquoune attaque particuliegravere ou drsquoune campagne drsquoattaques avec plus de preacutecision et de transparence18 Le spectre attribue dix cateacutegories chacune drsquoentre elles eacutetant caracteacuteriseacutee par un degreacute de responsabiliteacute diffeacuterent selon qursquoune nation ignoresoutienne ou megravene une attaque19 Le niveau de culpabiliteacute attribueacute agrave lrsquoeacutetat-nation servirait de guide pour le type et le niveau de reacuteponse approprieacute allant de lrsquoignorance de lrsquoattaque initiale agrave la riposte de lrsquoagresseur identifieacute

Les pratiques drsquoattribution reacuteussies dans le cyberespace devraient ideacutealement comshybiner lrsquoanalyse technique cognitive et comportementale pour mieux identifier les agresshyseurs ainsi que les influences qui peuvent les aider agrave guider leurs opeacuterations Lrsquoanalyse technique nrsquoest pas suffisante aux fins drsquoattribution eacutetant donneacute que de nombreux acteurs hostiles mettent en œuvre les mecircmes tactiques techniques proceacutedures et outils ou se livrent agrave des opeacuterations de laquo faux signalement raquo dans le cadre drsquoactiviteacutes malveillantes20 Aucune norme ne permet actuellement drsquoeacutetablir un degreacute de confiance dans la deacutetermishynation de lrsquoattribution cyberneacutetique21 Lorsqursquoil srsquoagit de deacuteployer eacuteventuellement une cyber-dissuasion par punition le deacutefenseur doit ecirctre en mesure drsquoidentifier lrsquoauteur de la cyber-dissuasion afin de prendre les mesures qui srsquoimposent Plusieurs problegravemes emshypecircchent les processus drsquoattribution rapides et preacutecis notamment la mauvaise attributionle temps neacutecessaire agrave la collecte et agrave lrsquoanalyse de la meacutethode drsquoattaque employeacutee et lrsquoidenshytification du mobile du comportement et des influences exteacuterieures de lrsquoacteur Neacuteanshymoins afin drsquoeacuteviter de perdre la face en public et de reacuteduire le volume et la probabiliteacute des dommages collateacuteraux un niveau acceptable drsquoattribution doit ecirctre eacutetabli avant le deacutebut de toute mesure de repreacutesailles

La proportionnaliteacute

Sur la base des Conventions de Genegraveve de 1949 sur le droit des conflits armeacutes et des principes de proportionnaliteacute ainsi que de ceux exprimeacutes par lrsquoOTAN dans le Manuel de Tallinn procircnant lrsquoassimilation de la cyberguerre agrave la guerre conventionnelle une cybershyaction de repreacutesailles doit ecirctre proportionnelle en particulier si elle est dirigeacutee contre un

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

42 ASPJ AFRIQUE amp FRANCOPHONIE

eacutetat suspect ou un acteur parraineacute par lrsquoeacutetat En drsquoautres termes laquo la cyber-action de repreacuteshysailles doit ecirctre de valeur comparable agrave lrsquoattaque initiale et ne pas srsquoassimiler agrave une escashylade22 raquo La creacutedibiliteacute drsquoun eacutetat-nation est donc lieacutee agrave la proportionnaliteacute en ce sens que lrsquoeacutetat-nation doit non seulement riposter contre lrsquoagresseur mais qursquoil doit le faire drsquoune maniegravere telle qursquoil fasse valoir son point de vue il doit riposter de faccedilon eacutenergique mais pas au point de solliciter une reacuteaction neacutegative au sein la communauteacute mondiale La creacutedibiliteacute drsquoun eacutetat-nation sur la scegravene mondiale reacuteside dans sa capaciteacute agrave tenir parole et agrave faire preuve de suffisamment de tact pour ne pas ecirctre perccedilu comme un eacutetat autoritaireIl doit eacutegalement tenir compte des conseacutequences involontaires reacutesultant de repreacutesailles cyberneacutetiques Prenons agrave nouveau lrsquoexemple du ver STUXNET utiliseacute contre les centrishyfugeuses nucleacuteaires iraniennes Le malware a eacuteteacute eacutecrit pour cibler des exigences de confishyguration speacutecifiques dans ce cas le logiciel Siemens des centrifugeuses

Cependant bien qursquoil ait eacuteteacute subrepticement inseacutereacute et deacuteployeacute sur un reacuteseau non connecteacute agrave Internet le virus srsquoest eacutechappeacute infectant des ordinateurs en Azerbaiumldjan en Indoneacutesie en Inde au Pakistan et aux Eacutetats-Unis23 Ce type de situation peut non seuleshyment porter atteinte agrave lrsquoimage publique drsquoun eacutetat-nation mais aussi risquer drsquoentraicircner dans le conflit des eacutetats-nations tiers ou des acteurs politiques ou ideacuteologiques (parmi les exemples citons les attaques de pirates informatiques contre des sites Web du gouverneshyment ameacutericain apregraves le bombardement accidentel de lrsquoambassade de Chine en Yougosshylavie en 1999 et le deacuteclenchement du conflit de 2001 entre la Chine et les Eacutetats-Unis apregraves la collision drsquoun avion espion ameacutericain et drsquoun jet chinois24)

La proportionnaliteacute dans le cyberespace est difficile agrave atteindre pour diverses raishysons Pour atteacutenuer le risque drsquoescalade la proportionnaliteacute devrait impliquer un niveau de repreacutesailles proportionnel agrave celui que la victime a subi De faccedilon peut-ecirctre encore plus importante lorsqursquoun eacutetat-nation agit indeacutependamment du mandat drsquoune organisation internationale respecteacutee comme les Nations Unies il court le risque drsquoun revers diplomashytique voire eacuteconomique Il convient par conseacutequent de prendre en compte dans le proshycessus deacutecisionnel du type de reacuteaction cineacutetique ou non cineacutetique de la rapiditeacute des reshypreacutesailles des conseacutequences envisageacutees de lrsquoeacutevaluation des dommages ainsi que les retombeacutees politiques potentielles avant lrsquoexeacutecution des repreacutesailles

Les autres strateacutegies de dissuasion Drsquoautres strateacutegies de dissuasion ont connu des succegraves mitigeacutes et peuvent servir de

repegraveres potentiels agrave la cyber-dissuasion Dans ces cas bien qursquoil existe des points deconvergence dont la diversiteacute du contingent drsquoacteurs potentiels le caractegravere asymeacutetrique des capaciteacutes (militaires) des deacutefenseurs et des agresseurs chacune de ces strateacutegies se caracteacuterise par ses propres deacutefis et aucune drsquoelles nrsquoest assimilable au cyberespace Un bref examen des modegraveles de dissuasion nucleacuteaire du terrorisme et des eacutetats voyous servira de paradigme comparatif Nous eacutevaluerons ainsi leur applicabiliteacute au domaine cyberneacutetique

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 43

La dissuasion nucleacuteaire

Il nrsquoest pas de meilleur exemple de strateacutegie dissuasive reacuteussie que celle des Eacutetats-Unis et de lrsquoUnion sovieacutetique pendant la guerre froide La dissuasion nucleacuteaire visait par deacutefinition des eacutetats deacutejagrave doteacutes drsquoarmes nucleacuteaires dont elle entendait dissuader lrsquoutilisashytion25 Au deacutebut des anneacutees 1970 la theacuteorie de la laquo destruction mutuelle assureacutee raquo preacutevashylait ni les Eacutetats-Unis ni lrsquoUnion sovieacutetique nrsquoeacutetaient suffisamment motiveacutes insenseacutesignorants ou incoheacuterents pour accepter le risque drsquoune guerre nucleacuteaire26 La dissuasion nucleacuteaire a eacuteteacute dans ce cas un franc succegraves car aucun eacutetat-nation nrsquoa depuis lors deacuteployeacute une arme nucleacuteaire contre une cible car les coucircts en vies humaines en dommages mateacuteshyriels en prestige international et en ressources naturelles lrsquoemportent largement sur les avantages potentiels de lrsquoutilisation des armes nucleacuteaires

Les principes de la dissuasion nucleacuteaire peuvent-ils donc srsquoappliquer au cyberesshypace Largement consideacutereacute comme une puissancemenace asymeacutetrique analogue agrave son homologue nucleacuteaire le domaine du cyberespace est facilement transposable en un parashydigme similaire dans certains domaines On trouvera ci-apregraves les principales similitudes entre les strateacutegies de cyber-dissuasion et de dissuasion nucleacuteaire

Les principales similitudes entre les cyber-conflits et les conflits nucleacuteaires 1 Les deux opegraverent aux trois niveaux drsquoopeacuterations militaires strateacutegique opeacuterationnel et tactique avec la possibiliteacute de produire des effets sur tout le spectre allant de la petite eacutechelle agrave lrsquoensemble de la population2 Tous deux ont la capaciteacute de creacuteer des effets destructeurs agrave grande eacutechelle voireplaneacutetaires3 Les deux peuvent ecirctre meneacutes entre eacutetats-nations entre un eacutetat-nation et des acteursnon eacutetatiques ou entre des groupes hybrides impliquant des eacutetats-nation et des mandashytaires non eacutetatiques4 Le conflit nucleacuteaire et le cyber-conflit laquo pourraient signifier pour lrsquoadversaire une deacuteshyfaite totale qui rendrait les guerres conventionnelles inutiles raquo5 Les deux peuvent provoquer intentionnellement ou involontairement des effets de cascade susceptibles de deacutepasser la cible drsquoattaque initiale27

Mais en deacutepit de certains recoupements trop drsquoincoheacuterences empecircchent une adopshytion mecircme partielle du modegravele de dissuasion nucleacuteaire Celles-ci vont du volume drsquoacteurs opeacuterant dans le cyberespace agrave la comparaison de la puissance des armes en passant par la nature agrave double usage des outils eux-mecircmes

Principales diffeacuterences 1 Les eacutetats-nations nrsquoassument geacuteneacuteralement pas la responsabiliteacute des actes hostilescommis dans le cyberespace2 Aucune cyberattaque nrsquoa jusqursquoagrave preacutesent eacuteteacute en mesure de deacutemontrer son potentiel de faccedilon suffisamment impressionnante Mecircme si des attaques telles celle du malware

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

44 ASPJ AFRIQUE amp FRANCOPHONIE

STUXNET et de logiciels malveillants de type essuie-glace qui ont deacutetruit 30 000 disques durs de la compagnie peacutetroliegravere saoudienne Saudi Aramco nrsquoont conduit agrave des perturbations importantes elles nrsquoont pas suffi agrave perturber de faccedilon critique les opeacuterashytions de lrsquoinstallation nucleacuteaire ou de la compagnie peacutetroliegravere3 Lrsquoattribution dans le cyberespace est extrecircmement difficile et ne peut ecirctre aussi preacuteshycise que lrsquoidentification drsquoun eacutetat-nation qui a lanceacute une arme nucleacuteaire4 Contrairement agrave la mise au point drsquoarmes nucleacuteaires qui permet une surveillance il nrsquoy a pas de transparence similaire applicable agrave la production drsquoarmes cyberneacutetiques par les eacutetats et il nrsquoexiste pas non plus drsquoorganisme international de surveillance28

Si on ajoute lrsquoimplication de groupes mandataires et de tierces parties la nature grandissante et transfrontaliegravere de lrsquoenvironnement opeacuterationnel et lrsquoincertitude qui plane sur la reacuteelle possibiliteacute de dissuader les acteurs il devient alors eacutevident que la mecircme transparence fondamentale qui a fait de la dissuasion nucleacuteaire un succegraves nrsquoa pas la mecircme applicabiliteacute dans le cyberespace

La dissuasion antiterroriste

Plusieurs auteurs sont drsquoavis que la dissuasion antiterroriste peut dans une certaine mesure aboutir agrave des reacutesultats surtout si une organisation terroriste preacutesente les attributs drsquoun eacutetat-nation en ce sens ougrave la destruction potentielle des actifs de celle-ci peut inciter le leadership terroriste agrave restreindre ses politiques pour les preacuteserver29 Un auteur fait ainsi valoir que lrsquoassassinat de dirigeants de haut niveau et de commandants opeacuterationnels a eu un effet dissuasif temporaire ne serait-ce que pour creacuteer une peacuteriode drsquoaccalmie au cours de laquelle ces groupes ont ducirc se reacuteorganiser30 Un autre auteur avance que pour assurer la reacuteussite drsquoune politique de dissuasion antiterroriste la partie menaceacutee doit comprendrela menace (implicite ou explicite) et ecirctre ameneacutee agrave calculer les coucircts et les avantages deses attaques lors de sa prise de deacutecision31 Un autre encore affirme que mecircme si les tershyroristes ne sont geacuteneacuteralement pas laquo dissuadables raquo certaines attaques speacutecifiques peuventlrsquoecirctre aujourdrsquohui32

On deacutenombre toutefois beaucoup plus drsquoobstacles que drsquoavantages agrave deacutecourager le terrorisme dont un grand nombre sont communs au domaine du cyberespace en partishyculier lorsqursquoil srsquoagit drsquoessayer de deacutecourager un adversaire perseacuteveacuterant qui ne reacuteside pas neacutecessairement au mecircme endroit Comment deacutecourager les activiteacutes drsquoune personne ou drsquoun groupe sans savoir qui ils sont et ougrave ils reacutesident

La motivation est un autre facteur qui complique les efforts de dissuasion Mecircme si les dirigeants terroristes peuvent accorder de lrsquoimportance agrave leur propre vie les groupes sont pleins drsquoindividus precircts agrave mourir pour une cause John Gearson speacutecialiste de la seacuteshycuriteacute nationale au Royaume-Uni suggegravere que les concepts traditionnels de dissuasion ne fonctionneront pas contre un ennemi terroriste dont les tactiques avoueacutees sont la destrucshytion gratuite et lrsquoassassinat drsquoinnocents dans la mesure ougrave les soldats autoproclameacutes des groupes terroristes dont la plus grande protection est lrsquoabsence drsquoappartenance agrave un payscherchent le martyre et la mort33 Un examen plus attentif reacutevegravele que la premiegravere moitieacute

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 45

de la reacuteflexion de Gearson srsquoapplique aussi aux cyber-acteurs hostiles Les acteurs motiveacutes par une cause qursquoelle soit politique ideacuteologique ou financiegravere ont du mal agrave ecirctre dissuadeacutesagrave moins qursquoune action ne puisse leur causer des torts physiques eacutemotionnels ou financiers dont lrsquoampleur serait suffisante que pour freiner leur engagement

Un autre eacuteleacutement perturbateur du succegraves drsquoune strateacutegie de dissuasion consiste agrave vouloir constamment influencer le comportement terroriste Pour reacuteussir une menace dissuasive doit ecirctre conditionneacutee au comportement de lrsquoadversaire Or si des individus et des groupes politiques croient qursquoils seront pris pour cible dans le cadre de la guerre antishyterroriste des Eacutetats-Unis ils seront moins enclins agrave faire preuve de retenue quelles que soient leurs actions34 Agrave ce jour on ne compte aucun incident ou preuve aveacutereacutee de succegraves drsquoune quelconque tentative de cyber-dissuasion par deacuteni ou punition

Les eacutetats voyous

Les Eacutetats-Unis adoptent eacutegalement des strateacutegies de dissuasion contre les eacutetats voyous qui menacent leur seacutecuriteacute nationale Des reacuteflexions peuvent ecirctre faites des deux cocircteacutes de lrsquoeacutequation si lrsquoon souhaite eacutevaluer le succegraves des politiques meneacutees par les Eacutetats-Unis dans leur volonteacute de dissuader des Eacutetats comme la Syrie et la Coreacutee du Nord Drsquoune part il nrsquoy a pas eu de conflit militaire entre les Eacutetats-Unis et ces ennemis ce qui laisse entendre que les efforts de dissuasion ont eacuteteacute couronneacutes de succegraves Drsquoautre part ces eacutetats poursuivent des programmes consideacutereacutes par le gouvernement ameacutericain comme hostilesindeacutependamment des efforts diplomatiques et eacuteconomiques deacuteployeacutes par les Eacutetats-Unis pour freiner leurs progregraves Au cours de son deuxiegraveme mandat lrsquoadministration Bush a annonceacute une nouvelle strateacutegie de laquo dissuasion sur mesure raquo afin drsquoexercer un effet de levier contre ces Eacutetats voyous35 Ce raisonnement eacutetait fondeacute sur le fait que diffeacuterentes strateacuteshygies pouvaient ecirctre eacutelaboreacutees pour diffeacuterents eacutetats et diffeacuterentes situations Les Eacutetats-Unis devaient ainsi avoir connaissance de ce agrave quoi les reacutegimes eacutetaient le plus attacheacutes afin drsquoeacutelaborer une strateacutegie dissuasive qui ciblerait les profils psychologiques de leurs dirishygeants36 Mais plusieurs exemples reacutecents certes anecdotiques illustrent pourquoi la dissuasion des eacutetats voyous est difficile agrave mettre en œuvre

bull La Coreacutee du Nord En 2013 la Coreacutee du Nord a effectueacute son troisiegraveme essai nucleacuteaire En reacuteponse les Eacutetats-Unis ont envoyeacute en vols drsquoentraicircnement des bomshybardiers B-52 suivis de bombardiers furtifs B-2 au-dessus de la Coreacutee du Sud Le pays a reacuteagi par une rheacutetorique hostile et semblait precirct agrave lancer un vol drsquoessai drsquoun nouveau missile Preacuteoccupeacutes par lrsquoescalade de la situation les Eacutetats-Unis ont baisseacute le ton et reacuteduit leurs manœuvres militaires37 Dans ce cas les actions militaires dissuasives nrsquoont pas reacuteduit les tensions entre les Eacutetats-Unis et la Coreacutee du Nordet ont mecircme risqueacute de provoquer une escalade vers un conflit militaire

bull La Syrie En aoucirct 2012 en reacuteponse agrave la tentative des rebelles syriens de renverser le reacutegime syrien de Bachar al-Assad le preacutesident Barack Obama a deacuteclareacute que toute utilisation drsquoarmes chimiques serait consideacutereacutee comme un franchissement de

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

46 ASPJ AFRIQUE amp FRANCOPHONIE

la laquo ligne rouge raquo Le preacutesident a appuyeacute ces commentaires en deacutecembre en ajoushytant que lrsquoutilisation drsquoarmes chimiques aurait des laquo conseacutequences raquo le langage diplomatique pour deacutesigner des actions cineacutetique ou militaire potentielles38 Mais les Eacutetats-Unis nrsquoont pas reacuteagi agrave lrsquoutilisation effective drsquoarmes chimiques par lrsquoIran et le gouvernement ameacutericain a perdu une grande partie de sa creacutedibiliteacute un eacuteleacuteshyment neacutecessaire agrave toute strateacutegie de dissuasion par punition

La destitution potentielle nrsquoest pas toujours un facteur dissuasif lorsqursquoil srsquoagit detraiter avec des eacutetats-nations voyous dirigeacutes par des reacutegimes autoritaires Qui plus est la reacutevocation de certains dirigeants nrsquoa toujours pas dissuadeacute les autres dirigeants totalitaires drsquoagir Ainsi lrsquoeacuteviction de Mouammar Kadhafi lors de la guerre civile en 2011 conjugueacutee agrave sa disparition deacutefinitive avec lrsquoappui mateacuteriel et logistique des Eacutetats-Unis nrsquoa rien fait pour convaincre le al-Assad syrien de deacutemissionner

De faccedilon analogue les opeacuterateurs des eacutetats-nations les groupes mercenaires les hacktivistes ou les criminels ne seront probablement pas deacutecourageacutes par lrsquoapplication de la loi par les activiteacutes de renseignement ni mecircme par lrsquoengagement militaire Des cybershycriminels poursuivent leurs activiteacutes malgreacute plusieurs arrestations internationales drsquoenvershygure39 Les acteurs preacutesumeacutes des eacutetats-nations continuent de srsquoadonner au cyberespionshynage en deacutepit de leur convocation dans des forums publics40

Les hacktivistes de lrsquoopeacuteration Ababil continuent agrave mener des opeacuterations DDoS contre les institutions financiegraveres ameacutericaines sans conseacutequence41 Ainsi lrsquoapplication drsquoune strateacutegie de dissuasion des eacutetats voyous sur le cyberespace est potentiellement inefshyficace en raison de la complexiteacute et de la diversiteacute du contingent drsquoacteurs hostilesNombre de ces acteurs ne fonctionnent pas comme un eacutetat voyou dont le but ultime est la stabiliteacute du reacutegime et la preacuteservation du leadership en tant que tels ces acteurs ne cheacuterissent pas les mecircmes valeurs Mecircme les acteurs preacutesumeacutes des eacutetats-nations suivent les ordres de leur chaicircne de commandement et ne srsquoarrecircteraient qursquoapregraves en avoir reccedilu lrsquoordre de leur hieacuterarchie

De lrsquo(in)efficaciteacute de la cyber-dissuasion Martin Libicki avance que lrsquoobjectif de la cyber-dissuasion est de reacuteduire laquo le risque

drsquoattaque cyberneacutetique agrave un niveau acceptable agrave un coucirct acceptable raquo une strateacutegie par laquelle lrsquoeacutetat-nation qui se deacutefend atteacutenue les actions offensives potentielles par la menace de repreacutesailles42 Une telle politique peut-elle ecirctre reacuteellement efficace Srsquoil est tout agrave fait possible que la cyber-dissuasion ne soit pas exeacutecuteacutee en vase clos dans sa Strategy for Operating in Cyberspace de 2011 le DOD a justifieacute le recours agrave des mesures de cyberdeacuteshyfense active par une volonteacute de preacutevenir les intrusions et les activiteacutes adverses sur les reacuteshyseaux et systegravemes du DOD43 Cette responsabiliteacute associeacutee agrave la divulgation du meacutemoranshydum pourtant classeacute comme confidentiel laquo Presidential Policy Directive-20 raquo (en partant du principe qursquoil srsquoagit drsquoun document leacutegitime) indique que les Eacutetats-Unis peuvent se livrer agrave des attaques cyberneacutetiques pour endiguer une menace imminente ou des attaques

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 47

en cours qui ne neacutecessitent pas lrsquoapprobation preacutealable du preacutesident ce qui suggegravere que des actions cyberneacutetiques dissuasives peuvent ecirctre meneacutees de faccedilon isoleacutee44 Par conseacuteshyquent dans ce contexte il est neacutecessaire drsquoapporter certains eacuteclaircissements au sujet de la cyber-dissuasion En aucun cas le fait de preacuteconiser des actions offensives agrave des fins deacuteshyfensives nrsquoannule la neacutecessiteacute drsquoadopter une politique de cyberdeacutefense bien eacutetablie Ainsicertaines veacuteriteacutes demeurent

1 Les cyberdeacutefenses traditionnelles doivent toujours ecirctre en place On peut faire valoir qursquoune politique de laquo dissuasion par punition raquo efficace reacuteduirait consideacuterableshyment les deacutepenses associeacutees agrave la cyberseacutecuriteacute traditionnelle en faisant baisser le coucirct des dispositifs informatiques des programmes de lrsquoentretien de la maintenance et du remplacement Mais il ne faut pas srsquoy meacuteprendre Une strateacutegie de dissuasion ne peut srsquoattaquer agrave tous les acteurs hostiles du cyberespace Si la dissuasion vise agrave dissuader des acteurs seacuterieux tels que les eacutetats-nations ou les cybercriminels plus sophistiqueacutes et les groupes hacktivistes qursquoest-ce qui arrecirctera la majoriteacute des autres laquo nuisances raquo qui ciblent les reacuteseaux Selon Jim Lewis cyber-expert au Center of Strategic amp Internashytional Studies laquo les eacutetudes meneacutees reacutevegravelent que 80 agrave 90 pour cent des instruisons sur les reacuteseaux des entreprises ne requiegraverent que des techniques eacuteleacutementaires et que 96 pour cent drsquoentre elles auraient pu ecirctre eacuteviteacutees si des controcircles de seacutecuriteacute adeacutequats avaient eacuteteacute mis en place45 raquo Un mecircme son de cloche nous revient de lrsquoAustralian Sishygnals Directorate (ASD) qui a dresseacute en partenariat avec la National Security Agency des Eacutetats-Unis une liste de mesures qui auraient permis de contrecarrer la majoriteacute desattaques releveacutees en 2009 et 201046 Ainsi mecircme les pratiques de seacutecuriteacute informatiqueles plus eacuteleacutementaires resteraient neacutecessaires pour atteindre une couverture maximale

2 La dissuasion par punition repose sur la raison des acteurs La dissuasion est une option qui ne fonctionnera que si les personnes les groupes et le gouvernement qui en font lrsquoobjet ont un comportement rationnel ils peuvent ecirctre dissuadeacutes parce qursquoils ne veulent pas risquer de perdre quelque chose de plus preacutecieux Agrave lrsquoheure actuelle les adversaires opegraverent dans le cyberespace parce qursquoils nrsquoy craignent pas les repreacutesailles en raison des problegravemes drsquoattribution Ajoutons que lrsquoenvironnement connecteacute neacutebuleux et non seacutecuriseacute dans lequel ils agissent favorise leurs manœuvres Crsquoest pourquoi un eacutetat-nation est potentiellement plus sensible agrave la dissuasion qursquoune organisation terroshyriste ou hacktiviste Si lrsquoadversaire nrsquoa pas une vision rationnelle du monde et de la place qursquoil y occupe ou srsquoil nrsquoa rien agrave perdre il peut ecirctre tregraves difficile de lrsquoempecirccher drsquoadopter une ligne de conduite particuliegravere

3 Lrsquoadversaire doit posseacuteder des biens de valeur En se basant sur la deacuteclaration preacuteshyceacutedente lrsquoadversaire doit posseacuteder des biens de valeur pour qursquoune attaque preacuteventive ou de repreacutesailles soit efficace Si ce nrsquoest pas le cas la menace de cyber-dissuasion sera sans conseacutequence Un eacutetat-nation possegravede potentiellement de nombreux actifs connecshyteacutes agrave lrsquoInternet ou en reacuteseau Et srsquoil srsquoagit drsquoun eacutetat fermeacute La Coreacutee du Nord a par exemple tregraves peu drsquoactifs en ligne connecteacutes agrave lrsquoInternet pouvant ecirctre cibleacutes agrave distance

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

48 ASPJ AFRIQUE amp FRANCOPHONIE

(ce qui suggegravere que toute opeacuteration cyberneacutetique efficace contre une cible de grande valeur devrait ecirctre meneacutee par le biais drsquoopeacuterations de proximiteacute comme lors de lrsquoincishydent STUXNET) Et si lrsquoadversaire est un groupe terroriste ou hacktiviste agrave structure cellulaire disperseacute agrave lrsquoeacutechelle mondiale quel point de valeur peut-il ecirctre exploiteacute pour influer sur les actions de lrsquoensemble du groupe

En gardant ces veacuteriteacutes agrave lrsquoesprit et en examinant les strateacutegies actuelles de dissuasion contre drsquoautres cibles il est eacutevident que la cyber-dissuasion par punition repose sur trois axiomes fondamentaux

bull Lrsquoattribution La preacutecision est frappeacutee du sceau du bon sens mais il est essentiel qursquoun gouvernement sache qui lrsquoa attaqueacute avant de lancer une contre-attaque Mais comment gagner raisonnablement confiance dans un domaine qui se nourrit de lrsquoambiguiumlteacute Tant de facteurs sont agrave consideacuterer avant de lancer une frappe de reshypreacutesailles en ce compris sans toutefois srsquoy limiter lrsquoidentiteacute de lrsquoagresseur (si elle est lieacutee agrave un eacutetat-nation lrsquoagresseur a-t-il reccedilu des ordres de sa hieacuterarchie ou agit-il seul Srsquoil srsquoagit drsquoune tierce partie travaille-t-elle au nom drsquoun gouvernement drsquoeacutetat-nation ou agit-elle pour le soutenir Srsquoagit-il drsquoune opeacuteration sous fausse banniegravere pourquoi ou pourquoi pas ) les motivations de lrsquoattaque (Qursquoest-ce quia motiveacute lrsquoattaque Srsquoagissait-il de repreacutesailles Pour quel motif ) et lrsquointention de lrsquoattaque (Lrsquointention de lrsquoattaque eacutetait-elle de deacutetruire deacutegrader ou perturber Ou est-ce autre chose Lrsquoattaque avait-elle un but autre que ne le laissent croire les apparences ) Autres eacuteleacutements agrave prendre en consideacuteration si lrsquoattaque drsquoorishygine est consideacutereacutee comme motiveacutee par une cause plusieurs eacutetats hackers ou hackshytivistes ont donc des raisons de mener une attaque Mecircme si ces tiers agissent au nom de lrsquoeacutetat qui de lrsquoeacutetat ou des acteurs doit-on tenir pour responsables Qui est exactement la cible lrsquoeacutetat-nation qui tire les ficelles ou les auteurs de lrsquoattaque

Lrsquoattribution est-elle suffisante Si lrsquoon considegravere le nombre de gouverneshyments qui ont deacutesigneacute la Chine comme leur principale menace de piratage inforshymatique rien nrsquoest fait pour arrecircter ou deacutecourager lrsquoespionnage informatique chinois Le preacutesident Obama a eu plusieurs entretiens avec son homologue chinoisXi Jinping qui nrsquoont abouti agrave aucun reacutesultat concret47 Bien qursquoil nrsquoy ait eu agrave ce jouraucune tentative ameacutericaine connue pour mener une attaque de repreacutesailles agrave lrsquoenshycontre des Chinois cela prouve que lrsquoattribution nrsquoest pas la panaceacutee mecircme si lrsquoon confronte directement lrsquoauteur preacutesumeacute et que le deacutefi reste de convaincre lrsquoagresseur qursquoil a effectivement eacuteteacute pris en flagrant deacutelit48

bull La reacutepeacutetabiliteacute La reacutepeacutetabiliteacute entre les diffeacuterents acteurs de la menace est une facette importante de la dissuasion cyberneacutetique et aussi lrsquoune de ses plus grandes questions Les acteurs individuels les groupes cybercriminels les services de renshyseignement eacutetrangers les uniteacutes militaires peuvent-ils tous ecirctre dissuadeacutes par la mecircme strateacutegie On peut reacutepondre par la neacutegative Diffeacuterentes strateacutegies et applishycations devraient ecirctre appliqueacutees agrave diffeacuterentes cibles drsquoacteurs Ainsi la faccedilon dont

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 49

un gouvernement pourrait dissuader un groupe criminel ciblant sa base industrielle de deacutefense peut ecirctre diffeacuterente de celle dont il pourrait dissuader un eacutetat-nation adverse ou mecircme un eacutetat allieacute de mener des activiteacutes drsquoespionnage Pour de nomshybreux grands eacutetats nationaux disposant drsquoun bon reacuteseau les acteurs de la cybershymenace ciblant ses ressources sont multiples Il suffit de dire que les acteurs indishyviduels et les petits groupes moins compeacutetents (agrave moins de travailler au nom drsquoun eacutetat-nation ennemi) sont fort peu susceptibles drsquoecirctre la cible drsquoune cyberattaque de repreacutesailles En revanche les groupes de cybercriminaliteacute plus importants et plus sophistiqueacutes les hacktivistes et les acteurs des eacutetats-nations sont plus enclins aux repreacutesailles car ils geacutenegraverent geacuteneacuteralement plus de publiciteacute et causent le plus de deacutegacircts Pour que la dissuasion par punition fonctionne efficacement la cible doit comprendre que les repreacutesailles reacutesultent directement de lrsquoaction incrimineacutee Si une cible ne comprend pas les repreacutesailles il peut ecirctre neacutecessaire de les reacutepeacuteter en utilisant des tactiques plus fortes et plus visibles Mais cette approche risque drsquoecirctre mal interpreacuteteacutee par la cible et si la cible nrsquoa pas compris qursquoil srsquoagissait de repreacuteshysailles elle peut consideacuterer cette attaque comme un acte drsquoorigine Cette situation pourrait rapidement deacutegeacuteneacuterer en conflit cyberneacutetique

bull Le succegraves Dans le cas de la cyber-dissuasion par punition lrsquoobjectif tactique est drsquoarrecircter une cyber-attaque pendant qursquoelle a lieu de punir les agresseurs apregraves qursquoelle a eu lieu ou de les punir avant qursquoils ne lancent lrsquoattaque initiale Dans le cas drsquoune punition pendant une attaque en cours lrsquoobjectif serait de stopper cette dershyniegravere dans le cas drsquoune attaque ayant deacutejagrave eu lieu lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de se livrer pas agrave une activiteacute similaire agrave lrsquoavenir et enfin dans le cas drsquoune attaque preacuteventive lrsquoobjectif serait drsquoempecirccher lrsquoagresseur de commettre une attaque Sur le plan tactique ces objectifs sont tous valables mais sont-ils strateacutegishyquement viables Autrement dit gagnerait-on la bataille faute de pouvoir rem-porter la guerre Le fait de srsquoengager dans une cyber-attaque preacuteventive ou de repreacutesailles preacutesuppose que vous avez reacuteussi agrave identifier la cible vraisemblablement gracircce agrave lrsquoattribution de lrsquoordinateur agrave partir duquel lrsquoennemi opegravere Bien que la frappe preacuteventive ou de repreacutesailles puisse deacutetruire cet ordinateur lrsquoadversaire peut avoir dix ou cinquante ordinateurs de plus pour continuer agrave fonctionner Dans cet exemple la nation qui se deacutefend peut-elle croire qursquoelle a vraiment gagneacute la bashytaille Autre exemple si la frappe preacuteventive ou de repreacutesailles vise une cible diffeacuterente (par exemple un reacuteseau eacutelectrique une infrastructure essentielle etc)comment lrsquoeacutetat victime tient-il compte de la proportionnaliteacute surtout si lrsquoadvershysaire nrsquoa mecircme pas meneacute drsquoattaque Comment lrsquoeacutetat sait-il avec certitude que lrsquoennemi comprendra que lrsquoattaque preacuteventive est en reacutealiteacute une reacuteponse agrave une acshytion potentielle et que le message de dissuasion sera reccedilu et accepteacute Et si lrsquoadvershysaire est un eacutetat-nation comment expliquer lrsquoeacuteventuelle escalade qui pourrait deacuteshycouler de repreacutesailles perccedilues comme disproportionneacutees Libicki souligne que

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

50 ASPJ AFRIQUE amp FRANCOPHONIE

une escalade est possible si les assaillants 1) estiment les repreacutesailles cyberneacutetiques injusshytifieacutees 2) font face agrave des pressions internes les obligeant agrave reacuteagir avec force ou 3) sont convaincus de leur supeacuterioriteacute dans drsquoautres domaines en cas de deacutefaite cyberneacutetique potentielle49

Conclusion Dans le cyberespace les efforts visant agrave lutter contre les actes hostiles par le recours

agrave des frappes preacuteventives ou de repreacutesailles semblent ecirctre un pas dans la bonne directionsurtout si lrsquoon considegravere les eacutechecs subis par certains eacutetats pour atteacutenuer la menace drsquoactishyviteacutes malveillantes Cependant des milliers de cyberattaques se produisent chaque jour ce qui suggegravere qursquoil est tregraves difficile de distinguer les menaces graves des menaces mineures50 Eacutecraser une fourmi sur le sol de notre cuisine ne nous preacutemunira pas contre une possible infestation du reste de la colonie De faccedilon analogue la cyber-dissuasion nrsquoest pas la panashyceacutee pour les acteurs hostiles cherchant agrave exploiter les reacuteseaux des secteurs public et priveacuteAgrave lrsquoheure actuelle un trop grand nombre de variables sont encore inexploreacutees et nous ne disposons pas de plan suffisamment eacutelaboreacute pour pouvoir srsquoen servir efficacement

Les difficulteacutes lieacutees agrave lrsquoattribution lrsquoincapaciteacute de reacuteagir rapidement efficacement et avec preacutecision ainsi que lrsquoimpossibiliteacute de creacuteer et de maintenir un modegravele reproductible contre diffeacuterents acteurs resteront insurmontables agrave court terme pour que les pays vicshytimes puissent lancer des cyberattaques preacuteventives ou de repreacutesailles La dissuasion cyshyberneacutetique par deacuteni a de meilleures chances de succegraves mais seulement dans une mesure limiteacutee car les responsables de la protection des reacuteseaux nrsquoont cesseacute drsquoecirctre battus par des adversaires cacheacutes dans lrsquoimmensiteacute cyberespace qui se sont en outre montreacutes plus intelshyligents et plus agiles qursquoeux Au lieu de riposter contre des ennemis les organisations doivent eacutevaluer leur environnement de seacutecuriteacute pour deacuteterminer son efficaciteacute dans le climat cyberneacutetique actuel

La cyberseacutecuriteacute nrsquoest pas une solution statique agrave mesure que les assaillants acshyquiegraverent plus de connaissances et drsquoexpeacuterience leurs tactiques leurs techniques et leurs proceacutedures eacutevolueront avec le temps Les strateacutegies de deacutefense qui ont fonctionneacute il y a un an nrsquoauront probablement pas le mecircme succegraves aujourdrsquohui compte tenu du rythme auquel ce paysage change Selon lrsquoeacutequipe drsquointervention drsquourgence informatique du deacuteshypartement de la Seacutecuriteacute inteacuterieure des Eacutetats-Unis

un programme de cyberseacutecuriteacute efficace tire parti des normes et des bonnes pratiques de lrsquoindustrie pour proteacuteger les systegravemes et deacutetecter les failles potentielles Il a eacutegalement recours agrave des systegravemes de deacutetection des menaces actuelles qui permettent une intervenshytion et une reprise rapide des activiteacutes51

Les organisations doivent mettre en œuvre des plans de seacutecuriteacute adaptables qui tiennent compte des aspects dynamiques du cyberespace et qui comprennent des jalons et des indicateurs de performance pour srsquoassurer de lrsquoatteinte en temps opportun des obshyjectifs viseacutes Des normes de seacutecuriteacute plus strictes telles que des correctifs de vulneacuterabiliteacutes

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

CYBER-DISSUASION 51

et des campagnes de sensibilisation des utilisateurs doivent ecirctre adopteacutees afin de faire comprendre aux parties prenantes qursquoelles sont responsables des deacutefauts de conformiteacuteLe tregraves respecteacute SANS Institute chef de file dans la formation et la certification en seacutecushyriteacute informatique preacuteconise la mise en œuvre de vingt controcircles de seacutecuriteacute Il affirme que les organisations de cyberdeacutefense qui ont reacuteussi agrave incorporer ces controcircles ont reacuteduit leur risque de seacutecuriteacute52 En deacutefinitive la diligence raisonnable en matiegravere de cyberseacutecuriteacute reste encore et toujours le facteur deacuteterminant dans la lutte contre les activiteacutes cyberneacuteshytiques hostiles

Notes

1 La Maison Blanche International Strategy for Cyberspace Washington DC mai 2011 deacutepartment de la Deacutefense Department of Defensersquos Strategy for Operating in Cyberspace Washington DC juillet 2011 www defensegovnewsd20110714cyberpdf

2 laquo Nuclear Weapons Who Has Them At a Glance | Arms Control Association raquo avril 2013 wwwarmscontrolorgfactsheetsNuclearweaponswhohaswhat BRENNER Susan W et CLARKE Leo Llaquo Civilians in Cyberwarfare Casualties raquo SMU Science amp Technology Law Review 13 2010 p 249 TODDGraham H laquo Armed Attack in Cyberspace Deterring Asymmetric Warfare with an Asymmetric Definishytion raquo Air Force Law Review 64 rev 96 2009 LYNN William J III laquo The Pentagonrsquos Cyberstrategy One Year Later Defending Against the Next Cyberattack raquo Foreign Affairs 28 septembre 2011 wwwforeignafshyfairscomarticles68305william-j-lynn-iiithe-pentagons-cyberstrategy-one-year-later

3 KNOPF Jeffrey W laquo Use with Caution The Value and Limits of Deterrence Against AsymmetricThreats raquo World Politics Review 11 juin 2013 wwwworldpoliticsreviewcomarticles13006use-with-caushytionthe-value-and-limits-of-deterrence-against-asymmetric-threats

4 LUPOVICI Amir laquo Cyber Warfare and Deterrence Trends and Challenges in Research raquo Military and Strategic Affairs 3 no 3 deacutecembre 2011 p 54

5 KNOPF laquo Use with Caution raquo 6 LUPOVICI laquo Cyber Warfare and Deterrence raquo p 547 ELLIOTT David laquo Deterring Strategic Cyberattack raquo IEEE Security amp Privacy 9 no 5 septembre

octobre 2011 pp 36-408 CLARK WK et LEVIN PL laquo Securing the Information Highway raquo Foreign Affairs novembredeacuteshy

cembre 2009 pp 2-109 SOLOMON Jonathan laquo Cyberdeterrence between Nation States Plausible Strategy or Pipe Dream raquo

Strategic Studies Quarterly 5 no 1 2011 p 210 laquo Obama Warns Al-Asad Against Chemical Weapons Declares lsquoWorld is Watchingrsquo raquo CNN Online

3 deacutecembre 2012 wwwcnncom20121203worldmeastsyria-civil-war11 BURLIJ Terrence et BELLANTONI Christina laquo Syria Crossed Obamarsquos Redline What Happens

Next raquo PBS Online 14 juin 2013 wwwpbsorgnewshourrundown201306administration-sharpens-focusshyonsyria-with-chemical-weapons-reporthtml

12 laquo Few Satisfied But US Presses Syrian Arms Effort raquo Las Vegas Sun Online 26 juillet 2013 www lasvegassuncomnews2013jul26us-obama-aid-to-syria

13 GERTZ Bill laquo US China Strategic and Economic Dialogue Criticized raquo Washington Free Beacon 16 juillet 2013 httpfreebeaconcomu-s-china-conclude-strategic-and-economic-dialogue-talks

14 laquo China and Russia Submit Cyber Proposal | Arms Control Association raquo novembre 2011 wwwarmscontrolorgact2011_11China_and_Russia_Submit_Cyber_Proposal

15 laquo Convention sur la cybercriminaliteacute raquo Conseil de l rsquoEurope CETS no 185 25 novembre 2013 httpswwwcoeintfrwebconventionsfull-list-conventionstreaty185signatures

52 ASPJ AFRIQUE amp FRANCOPHONIE

16 WALSH James Igoe laquo Do States Play Signaling Games raquo Cooperation and Conflict Journal of the Nordic International Studies Association 42 no 4 2007 p 441

17 NAKASHIMA Ellen laquo Iran Blamed for Cyberattacks on US Banks and Companies raquo The Washingshyton Post 21 septembre 2012 httparticleswashingtonpostcom2012-09-21world35497878_1_web-sitesshyquds-force-cyberattacks

18 HEALEY Jason laquo Beyond Attribution Seeking National Responsibility for Cyber Attacks raquo Conseil atshylantique janvier 2012 wwwacusorgfilespublication_pdfs403022212_ACUS_NatlResponsibilityCyberPDF

19 Id 20 HIGGINS Kelly Jackson laquo The Intersection Between Cyberespionage and Cybercrime raquo Dark Reading

21 juin 2012 wwwdarkreadingcomattacks-breachesthe-intersection-betweencyberespionage240002514 HIGGINS Kelly Jackson laquo Attackers Engage in False Flag Attack Manipulation raquo Dark Reading 1er octobre 2012 wwwdarkreadingcomattacks-breachesattackers-engage-in-falseflag-attack-ma240008256

21 IASIELLO Emilio laquo Identifying Cyber-Attackers to Require High-Tech Sleuthing Skills raquo Natioshynal Defense deacutecembre 2012 httpwwwnationaldefensemagazineorgarchive2012DecemberPagesIdenshytifyingCyber-AttackerstoRequireHigh-TechSleuthingSkillsaspx

22 JENSEN Eric Talbon laquo Cyber Deterrence raquo Emory International Law Review 26 no 2 2012 p 799 23 laquo W32Stuxnet raquo Symantec 26 feacutevrier 2013 wwwsymanteccomsecurity_responsewriteupjspdocid

=2010-071400-3123-99 24 MESMER Ellen laquo Kosovo Cyber War Intensifies Chinese Hackers Targeting US Sites Governshy

ment Says raquoCNN Online 12 mai 1999 wwwcnncomTECHcomputing990512cyberwaridg SMITHCraig S laquo May 6-12 The First World Hacker War raquo The New York Times 13 mai 2001 wwwnytimescom 20010513weekinreviewmay-6-12-the-first-world-hacker-warhtml

25 RECORD Jeffrey laquo Nuclear Deterrence Preventative War and Counterproliferation raquo The Cato Institute 519 8 juillet 2004 wwwcatoorgsitescatoorgfilespubspdfpa519pdf

26 PAYNE Keith B et WALTON C Dale laquo Deterrence in the Post-Cold War World raquo Strategy in the Contemporary World An Introduction to Strategic Studies eacuted BAYLIS John WIRTZ James COHEN Eliot et COLINS Gray New York Oxford University Press 2002 p 169

27 MULVENON James C et RATTRAY Gregory J laquo Addressing Cyber Instability Executive Sumshymary raquo Conseil atlantique 8 juillet 2004 wwwacusorgfilesCCSA_Addressing_Cyber_Instabilitypdf

28 IASIELLO Emilio Cyber Attack A Dull Tool to Shape Foreign Policy Tallinn NATO CCD COE Publications mai 2013 p 398

29 BAR Shmuel laquo Deterring Terrorists raquo Hoover Institution 2 juin 2008 wwwhooverorgpublications policy-reviewarticle5674

30 Ibid 31 TRAGER Robert F et ZAGORCHEVA Dessislava P laquo Deterring Terrorism raquo International Secushy

rity 30 no 3 hiver 20052006 p 8732 DAVIS Paul K et JENKINS Brian Michael Deterrence amp Influence in Counterterrorism A Composhy

nent in the War on Al Qaeda Santa Monica CA RAND Corp 2002 p 5933 GEARSON John laquo Deterring Conventional Terrorism From Punishment to Denial and Resishy

lience raquo Contemporary Security Policy 33 no 1 2012 p 17134 KROENIG Matt et PAVEL Barry laquo How to Deter Terrorism raquo The Washington Quarterly 5 no 2

printemps 2012 p 2135 KNOPF laquo Use with Caution raquo36 Id 37 Id 38 Id 39 laquo FBI More Arrests in International Cyber Crime Takedown raquo Infosec Island 13 juillet 2012

wwwinfosecislandcomblogview21907-FBI-More-Arrests-in-International-Cyber-Crime-Takedownhtml OrsquoTOOLE James laquo Global Financial Cybercrime Sting Yields 24 Arrests raquo Money CNN Online 26 juin 2012 httpmoneycnncom20120626technologycybercrime-arrestsindexhtm

CYBER-DISSUASION 53

40 RAGAN Steve laquo Chinarsquos APT 1 Still Operating with the Same Modus Operandi raquo Security Week 1er mai 2013 wwwsecurityweekcomchinas-apt1-still-operating-same-modus-operandi

41 KITTEN Tracy laquo DDoS Attackers Announce Phase 4 raquo Bank Info Security 23 juillet 2013 www bankinfosecuritycomddos-attackers-announce-phase-4-a-5929op-1

42 LIBICKI Martin Cyberdeterrence and Cyberwar Santa Monica CA RAND Corp 2009 wwwrandorgcontentdamrandpubsmonographs2009RAND_MG877pdf

43 Deacutepartment de la Deacutefense Strategy for Operating in Cyberspace Washington DC deacutepartment de la Deacutefense juin 2011 wwwdefensegovnewsd20110714cyberpdf

44 laquo Obama Tells Intelligence Chiefs to Draw up Cyber Target List minus Full Document Text raquo The Guarshydian 7 juin 2013 wwwtheguardiancomworldinteractive2013jun07obama-cyber-directive-full-text

45 LEWIS James A laquo Raising the Bar on Cyber Security raquo Center for Strategic amp International Studies12 feacutevrier 2013 httpcsisorgfilespublication130212_Lewis_RaisingBarCybersecuritypdf

46 Id 47 NEUMANN Scott laquo Chinese Cyber Hacking Discussed at Obama-Xi Summit raquo NPR Online 9 juin

2013 wwwnprorgblogsthetwo-way20130609190058558chinese-cyber-hacking-discussed-at-obamashyxisummit CONSTANTINLucian laquo The Chinese Hacker Group that Hit the New York Times is Back withUpdated Tools raquo Computerworld 12 aoucirct 2013 wwwcomputerworldcomsarticle9241577The_Chinese_hacker_group_that_hit_the_NY_Times_is_back_with_updated_tools

48 LIBICKI Cyberdeterrence and Cyberwar 49 Id 50 KRAMER Franklin D laquo Policy Recommendations for a Strategic Framework raquo in Cyberpower and

National Security eacuted KRAMER Franklin D STARR Stuart H et WENTZ Larry K Dulles VA Potoshymac Books Inc et National Defense University Press 2009 p 15

51 BYERS Eric laquo Essential Cyber Security Concepts for CEOs raquo Belden 28 feacutevrier 2013 wwwbelden comblogindustrialsecurityEssential-Cyber-Security-Concepts-for-CEOscfm

52 laquo SANS Institute minus CIS Critical Security Controls raquo wwwsansorgcritical-security-controls