Le cyberespace entre peu à peu dans les préoccupations stratégiques de l’entreprise. Celle-ci est passée d’une simple sécurité des systèmes d’information (SSI) à des considérations plus larges d’intelligence économique. Rares sont les entreprises qui ont bien lié les deux fonctions. Toutefois, on constate une certaine incertitude en ce qui concerne une stratégie plus intégrée de « cybersécurité de l’entreprise ».

Posons ici quelques définitions, au moins pour le besoin de l’entreprise. La cybersécurité de l’entreprise serait composée de deux piliers : le premier consisterait en une « cyberprotection », le second en une « cyberdéfense ».

La cyberprotection inclurait tous les outils de protection des systèmes informatiques de l’entreprise (SSI élargie). Elle consisterait principalement à établir une certaine enveloppe autour de l’entreprise, considérée comme indépendante de son environnement. Elle vise à protéger les atteintes de cet environnement contre l’entreprise.

La cyberdéfense inclurait toutes les dimensions plus actives de l’action de l’entreprise lorsqu’elle agit avec l’environnement et notamment ses clients mais aussi le public, dans sa compétition économique avec les autres acteurs, dans ses liens enfin avec les différentes autorités publiques. Elle vise à agir sur l’environnement de façon à favoriser l’entreprise.

La cyberprotection est tournée vers l’intérieur, la cyberdéfense vers l’extérieur.

Aujourd’hui, la plupart des fournisseurs offrent des outils de cyberprotection. Très peu offrent des outils de cyberdéfense. En effet, la théorie de la cyberdéfense définit trois types d’agression : espionnage, sabotage et subversion. S’agissant de l’espionnage, il existe bien quelques outils de veille souvent mis en œuvre par les cabinets d’intelligence économique. Très souvent cependant, cette veille n’inclut pas une veille des cyberagressions. De plus la veille n’est pas du renseignement. Le renseignement sur ce segment cherche l’anticipation, l’information traitée où la valeur ajoutée, en particulier sur les menaces et les modes opératoires d’agression. Il n’existe pas d’outils de sabotage pour la simple raison que cette fonction est jugée illégale et que l’entreprise agit dans un cadre légal. Enfin, il n’existe que de rares offres de subversion : très souvent, elles sont assimilées à une nouvelle fonction marketing (community manager) ou à de la communication d’entreprise, très rarement à de vrais outils d’influence organisée.

Les acteurs publics sont de ce point de vue plus avancés. Ainsi, les États annoncent-ils la mise en place de « renseignement d’intérêt cyber », le développement de luttes informatiques offensives (qui demeurent toutefois secrètes), ils s’intéressent enfin à des « actions dans la couche sémantique » (je vous en reparlerai bientôt). L’entreprise n’a pas encore pris conscience de ce besoin. Les spécialistes de cyber protection n’ont pas non plus développé beaucoup d’offres en la matière.

Nous sommes ainsi en présence d’une lacune. Commencer par l’identifier (c’est le but de ce billet) contribuera à réfléchir aux moyens légaux de la combler, selon les trois types d’agression et dans les trois couches du cyberespace (physique, logique et sémantique).

S’agissant de la fonction renseignement, il convient que l’entreprise systématise sa collecte : données sur le marché, l’environnement légal, la veille technologique, l’action des concurrents, l’état des cyberagressions et des menaces. Ces différentes fonctions sont plus ou moins exercées, elles ne sont pas aujourd’hui intégrées, capitalisées et traitées par des analystes.

S’agissant de la fonction sabotage, une agression directe contre un concurrent sort du cadre légal. Toutefois, l’entreprise pourrait réfléchir aux moyens de développer des « pouvoirs de marché » pour entraver les actions des autres : que ce soit par des régimes d’exclusivité, par des bandes passantes, etc.

S’agissant de la fonction subversion, il reste encore beaucoup à faire pour aller au-delà de la simple fonction marketing et imaginer des actions plus offensives et indirectes, mais toujours légales.

Voici trois voies de recherche et de progression nécessaires pour développer une cyberdéfense de l’entreprise et contribuer à une cybersécurité plus intégrée et évidemment stratégique.

O. Kempf