Vincent Strubel: le boss de la cybersécurité, c’est lui

Bonsoir Vincent Strubel. Bonsoir. Merci d'avoir accepté notre invitation sur le plateau de Back.

Je vais commencer par une question extrêmement simple. On continue à parler depuis le début de cette émission, on parle de cybersécurité. Parlons de l'ANC 2 minutes.

C'est quoi l'ANC ? Qu'est-ce que c'est l'ANCY ? Alors c'est le moi j'aime bien le présenter comme le chef d'orchestre de l'action de l'État en matière de de cybersécurité.

On est à la fois cyberpompier, on intervient dans les cas graves pour comprendre ce qui s'est passé, pour réparer et on est aussi et surtout mobiliser pour faire de la prévention par toutes les manières possibles, par la sensibilisation, par des guides, par du travail avec le secteur privé, par de l'audit parfois en testant la sécurité des sites les plus sensibles. Donc on fait tout pour que les attaques ne se produisent pas et quand elles se produisent, parce que ça arrive, on répare. C'était quoi votre parcours à vous ?

Comment vous êtes devenu directeur général de cette agence ? Euh j'ai alors il y a pas un parcours type. Moi je suis rentré à ce qui était pas encore l'anc mais qu'il est devenu en 2005.

Donc j'ai fait euh je suis tombé dedans peu tout petit euh comme on tombe dans une marmite. Euh et moi j'en suis jamais ressorti vraiment. Donc j'ai j'ai fait tout un parcours, j'ai fait euh des choses très techniques au début, j'ai codé et puis après j'ai fait d'autres choses.

OK. Et je m'en suis toujours pas. Mais quand même pas mal d'années de boutique.

Pas mal d'années de boutiques. J'ai voilà, ça s'appelait pas encore cybersécurité quand je ça'appelait sécurité des systèmes d'information. Donc là c'est le canal historique les les papiers de la cybersécurité.

En fait il par faut pas dire ça comme ça. Vincentrubel concrètement vous êtes nommé par qui et vous rendez compte à qui ? Alors moi je suis un directeur d'administration centrale donc je suis nommé par un décret en conseil des ministres qui est signé du président de la République et du premier ministre.

Euh et donc c'est à eux que je rendais compte. J'ai un chef qui est le secrétaire général de la défense et de la sécurité nationale qui est le principal conseiller en sécurité et défense de ces deux autorités. Alors prenons prenons un exemple concret qu'on a tous vécu, les les Jeux Olympiques de Paris 2024.

OK. Vous je vous donne ça comme donnée. Comment est-ce que vous identifiez la menace ?

Qu'est-ce que vous craignez ? Alors, les Jeux Olympiques, moi je les ai je les ai vécus effectivement en tant que directeur de l'AN et donc chargé d'en assurer la cybersécurité. Un événement comme les Jeux Olympiques et Paralympiques, mais ça c'est vrai de tout événement de cette cette portée là.

Alors, je sais pas s'il y en a beaucoup d'autres hein, euh c'est un catalyseur pour toutes les formes de menaces. Donc, on s'était préparé à euh Quelle menace en l'occurrence ? Euh alors à toutes euh à toutes à des menaces d'état parce que euh des États alors ils pratiquent de l'espionnage au quotidien et euh autant pendant les jeux que pendant n'importe quel autre moment euh à des actions de stage potentiellement d'État hein parce qu'on on pouvait s'imaginer qu'il y en avait qui avaient envie de de nous décrédibiliser de décrédibiliser la France comme comme pays haute.

Le crime organisé, il est là pour faire de l'argent. Je pense que vous en avez beaucoup parlé mais euh pour lui c'est les soldes hein, c'est Black Friday tous les jours pendant deux fois de semaines. Euh donc c'est c'est ils se sont mobilisés particulièrement sur cette menace-là et puis euh les ce qu'on appelle les activistes avec un H, c'estàd tous ceux qui veulent porter un message souvent pas un message très sympathique he c'est plutôt une critique de notre modèle de société potentiellement ou des revendications dans un contexte géopolitique qu'on connaît.

Là aussi c'est un porte-voie médiatique formidable les Jeux Olympiques. Donc tout ce ils se sont on s'attendait à ce qu'ils se mobilisent, ils se sont mobilisés pendant les jeux. On s'y était préparé, ça a plutôt bien marché.

Coline, oui, justement les l'été dernier, bon pendant les yeux, il y a eu beaucoup de questions, les même les mois avant sur la question de la surveillance algorithmique notamment mise en place à l'occasion des Jeux Olympiques. Je sais qu'il y a beaucoup d'associations, notamment la Quadrature du net qui a alerté sur le fait que ben en fait on pense on prenait une pente un peu glissante sur la question des libertés individuelles aussi. Et donc moi, j'aurais vous demander comment on fait pour trouver un équilibre entre à la fois on protège, on fait de la de la sécurité et bah on n'empiète pas sur les libertés individuelles justement de de chacun chacune.

Alors comment on fait pour trouver un équilibre sur ce genre d'enjeu ? Euh c'est pas mon métier. Fondamentalement dans une démocratie comme la nôtre, c'est le métier du législateur, du parlement.

Après, le métier d'une agence comme l'ENC, c'est d'éclairer, c'est de rappeler des réalités techniques, de les d'éclairer des choix mais pas de les faire à la place des autorités légitimes. Et puis sur un sujet comme celui-là, c'est quand même beaucoup plus un sujet de l'ACNIL qui elle est une autorité indépendante qui peut donner son avis, un avis qui est contraire au gouvernement, c'est fait pour euh et donc critiqué potentiellement. Et donc c'est comme ça dans une société avec équilibre des pouvoirs et des voies plurielles qui s'expriment qu'on trouve les équilibres.

Vous vous êtes là pour la défense des euh des sites qui peuvent être attaqués comme les on a vu les hôpitaux aussi ces dernières années, les réseaux de transport aussi. Voilà. Vos vos moyens ils ont augmenté non depuis quelques années.

Alors nos moyens ça ils ont augmenté de manière constante ces ces dernières années. Bon dans le contexte actuel aujourd'hui de de frugalité budgétaire un peu différent mais on a cette chance énorme quand même en France d'avoir d'avoir pris le problème à bras lecor suffisamment tôt. L'ANC elle a été créée en 2009.

Il y a d'autres pays, je donnerai pas d'exemple he mais qui ont pris ce virage là beaucoup plus tard. Et euh c'est un sujet qui a euh intéressé tous les gouvernements successifs qui ont donné des moyens à l'ANC, mais pas que parce queil y a aussi des équipes de cybersécurité dans les ministères maintenant dans les hôpitaux hein, c'est un défi énorme que de rehausser le niveau de sécurité des hôpitaux. Donc on a on a eu cette chance de progresser avec un champ de mission qui s'étend aussi parce que au début on sécurisait l'État.

À partir il y a 10 ans à peu près, on a commencé à se projeter sur ce qu'on appelle les opérateurs d'importance vitale, c'est-à-dire les les acteurs du privé mais qui portent des activités de notre quotidien sur lesquelles on peut pas fonctionner. Les transports, l'énergie, les télécom, tout ça. La liste serait longue.

Aujourd'hui, notre nouveau défi, c'est tout le reste parce que on est face à une menace qui alors reste concentré. Il y a le haut du panier, les États, ils continuent à faire de l'espionnage sur des cibles qui ont un intérêt pour l'espionnage. Mais le crime organisé, les activistes, ils s'en prennent à tout le reste, ils s'emprennent à tout le monde et ils attrapent tout ce qu'ils peuvent.

Et donc aujourd'hui, c'est pour ça qu'on voit des attaques dans les hôpitaux, on voit des attaques contre les universités, contre des PME, contre des associations, contre des collectivités. Des choses qui n'ont pas de valeur intrinsèque, qui vont pas payer une rançon. Par exemple, pour la plupart d'entre elles, un hôpital public en France, he je vous fais pas un dessin, ça p pas une rançon.

Euh voilà. serait pas légal et puis çaa pas les moyens mais euh mais c'est ils sont attrapés quand même. Et donc nous notre métier maintenant c'est de trouver des solutions qui marche pour cette population là qui ils vont jamais devenir des experts en cybersécurité.

On est un grand groupe ultra stratégique. Oui, on a des moyens de de faire de la cybersécurité pointu. Là, il faut faire des choses plus simples.

C'est quoi nos principales failles ? Qu'est-ce qui qu'est-ce qui fait que des cybercriminels peuvent s'en prendre à des hôpitaux, à des entreprises ? Euh les failles, c'est un peu toujours les mêmes.

C'est pas forcément des choses très très très compliquées. C'est des logiciels pas à jour. C'est des authentifiants, c'est-à-dire des mots de passe ou des des codes d'accès qui sont pas sécurisés, qui sont pas renouvelés, qui sont pas qui sont pas verrouillés quand les gens partent.

C'est c'est des pas forcément des choses très très évoluées. Alors après, nous on traite aussi une menace extrêmement pointue qui est capable de passer des mois à monter une cyberattaque ultra pointue pour rentrer dans un système ultra protégé. Mais l'écrasante majorité de ce qu'on traite, c'est des choses simples.

Et euh il y a deux questions que se posent les victimes aujourd'hui des des cyberattaques ambiantes. À chaque fois qu'elles sont victimes, c'est déjà pourquoi moi ? Ça, il y a pas de bonne réponse, c'est pourquoi pas ?

Parce que c'était possible et pourquoi on n pas fait les choses simples avant qu'il aurait évité ça ? Et donc ça euh c'est notre message aujourd'hui, c'est d'essayer de de partager ces réflexes simples, peut-être d'en faire aussi des obligations dans certains cas parce que parce que on voilà, c'est toujours mieux de de prévenir que de guérir. Est-ce que quand ce sont des choses simples euh c'est tout aussi simple en réalité pour aller fixer, enfin réparer, rétablir le l'attaque ?

C'est c'est toujours beaucoup plus simple d'éviter l'attaque avant qu'elle ne se produise. Une fois qu'elle a lieu, ça peut être très très compliqué. le le phénomène majeur des cinq dernières années, celui qui a marqué les esprits, qui a qui a touché les hôpitaux notamment, le ransomewhere, le rongeciel en en bon français.

Euh une fois que c'est allé jusqu'au bout, c'est-à-dire que les attaquants ont pris en otage les données, en quelque sorte, ils ont chiffré les données euh et ben il y a pas de manière de de retrouver ces données simplement. Sauf si on a fait des choses simples en amont, pris des sauvegardes en hors ligne. Ça c'est peut-être le truc le plus basique à faire hein, c'est avoir des sauvegardes de ces données hors ligne, pas connecté sur son réseau.

Mais sinon, c'est une galère pas possible. Euh et un hôpital, les les cas les cas les plus graves qu'on a traité dans des hôpitaux, c'est 6 mois, 9 mois pour reconstruire l'informatique de l'hôpital pendant lesquels euh le fonctionnement de l'hôpital, il est très très dégradé. tourner, c'est pour une certaine valeur de tourner hein, parce que au début euh on sait plus soigner les patients, on sait même plus les nourrir hein, dans un hôpital, tout ça c'est informatisé.

Aujourd'hui, les scanners, les dossiers médicaux partagés, tout ça, il y a plus rien qui marche. Donc au début, c'est beaucoup du plan blanc. Donc c'est on se reporte sur les autres hôpitaux quand c'est quand c'est possible et après ça revient progressivement.

Mais tout notre travail, c'est de faire en sorte que ça ne se produise pas ce genre de chos. Julie et on parlait beaucoup des donc des rangsongiciels et cetera. Est-ce que il y a des très concrètement des cyberattaques qu'on voit émerger depuis l'année dernière ? parce qu'il y en a qui sont un peu ringardes qu'on voit plus du tout.

Enfin, on le problème c'est que les attaques ringardes, elles marchent toujours. C'est pas c'est pas glorieux quand quand on est victime de ce genre d'attaque, mais enfin nous on n'est pas là pour juger he au de marant. On a on a des victimes et parfois de ils sont fait attraper bêtement mais c'est pas c'est pas ça le problème he c'est comment comment on fait pour que ça se reproduise pas.

Après les tendances elles évoluent. Oui. Euh, on a toujours le haut du panier, les états, les services étatiques qui euh s'en prennent aux cibles les mieux protégés qui qui tire un peu vers le haut tout ça.

Et ensuite ça ça ruisselle. Euh si je je prends ce concept là, les les crimes les criminels organis enfin le crime organisé, il s'empare ensuite des méthodes les plus avancées. Il évolue aussi dans ces cibles.

Le ranongiciel, c'est toujours une réalité mais ce qu'on voit de plus en plus, c'est du vol de données et parfois c'est la double punition. un groupe de crime organisé, il va voler toutes les données. Ensuite, il va chiffrer toutes les données.

Il va rendre le système inaccessible et il va demander deux rançons. Une pour libérer le système pour le pour que ça refonctionne et une deuxième pour pas puyer les données. Et puis même si on paye les deux, ce qui est une mauvaise idée, ça l'empêchera pas forcément de vendre les données quelque part sur le dark web sur des gens qui s'intéressent.

Ils viennent d'où d'ailleurs ces cybercriminels qui nous attaquent ? C'est quoi leur nationalité principale ? Alors, ils viennent de partout.

Euh il y a il y a il y a des endroits où on les trouve plus facilement. Alors c'est ça dépend un peu desquels hein. Les États on a en tête et je me je je le dis toujours avec beaucoup de précautions parce que c'est pas le métier de l'ANC de désigner formellement tel ou tel état comme nous attaquants.

Ça rentre dans les renom voilà c'est pas c'est pas nous tout seul. Et puis ça fait appel à d'autres connaissances. Nous on voit ce qui se passe chez les victimes.

Il y a d'autres services de l'État. C'est un autre métier, c'est pas le mien qui voit ce qui se passe chez les attaquants, c'est leur métier d'aller regarder. Donc on conjuque tout ça et on peut avoir des des choses.

Mais dans les les types d'état qui nous attaquent, ils sont connus, hein. Voilà, on a des des menaces affiliées à la Russie, à la Chine, c'est connu. Dans les le crime organisé, ils sont partout mais avec quand même un fait particulier qui est lié à la Russie.

Euh en Russie, on a des grands groupes, les les principaux groupes de renongiciel, par exemple, ils sont beaucoup en Russie, ils sont pas embêtés par les autorités. On se enfin aucune illusion. Les autorités russes si elles veulent arrêter quelqu'un, elles en sont bien capables.

Donc si elles arrêtent pas ces groupesl on peut quand même se poser une question. Si vous regardez un groupe comme Logbit qui est l'un des groupes les plus actifs dans le ranongiciel, c'est il fonctionne comme une franchise. C'est McDo hein.

C'est McDo du ranongiciel. N'importe qui peut utiliser leurs outils en versant une participation sur les sur les les gains. La seule consigne c'est n'attaquez pas des cibles en Russie.

OK. Ailleurs. Voilà.

Il y a alors je dis ça veut pas dire qu'ils sont aux ordres des autorités russes, mais il y a quand même voilà une particularité dans cette menace là dans un contexte géopolitique aussi qu'on a tous en tête. Ou Jul ? Oui.

Moi j'ai un oncle qui s'est fait vous savez avec le faux appel du conseiller bancaire qui lui demande ses accès est-ce que normalement vous n'êtes pas censé c'est une demande à laquelle vous n'êtes pas censé accéder. Ils sont pas censés vous demander vos accès bancaires. Lui il l'a fait puis il s'est senti con.

Il s'est fait alléger de 2000 balles et je vous ai écouté sur France Interre. Donc après, il se sentait super honteux quoi. Il il se sentait vraiment merdique, il osait pas le dire.

Et et je vous ai écouté sur France interne avec Léa Salamé et Nicolas de Moran. Et Léa Salamé, elle a elle a vraiment avec tout le naturel qu'on peut lui connaître, elle a dit "Bah moi, une fois mon mon colis euh j'ai reçu un SMS qui me disait "Mon colis rentre pas dans la boîte aux lettres et j'ai donné toutes mes coordonnées bancaires." Je dis "Bre mon oncle parce que parce que à quoi ça va aider le truc à rentrer dans la boîte aux lettres Et donc elle elle a appelé quoi que même les quoi.

Et voilà. Donc c'est ça. Décomplexer un petit peu si vous vous faites choper parce que même un génie comme les Salamé peut se faire choper.

Et euh et donc je me disait ça fait partie de vos missions de l'ANC, c'est pas seulement sécurisé pour les hôpitaux, c'est pas seulement sécurisé pour les ministères, c'est aussi cette mission d'information d'aller dans les médias pour expliquer aux gens. Vous avez des budgets pour des campagnes de grand public. Alors, c'est ça fait partie de nos missions que de sensibiliser.

Et moi, je suis je suis très d'accord sur le fait, il faut pas non plus culpabiliser euh ce se faire avoir bêtement, ça nous est arrivé à tous et je dis bien nous hein, ça peut arriver même à un DG de l'ANC, on peut pas être mieux sensibilisé que moi probablement. On fait tous une erreur bête un jour, donc il faut pas culpabiliser là-dessus. Euh l'État de manière générale s'organise aussi pour aider.

Alors, c'est pas les ce genre d'arnaque là, c'est pas le métier de l'ANC, c'est le métier de la police, de la gendarmerie. Il y a une super plateforme qui est aujourd'hui disponible qui s'appelle le 17 cyber 17ciber.goof.fr sur laquelle quand on est victime d'un acte de cyber malveillance, donc c'est plus large qu'une cyberattaque hein, c'est aussi des arnaques en ligne, des escroqueries, se faire aider par des des boîtes privées, mais aussi entrer en contact avec un policier, un gendarme pour avoir les bons conseils pour peut-être porter plainte parce que c'est important aussi et surtout pas culpabiliser hein parce que finalement on a voilà c'est on a besoin de partager la réalité de la menace.

Euh dans un autre registre euh moi j'ai énormément de d'appréciations pour les directeurs d'hôpitaux, ceux qui sont tombés les premières victimes des attaques, celles qui ont été les plus graves, ben eux, ils ont eu le courage de témoigner, d'aller voir les autres directeurs d'hôpitaux, de leur dire voilà comment ça s'est passé, retour d'expérience, des retours d'expérience et puis des choses beaucoup plus concrètes que voilà, un technocrate parisien trouve pas forcément toujours les bons mots pour expliquer la réalité de la menace et la réalité des impacts. Et quand eux ils l'ont fait, ça a été beaucoup plus efficace que quand seulement l'ANC le fait. Après, ça fait partie du métier aussi de Oui. de sensibiliser, d'expliquer aussi parce que on est sur des sujets un peu mystiques encore, mal compris et ça fait partie de notre vulnérabilité collective, la résilience de la société sur des choses qui vont toucher potentiellement à la vie politique, qui vont toucher à des choses qui nous inquiètent.

Parfois certains des attaquants, leur but c'est d'entretenir l'anxiété. Donc la compréhension de tout ça, c'est une de nos principales défenses. C'est un peu notre défense immunitaire en tant que société que de comprendre, d'avoir un regard critique sur ces choses-là.

Donc bravo aussi pour ce que vous faites. Alex, euh je voulais ouvrir le volet parce qu'on est un talk show politique et et c'est c'est un sujet qu'on a pas pu forcément aborder dans l'émission. En 2017 notamment, il y a l'équipe de campagne des d'Emmanuel Macron qui avait été attaqué avec en 2017.

Oui, c'est ce que j'ai dit. 2017. Oui.

Euh avec les Macron euh donc avec toutes ces toutes ces toutes ces boîtes maill qui ont été euh rendues publiques. Euh on peut même aller plus loin. Ça a été documenté euh l'année dernière euh lors de la campagne des élections européennes où il y a eu de l'ingérance de pays étrangers.

On a vu notamment des contenus de certains candidats qui ont été gonflés artificiellement. Là il y a des échéances qui arrivent avec notamment une élection présidentielle dans 2 ans. Euh déjà peut-être nous expliquer comment une équipe de campagne comme celle d'Emmanuel Macron a pu être a pu être attaqué de la sorte.

C'est quoi la c'est quoi le mécanisme ? Et puis dans un second temps, est-ce que vous avez vous un travail au niveau de l'ANC de prévention aujourd'hui auprès des équipes de campagne ? Ouais.

Et je je vais commencer par ça. Euh aujourd'hui, c'est devenu une procédure presque standard pour nous que d'accompagner un scrutin électoral. C'est un moment important de la vie démocratique.

Euh face à des attaquants qui pour certains contestent ce modèle démocratique, on sait que un une élection, ça va être attaqué. Alors nous, on sécurise d'abord les systèmes qui servent à l'élection mais ça en France, on a la chance d'avoir des choses qui sont essentiellement papier. Donc c'est pas voilà quoi voilà c'est mais c'est c'est bête hein mais mais une une enveloppe opaque dans une transparente on n'a pas trouvé mieux hein pour sécuriser un vote qu'on remonte de manière mécanique en préfecture qui remonter que avec des citoyens qui comptent et euh tant sur les propriétés de sécurité que sur le le fait que ça reste vous êtes pas favorable vote par internet pas f sauf sauf quand ça se justifie enfin c'est toujours un équilibre entre risque et voilà les français de l'étranger ils votent par internet pour certaines élections parce que ils la c'est différent pour eux he enfin organiser un scrutin c'est pas forcément aussi facile que d'aller voter à la mairie ou à l'école du quartier.

Donc là ça se ça se justifie. Dans d'autres cas je suis moins fan. Après truquer un scrutin par une cyberattaque c'est très compliqué en France.

Semer le doute ou influer par un mix de cyberattaque de manipulation de l'information qui un peu ce qui avait été observé en 2017. Euh et là pour le coup, on l'a dénoncé officiellement les la France l'a dénoncé comme une action des services de renseignement militaire russes, hein. Euh là, on l'a dit clairement.

Euh ça quand on le dit clairement, ça veut dire qu'on a pas de doute. Euh ça c'est plus c'est plus facile. Donc nous on a toujours un un travail de de vigilance particulière, d'offre de service aux équipes de campagne.

On peut pas leur imposer, hein. Nous on est un on est un acteur gouvernemental donc on est on marche un peu sur des œufs dans ce ce mode de fonctionnement mais on propose notre aide, on donne des conseils, on alerte si jamais il y a quelque chose. On propose aussi notre aide si mais on n'impose rien.

On on informe le juge de l'élection dans une élection présidentielle. c'est le Conseil constitutionnel qui décide à la fin si ça a été valide ou pas et une commission spéciale qui a été qui est créée à l'occasion. Donc on leur dit tout ce qui se passe qui peut avoir un impact sur le scrutin ou creuse s'ils s'il y a besoin.

Mais oui, le le la faiblesse sans doute le maillon faible quelque part et c'est pas c'est pas leur faute, c'est sans doute les équipes de campagne parce qu'une équipe de campagne, ça ressemble plus à une start-up qu'à un grand groupe du CAC 40 he en terme de moyens, en terme de de maturité, en terme de voilà d'utilisation, de moyens personnels, de choses comme ça et c'est comme ça qu'il se et de vigilance aussi du coup de vigilance. Je pense que maintenant ça y est la vigilance par la force de l'exemple, elle est elle est là mais ça fait pas tout. Pauline oui, j'aurais aimé qu'on parle d'une autre cibarate, c'est c'est celleou, notre premier ministre, avait expliqué qu' il allait publier des preuves de son innocence dans l'affaire Betaram sur son site et il a expliqué, je vois pas pourquoi vous rigolez, et il a expliqué avoir été victime d'une cyberattaque.

Et du coup, j'aurais aimé savoir déjà est-ce qu'il y a eu une cyberattaque et euh est-ce qu'on sait en fait qu'est-ce qui s'est passé ? Est-ce qu'il y avait des personnes qui étaient derrière tout ça ? Est-ce que est-ce que c'est votre rôle à Lancy aussi ou alors il y a eu ce qu'on appelle un desdos un de service distribué, c'est-à-dire euh l'équivalent numérique de l'opération escargot.

Ça sature le site web, ça le rend inaccessible. Après, moi j'en diraiis pas plus parce que euh c'est une attaque récente. Ça vient de l'intérieur, c'est ça qui a été Non, non, c'est c'est pas ça.

Ça vient d'un autre ministère. Mais a il y a deux choses qui qui entrent en ligne de compte là-dessus. déjà euh on s'intune une forme de de secret médical aussi dans notre métier.

Donc on communique pas à la place des victimes, on les laisse communiquer même si voilà on peut on peut les aider aussi à à communiquer à dire à à identifier ce qu'ils peuvent dire hein parce que il faut pas se précipiter à dire des choses qui sont fausses mais mais on communique pas à leur place. Hm. Et après dans ce cas d'exemple particulier, mais c'est et c'est très bien comme ça, c'est judiciarisé donc il y a eu un dépôt de plainte et donc à la fin dire qui c'est, c'est le rôle de la justice.

On sait fonctionnaire comme moi respecte le la justice et va pas s'exprimer à sa place. C'est pas le plus sophistiqué l'attaque des DOS ? C'est pas forcément le plus sophistiqué.

Non, c'est mais ça peut ça marche toujours un peu et après on peut s'en protéger plus ou moins bien selon aussi la taille de la taille du site web, la taille de l'hébergeur, des choses comme ça. Est-ce que la cybercriminalité, elle est développée en France ? C'est quoi le profil des cybercriminels ?

Alors des cybercriminels français, il y en a mais ils prospèrent pas parce que chez nous, ils sont arrêtés et c'est très bien comme ça. Voilà. Non, très bonne réponse.

On m'a déjà posé la question pourquoi les cybercriminels français, ils sont ils sont pas aussi bons que les cybercriminels, je sais pas, russes euh les arrête. Voilà, on leur laisse pas le temps de devenir bon. Et pour se prémunir de ça, il y a combien de personnes rattachées de près ou de loin à LANC ?

à l'ANC, on est à peu près 700 euh entre des employés de LAN, des militaires qui sont mis à disposition. Il y a des militaires dans les équipes de LANC et c'est très bien parce qu'il nous apporte aussi un regard un peu différent, une mode de mode de fonctionnement. Donc on est 700 à peu près.

OK Julie et euh et c'est vrai que ça ça vaut enfin ça coûte 10 fois moins cher d'attaquer que de que de protéger. On est comment sur le côté offensif et défensif de la de la cyber criminalité ? offensif.

Alors non, nous on n'est pas des cyber criminels, donc on fait pas ça. Non, le alors on se pose toujours la question de l'équilibre entre attaque et défense en la matière. Je je le martelle, mais la meilleure défense en cybersécurité, c'est la défense.

Et donc ça c'est le modèle français. On a déjà on privilégie la défense, la prévention parce que c'est toujours mieux de prévenir que de guérir. Euh on a fait un choix clair de créer une NC qui ne fait que de la défense.

Nous, on mène pas des cyberattaques. Enfin, on a la France ne mène pas de cyberattaque. La ne mène pas des cyberattaques.

La la France comme toute grande puissance a des capacités dites offensives cyber mais qui sont euh au sein du ministère des armées, qui sont distinctes, on mélange pas les genres. Et peut-être précision euh c'est les les capacités offensives mener des cyberattaques, c'est pas une manière de répondre à des cyberattaques. On fait pas du "J'attaque les attaquants." Ça ça a pas beaucoup de sens déjà parce une cyberattaque, c'est pas probablement pas légal.

C'est pas conforme à nos valeurs, hein. Quand on attaque, on se fait attaquer des hôpitaux, nous on va pas aller attaquer des hôpitaux chez les autres même si même s'ils sont très très méchants. Ça c'est pas c'est pas le modèle c'est pas nos valeurs, c'est pas le modèle démocratique français.

Et puis c'est pas la meilleure réponse. Donc la meilleure réponse ça peut être la justice qui peut alors quand ils sont attrapables attraper les auteurs mais en tout cas au moins leur compliquer la vie. Il y a quand même des opérations de type démantèlement d'infrastructure d'attaque qui marche aussi.

Et puis sinon c'est le registre diplomatique et donc tous les leviers de l'action de l'État vis-à-vis d'un autre état qui nous attaquerait depuis la protestation polie jusqu'à des sanctions, des choses plus graves potentiellement. Tout à l'heure, on avait évoqué le logiciel Pegasus en plateau. On avait parlé du fait que bon là, c'est une arme vraiment très très offensive et on se posait la question justement de la législation internationale.

Quelles sont les normes ? Est-ce qu'il y a quand même des normes sur ce qu'on a le droit de se faire, pas de se faire ? Je me doute bien que après bon les États les respectent ou pas et en l'occurrence bon voilà.

Euh mais est-ce qu'il y en a seulement ? Parce que parce que tout à l'heure on parlait du fait que ces armes notamment Pegasus sont tellement des armes que voilà est-ce que est-ce qu'il serait peut-être pas temps aussi de faire un traité de faire est-ce que c'est en projet ? J'en sais rien.

Il serait temps et la France a toujours défendu une approche du droit international et de fixer des règles et de les respecter. Dans le domaine des outils d'attaque de type Pegasus tout particulièrement, on a un processus qui s'appelle le processus de palmal ou Paul Mall. Jamais su comment il fallait bien le dire en anglais.

Euh ouais, comme les clops, mais c'est pas enfin c'est pas vient pas des clopes, c'est c'est un endroit aussi au Royaume-Uni. C'est je pense que ça vient du même du même lieu mais c'est pas voilà, je le l'idée étant de travailler à définir un code de conduite responsable justement sur ces outils-là qui doivent pas être mis entre toutes les mains, qui doivent pas être utilisés contre n'importe qui. C'est inacceptable évidemment que ce genre de chose soit tourné contre des journalistes, des opposants, des ONG, des choses comme ça.

Donc on a porté un discours assez clair là-dessus. On porte un code de conduite qui a été publié la dernière dernière réunion de ce sommet était à Paris il y a quelques semaines. Il a été publié à cette occasion là.

Après, on n'est pas seul dans le monde et tout le monde a pas la même vision des choses. Il y a aussi des débats à l'ONU sur ces choses-là sur lesquelles face à certains pays qui sont moins démocratiques que le nôtre, il considèrent comme une cyberattaque le fait de dire la vérité dans les médias par exemple. Enfin voilà, les les opposants qui prennent la parole pour eux c'est une cyberattaque.

Pour nous non. Donc le champ B si vous aviez parlé des militants qui pourrient qui pourraient diffuser des messages euh lors des JO. Alors qui diffusent des messages, ils ont le droit, c'est la liberté de la presse.

Qu'il le fasse en attaquant en en détournant de son usage un moyen numérique, en bloquant un site web, en prenant le contrôle, en faisant quelque chose qui est un crime dans la loi française. Ça non. Donc euh la loi française, elle protège la liberté d'expression, pas le détournement des outils numériques des autres ou les cyberattaques.

Donc on est on est dans le l'état de droit. Donc on porte cette vision là. Là où ça marche bien, c'est à l'échelle européenne, hein.

À l'échelle européenne, on a construit le droit de la cybersécurité. On est plus fort ensemble. On a les mêmes règles.

Euh on a des cadres d'obligation qui s'applique aussi aux acteurs du numérique. Et évidemment, quand on veut imposer des règles à des acteurs du numérique euh qui sont mondiaux, c'est plus ça marche mieux quand on est l'Europe que quand on est juste un État membre de l'Europe. Donc ça c'est une grande réussite.

À l'échelle mondiale, ça se construit et pas forcément aussi vite qu'on pourrait l'espérer. Est-ce que la France est en guerre ? Non.

Non. D'un point de vue cyber. point de vue.

Alors moi j'aime pas du tout la notion de cybergerre parce que parce que c'est pas ça. Enfin on est alors on parle il y a des plein de jargons techniques de Monac hybride de choses comme ça. On est dans une confrontation dans une contestation de notre modèle dans une pression permanente qui vient de toutes sortes de types d'acteurs de d'attaquant des États, des criminels du crime organisé des activistes qui peuvent être un peu n'importe qui.

Mais tout ça ça exerce une pression permanente sur l'économie française sur notre société. Euh c'est peut-être un peu une épée de Damoclè hein, parce que le jour où tout ça se déchaîne en en même temps, ça peut être grave. Et derrière tout ça, il y a un peu de déstabilisation, de contestation là encore de notre modèle démocratique, hein, pour euh pour certains de nos adversaires.

Euh mais la guerre, non, c'est pas ça. La guerre c'est c'est autre chose. Est-ce que c'est ce est-ce que c'est la contestation de notre modèle démocratique qui fait que la Russie et la Chine sont aujourd'hui nos deux principaux adversaires ?

Il y a sans doute pas que ça. Il y a il y a aussi beaucoup dans l'action des États et c'est pas spécifique à l'un ou l'autre hein, beaucoup d'espionnages. Donc il y a une compétition économique aussi hein.

Les premières cibles de l'espionnage c'est les secrets industriels, les technologies de pointe, les secrets commerciaux aussi euh des futures offres dans des grands marchés, des grands contrats internationaux. C'est des cibles toutes désignées. Donc il y a beaucoup de compétitions économiques et il y a parfois aussi bah s'en prendre aux élections, c'est un autre objectif.

Donc là, on est dans une forme de déstabilisation, de contestation de notre modèle et donc notre doctrine à nous. Oui, pardon. Et puis il y a des pays qui étaient nos alliés qui partageaient apparemment de valeurs démocratiques qui semblent les partager un petit peu moins et ça pourrait être un problème si par exemple on avait si par exemple on a équipé un petit peu je sais pas l'éducation nationale avec je sais plus Microsoft ou je sais pas quoi.

Est-ce que c'est une vulnérabilité particulière si les Américains décident de nous traiter comme des pas du tout comme des alliés mais plutôt comme des adversaires ? Est-ce que c'est une vulnérabilité particulière d'avoir installé tant de systèmes et même Windows d'ailleurs un petit un peu partout ? On est on est vulnérable là-dessus.

C'est c'est c'est une il y a plein de ramifications à cette question là. Donc je vais répondre sur plusieurs plans. Déjà déjà euh considérer que les États-Unis sont devenus nos ennemis, c'est quand même c'est c'est exagéré aujourd'hui.

Ça reste nos alliés formellement. Ils sont dans l'OTAN nous aussi. C'est on a on a une coopération étroite depuis toujours et qui continue sur la cyber avec les États-Unis, avec aussi nos partenaires européens évidemment avec le Royaume-Uni mais avec les États-Unis aussi.

On a on s'informe, on on s'alerte mutuellement de d'attaque. Je prends toujours cet exemple là, mais il est il est réel hein. On ils ont sauvé des hôpitaux chez nous, on a sauvé des hôpitaux chez eux en les prévenant d'une attaque qui allait se produire.

Ça et ça c'est toujours c'est toujours vrai. On les prévient toujours. Ils nous préviennent toujours.

On a réussi en au mois de mai, on a fait al l'État français a attribué formellement des attaques à un groupe russe à au renseignement militaire russe. Dans la foulée, on a cigné un avis de sécurité qui faisait en un état des lieux des méthodes de ce groupe d'attaque russes avec les États-Unis, avec le Royaume-Uni, avec d'autres d'autres pays européens. Donc la coopération, elle reste, elle demeure.

Le contexte est un peu particulier, ça je vous l'accorde, mais c'est pas pour autant qu'il faut il faut se dire euh on n'est plus allié euh on a eu un renversement total des alliances et c'est pas nous qui allons euh dire qu'on est plus allié des États-Unis, on va continuer à les alerter de toute menace et aujourd'hui ils le font encore aussi de à notre profit. Donc voilà, factuellement c'est c'est pas ça a pas changé tant que ça le le fait de se mettre de de dépendre d'outils Microsoft, de choses comme ça et il y a pas que Microsoft hein, je je on pourrait en citer plein d'autres. C'est une réalité.

Alors il y a des il y a des choses dont on se préoccupe depuis toujours. L'accès aux données sensibles, le cloud, le l'informatique nuagique comme on dit si on respecte la loi tout bon. Euh c'est c'est quelque chose qui est pas neutre.

On confie ces données à un/ers. Ce tiers, il peut être soumis à du droit euh qui n'est pas le droit européen ou français. Les lois américaines, elles préconisent l'accès aux données par certains services.

Donc, on a créé euh une certification, qualification pour être précis qui s'appelle Secum Cloud qui identifie des clouds qui protègent bien contre ça. Et on a une doctrine française qui dit "Les informations vraiment sensibles de l'État, elles ne vont pas dans des clouds soumis à du droit non européen. Elles vont que dans des clouds qui ont tous les les bonnes les b les bons labels de l'ANC.

Mais on on le on le généralise pas à tout le monde parce qu'il faut maintenant pas non plus se pr se se priver du progrès et de de capacités de traitement qui sont qui sont peut-être à l'état de l'art et qui voilà parfois il y a les problèmes de sécurité se posent pas. En tout cas il est pas il est pas suffisant pour justifier de une exclusion des fait des facto de tous les acteurs. Puis la dernière dimension du problème c'est la dépendance technologique, la maîtrise de certaines technologies.

On y a toujours été attentif. Pour autant, c'est un combat permanent et c'est c'est quelque chose alors c'est pas une bataille perdue hein. On a des pépites françaises, on a des maîtrises technologiques, on a du de l'open source aussi du logiciel libre qui permet de faire des certaines choses.

Est-ce qu'il faut en faire plus ? Sans doute, c'est on a toujours défendu aussi à l'échelle européenne ce qu'on appelle l'autonomie stratégique. Ça fait partie aussi maîtriser des technologies clés.

Ça veut pas dire pour autant tout réinventer en franco-français parce que ça marchera pas. Il y a un équilibre à trouver. Ouais, c'est pas simple.

Pauline ? Ouais, on on parlait de déstabilisation, on parlait aussi d'Europe. Euh j'aurais aimé qu'on revienne sur les récentes élections de Roumanie.

Alors, peut-être pour expliquer un peu pour le le public. Euh en Roumanie, il y a eu des élections présidentielles au début de l'année et il y a un candidat plutôt du côté de l'extrême droite qui en tout cas n'était pas encarté, qui a un peu popé de nulle part et qui s'est retrouvé euh quasiment euh premier ou premier tour ou en tout cas dans une position très élevée au premier tour des élections en Roumanie. Et il y a eu très très vite des suspicions d'ingérence et il y a même une enquête qui a été ouverte il me semble par la la Commission européenne et il y a beaucoup de personnes qui ont accusé la France justement de de déstabilisation. dans les élections dans les élections roumaines.

Est-ce que c'est vrai ? Est-ce qu'on a déstabilisé les élections roumaines ? Beaucoup de personnes, c'est peut-être un peu exagéré, je prends ça une ou deux.

Euh alors non, enfin la France fait pas ce genre de chos hein. Là encore, nous on est un état de droit et on fait pas ce genre de choses et certainement pas dans l'espace européen. Après, qu'est-ce qui s'est passé en Roumanie ?

Moi, je le commenterai pas à la place des autorités rouines. Elles ont publié une analyse très détaillée. Donc, je le commenterai pas à leur place.

Et d'autant plus que l'essentiel de ce qui s'est produit ou ce qui a été indiqué par les autorités rouines, c'est de la manipulation de l'information. C'est pas tant des cyberattaques, même si on a eu aussi de la manipulation, manipulation de l'information, c'est amplifier des fausses informations artificiellement. Et en la matière, la France a fait un choix aussi que je considère aussi éclairé, c'est de pas de pas mettre ça dans le même la même besace que les cyberattaque.

Donc de créer une autre structure qui est une structure très proche qui s'appelle Viginum. euh et qui travaille sur ces sujets-là. On se croise tous les jours, on est on a le même chef, donc on se parle mais c'est un métier très différent et avec un encadrement différent parce que ça c'est très vite dans le champ politique, beaucoup plus vite que euh les cyberattaques.

Donc ils sont beaucoup plus peut-être contrôlés, même si nous on l' aussi hein, mais ils sont contrôlés d'une manière différente. Donc c'est très bien qu'on est on est séparé ces deux métierslà, même si on coopère très régulièrement. Prenons l'exemple d'une attaque d'un établissement public ou d'une entreprise française.

Comment intervient l'ANC ? Qu'est-ce que vous faites ? Je vous appelle, ça va pas.

Déjà, ben on fait on fait on répond au téléphone, on rassure parce en fait ça fait partie on a on a au bout du fil alors déjà on a des équipes H24 7 jours sur 7 qui décrochent le téléphone, qui répondent à des mails, qui traitent des signalements d'attaque qui vont déjà rassurer parce que parler à quelqu'un dans ces moments-là, c'est important. On en a des gens en larme, en panique, hein. C'est normal parce que c'est un moment euh un choc émotionnel fort, hein, une cyberattaque généralement.

Euh ensuite, on qualifie, c'est-à-dire qu'on essaie de voir à quel point c'est grave, qu'est-ce qu'ils peuvent faire et puis on a alors soit on donne quelques conseils, mais finalement c'est pas si grave que ça, soit on oriente potentiellement vers des acteurs du secteur privé qui peuvent aider à la remédiation, soit et on suit généralement, on rappelle pour vérifier que ça se passe bien et que voilà, on a il y a pas c'est pas plus grave qu'on de le penser. Soit dans des cas extrêmes, ben on traite nous-même et les cas les plus extrêmes, c'est ce qu'on appelle les opérations de cyberdéfense. Et donc là, c'est une mobilisation de potentiellement des dizaines de personnels de l'ANC pendant potentiellement des mois parce que en face de nous, on a un service de renseignement qui cherche à être discret et qu'on va chercher à comprendre comment il est rentré, qu'est-ce qu'il a fait, qui sa autant que possible en recoupant avec des informations que d'autres peuvent nous fourenir, comment on le chasse et comment on fait en sorte qu'il ne revienne pas.

Et puis parfois on a des choses plus on creuse, plus c'est grave. Parfois, ça nous arrive de trouver plusieurs services de renseignement chez la même victime qui sont en train de se battre un peu en duel pour pour accéder à l'information. Parfois, on les voit revenir ou tenter de revenir.

Donc c'est Ouais. Parfois, c'est des choses assez longues. Est-ce qu'on arrive à quantifier le nombre de cyberattaques ?

C'est c'est un sujet difficile. Euh nous l'an dernier, on en a traité alors on a traité 4386 signalement événement de cybersécurité, c'est-à-dire des choses suffisamment graves pour qu'on ait une discussion avec la victime, avec la personne qui signalait euh une cyberattaque pour qu'on voit si c'est grave, si c'est pas grave et cetera. Donc c'est Mais est-ce que ça représente l'intégralité des cyberattaques en France ?

Absolument pas parce que on n pas vocation à tout traiter. Là encore quand on est un un un de nos concitoyens victimes d'un axe de cyber malveillance et même d'une cyberattaque, on a plutôt vocation à se tourner vers le 17 cyber là encore 17 cyber.goof.fr.

On trouvera une aide adaptée plutôt que vers l'ANC qui est plutôt là pour traiter les cas les plus graves. C'est quoi les différents métiers qu'on trouve à l'anci ? Vous avez combien de temps ?

Parce que on a du temps parce que c'est c'est une incroyable variété de l'ANC. Euh je pense que ça ça a été un peu un fil fil conducteur de de vos discussions aujourd'hui. Il y a il y a plein de métiers dans la cybersécurité.

Il y a pas que des ge capuche qui travaillent dans le noir. Je sais pas pourquoi il travailleraiit dans le noir. Travaillent tout seul.

Ça ça arrive pas trop. Euh alors des geeks, il y en a. Euh il y a plein de métiers très techniques.

Des gens qui font alors on parlait de pen testing tout à l'heure de de test d'intrusion. Il y en a qui font ça. Il y a des métiers un peu physiques avec des gros costaud qui surveillent vraiment les données quoi.

Ouais. Alors, on a dans les data center à Marseille maintenant il y en a plein. Va falloir des gros costaud autour pour surveiller les pas le critère de recrutement.

On a on a eu des gros costaud, ils se reconnaîtront. Ils avaient un effet en plus dans un dans un test d'intrusion. Gens les gens leur parlaient plus poliment.

Euh mais c'est voilà mais c'est pas le c'est pas le cœur de leurs compétences he leur compétence c'est de la compétence technique hyper pointue. Euh on a des analystes, on a aussi un tas de métiers qui sont pas techniques. On a des spécialistes en relation internationales parce qu'on négocie du cadre européen.

Euh on se coordonne avec nos alliés, on a des juristes, on a des spécialistes en communication euh parce que faire de la sensibilisation à grande échelle, c'est aussi c'est aussi savoir définir des messages qui qui marchent pour pour des public cibles. On a des spécialistes en gestion de crise aussi he parce que c'est pas que la technique gérer une crise cyber, réagir vite et bien c'est pas forcément des choses très sorcières. Ça se prépare, on s'entraîne, on a des gens qui conçoivent des kits d'exercices.

Par exemple, on a distribué pour préparer les Jeux Olympiques par exemple des kits d'exercices. On organise des exercices à taille massive. On en fait un en septembre qui s'appelle Rempart qui va mobiliser plus de 1000 entités différentes pour se mettre dans c'est un jeu de drôle hein, c'est simulé dans les conditions du réel. dans des conditions du réel ou dans des conditions qui l'approchent, une cyberattaque, une crise majeure et faire jouer non pas les équipes techniques mais aussi les équipes, les décideurs, les les patrons d'entreprise, les les patrons d'administration, d'hôpitaux et cetera pour les entraîner à se projeter dans la la prise de décision rapide de ce genre de choses.

Donc on a une infinie variété de métiers. Je à un moment on a essayé de les dénombrer, on en était arrivé à plus de 30. OK.

Voilà. Non, c'est c'est impressionnant. J'allais vous demander est-ce que vous trouvez que les que les que les établissements publics, les entreprises se protègent de mieux en mieux ?

Est-ce que la le niveau de culture la culturation à la culture de la cybersécurité progresse ? Oui, parce que c'est toujours un équilibre entre plus on rajoute des process pour que ce soit sécurisé, plus ça ralentit et il y a celui qui veut que ce soit efficace. La version verre à moitié plein, c'est oui et c'est une réalité.

Moi, je la mesure notamment au fait qu'aujourd'hui j'ai plus besoin de de convaincre sur la réalité de la menace. h il y a il y a quelques années encore, on prêchait un peu dans le désert auprès de certains public. Vous alliez faire des presses devant les administrations ?

Faire des presses. On allit dans les médias aussi hein pour dire mais il y a une réalité de la menace aujourd'hui. Alors je pense que c'est au moins autant le travail des attaquants que le nôtre hein.

Mais plus personne plus personne ne doute de la réalité de la menace. Et malheureusement ça voilà un hôpital qui se fait attaquer, ça se voit beaucoup plus qu'une opération d'espionnage très discrète contre une entreprise stratégique de la de la défense ou des choses comme ça. Donc quelque part on a des exemples parlants.

La sensibilisation on a moins besoin de la faire. La pédagogie, on a toujours besoin de la faire parce que il faut là encore comprendre ces ces choses qui sont complexes. Faut pas en rester que à à l'anxiété hein parce que oui, il y a une menace qui est réelle mais on peut faire quelque chose.

On a tous des moyens de se protéger. Et puis notre là où l'ouvert est à à moitié vide, c'est qu'il faut il faut passer, on a parlé de changement d'échelle ou de passage à l'échelle. C'est notre défi principal aujourd'hui, c'est c'est d'arriver à protéger efficacement non pas seulement les grands groupes qui sont attaqués depuis 15 ans, mais aussi les PME, les entreprises de taille intermédiaire, les collectivités qui sont elles attaquées sans être ciblé depuis 5 ans peut-être.

Je vous ai entendu, je vous ai entendu leur dire "Venez nous voir, venez demander un audit, c'est c'est ils viennent pas assez ou vous êtes trop nombreux, vous ennuyez." J'ai vraiment dit j'ai vraiment dit ça parce qu' on n'est pas capable de les auditer tous. On a par contre des outils qu'on met à disposition potentiellement pour les aider à se diagnostiquer, à poser un premier diagnostic de de cybersécurité pour peut-être tester automatiquement leur sécurité.

On va mettre aussi à leur disposition des exigences portées par la loi parce qu'on a un projet de loi qui est en cours d'examen au parlement qui va imposer des exigences de sécurité de base partant du principe que ça coûte toujours moins cher de se protéger que de Ça veut dire qu'ils vont devenir responsables. Ils vont devenir responsables dans une certaine mesure. Ouais.

Alors moi j'ai j'aime bien dire que par la loi on va aussi fixer la limite de leur responsabilité parce qu'aujourd'hui c'est un peu le farest et donc ce qu'on voit de plus en plus c'est des attaques qui ont des conséquences à travers ce qu'on appelle la chaîne de valeur c'est-à-dire une une entreprise se fait bloquer par une cyberattaque ses clients, ses sous-traitants, tout tout cela, ils en pâtissent aussi. Et donc euh sans cadre réglementaire qui régule un peu tout ça, demain on va voir des procès à rallonge où tout le monde va se retourner contre tout le monde pour dire "Bah tu avais pas bien sécurisé ? Oui, mais en fait non, c'est pas moi, c'est mon sous-traitant et ainsi de suite." On va pas s'en sortir.

Donc ça veut dire s'il y a des fuites de données à Pôle Emploi euh par exemple, on pourrait dire "Bah Pôle Emploi avait des obligations, il les a ou non suivis et les gens dont les données ont fuité pourraient se retourner contre pour l'emploi ou une entreprise". Pour des fuites de données, il y a déjà des obligations sur les données personnelles, mais ça c'est plus le registre de l'ACNIL. Donc ça c'est à eux qu'il faut demander.

Euh demain sur des cyberattaques qui ne touchent pas aux données personnelles, il y aura aussi des des responsabilités pas pour tout le monde parce qu'on va pas aller mettre des exigences sur la la boulangerie du coin ou la mairie de 500 habitants, mais sur des structures d'une taille suffisantes, des moyennes entreprises, des collectivités d'une taille suffisante. Oui, il y a il y a quelques obligations et pas des choses très très compliquées. Pauline ?

Ouais. J'aimerais qu'on on reparle vite fait de de moyens. vous le disez, c'est il y a besoin de moyens importants financiers, humains, technique aussi pour protéger les victimes.

On a on a je pense bien saisi avec qui vous travaillez et quelle victime vous aidez aussi pour là en tant que journaliste, je vais parler de voilà beaucoup travaillé sur la question des cybervolences notamment et des cybervolences à caractère sexiste et sexuel. Et moi ce que je remarque notamment, c'est que chez certains autres entités comme Phale ou d'autres d'autres instances gouvernementales, on manque de moyens, on manque de budget de fou et ça entraîne bah une très mauvaise prise en charge des des victimes parce que juste en fait on peut pas on peut pas tout faire et c'est bien normal. Et du coup, je m'interrogeais aussi à quel point il y a des priorités aussi dans la puissance publique.

Et est-ce que vous avez la sensation que euh vous êtes bien lotti par rapport à d'autres d'autres entités gouvernementales ? Euh est-ce que vous aimeriez encore plus de budget ? Je sais pas comment comment vous le sentez un peu ?

Faut faut jamais demander enfin c'est une question rhtorique he demander à un fonctionnaire s'il a besoin de plus de budget de plus de moyens. la réponse, je vais on va on va gagner du temps, je vais pas la donner mais euh après euh en en prenant un tout petit peu de recul, on n'est pas tant à plaindre que ça. Enfin, il y a il y a eu un investissement euh conséquent dans l'ANC, donc on a eu des on a eu des moyens.

Aujourd'hui, la conjoncture, elle est un peu compliquée, elle est compliquée pour tout le monde et l'ANC aussi, hein. Euh mais on n'est pas seul et c'est le cas de toutes les administrations. Après, il y a pas que une question de moyens.

Typiquement euh voilà, enfin si on voulait mettre les mêmes moyens, on va on on traite aujourd'hui peut-être pour fixer les idées 500 environ grosses structures qui sont des des notre cœur de cible. Demain, on en traitera potentiellement 15000 qui seront le nouveau champ d'application de la loi du projet de loi résilience en cours de d'examen. Euh on va pas faire x 30 sur les moyens de l'ANC et ce serait une mauvaise idée parce qu'on va pas avoir un même niveau d'exigence pour une PME ou une collective un conseil départemental que ce qu'on peut demander à un Airbus, à un EDF, à des grands des grands acteurs comme ça.

Donc il faut trouver aussi des moyens qui marchent pour eux et partir du principe que les bénéficiaires, les nouveaux bénéficiaires de notre accompagnement, ils ont des moyens de toute façon limités à consacrer à ces sujets-là. Donc c'est pas la peine qu'on en mette nous des exigences pharamineuses. Euh et puis après euh alors j'ai pas commenté sur Pha et cetera, c'est pas c'est pas c'est pas le métier de l'ANC.

Quand même avoir en tête que ce sujet-là, il est extrêmement nouveau. Et donc l'État, il s'est organisé, il a créé des trucs nouveaux tous les ans depuis depuis 10 ans sur ces sujets-là. Alors, il fait pas parfait du premier coup, mais la vitesse à laquelle l'État français a réussi à à prendre à prendre ses sujets nouveaux, à essayer de poser des premières solutions et à continuer à améliorer ces solutions, moi je trouve qu'il y a il y a pas forcément à rougir, surtout quand on se compare à d'autres.

C'est jamais perfait, hein, mais puis c'est un c'est quelque chose qui évolue tout le temps. Donc, il on sera on s'endormira jamais sur nos lauriers, mais on n pas forcément à avoir honte de ce qui a été fait jusqu'à présent. Merci beaucoup Vincent Strubel, mesdames et messieurs.

Merci [Musique]