Cyberattaques : 200 millions d'€, "une mesure d'urgence" pour "se mettre à niveau" (Anne Le Hénanff)

Il est 6h21, à quoi vont servir les 200 millions d'euros promis par le Premier ministre pour lutter contre les cyberattaques ? A qui sont-ils destinés ? Comment vont-ils être utilisés ? Sébastien Lecornu s'est montré très vague jeudi dernier, il a juste dit que l'argent serait débloqué. Cette semaine, nous y sommes. Bonjour Anne Lehenna, vous êtes la ministre déléguée chargée de l'intelligence artificielle et du numérique. Alors qui va recevoir cet argent ? Quand et pour faire quoi ?

Alors le rendez-vous que nous avons eu avec Sébastien Lecornu la semaine dernière à la NTS, qui a été victime d'une cyberattaque, qui est l'agence qui émet les cartes d'identité et les permis de conduire. Exactement, qui est une agence extrêmement importante pour les Français, était l'occasion de soutenir les agents qui ont vécu cette cyberattaque, qui est quelque chose de dramatique et de grave, et puis ensuite de faire des annonces.

Les 200 millions c'est une des annonces, effectivement c'est l'urgence, c'est de débloquer des fonds très rapidement pour permettre au ministère, à l'administration centrale, de se mettre à niveau de sa cybersécurité, c'est-à-dire protéger les systèmes d'information, les réseaux, mais également les données, et particulièrement les données des Français. Et ça c'est pas quelque chose qui est déjà fait ?

Alors c'est quelque chose qui est fait, mais l'organisation aujourd'hui de la cybersécurité en France, dans l'administration centrale, est faite par un silo, c'est-à-dire que chaque ministère a sa propre DSI, et un directeur informatique avec ses équipes, finalement c'est lui qui est compétent pour décider du niveau de cybersécurité.

Force est de constater que depuis 20-30 ans que nous modernisons l'administration, y compris pour faire justement des déclarations en ligne, pour faire une carte d'identité, pour faire un passeport ou encore une carte grise, et bien il y a des couches qui se sont successivement rajoutées les unes aux autres, qui fait que les systèmes ne sont pas homogènes, qu'il y a une disparité d'un ministère à l'autre, certains sont numérisés, d'autres moins.

Le Premier ministre a pris une décision, et je dirais que c'est ce qu'il faut retenir de son déplacement, je pense, parmi les différentes annonces qu'il a faites, c'est qu'il a décidé de mettre la cybersécurité comme une priorité régalienne de son action, et de créer une autorité à sa main, je dirais, directement sous son contrôle à Matignon, qui va mettre en œuvre une politique de cybersécurité homogène pour tous les ministères de France.

Qui va mettre du lien, mais il y a déjà une direction interministérielle du numérique, et il y a tout un tas de structures, je ne vais pas les détailler, mais Yalane, Silo, Fag, Vigénum et Jean Paz, qui ont chacune d'ailleurs des prérogatives bien particulières,

il faut vraiment une structure de plus ? Alors ce n'est pas une structure de plus, puisque la DINUM, donc l'agence dont vous parlez, va fusionner... Direction interministérielle du numérique.

La direction interministérielle du numérique, qui est un peu le service informatique de l'État, va fusionner avec la direction de la modernisation de la fonction publique, et va remonter à un échelon supérieur, beaucoup plus régalien, Matignon, donc sous le contrôle du Premier ministre, une fusion avec un double objectif, à la fois moderniser et continuer, c'est essentiel de moderniser l'État, mais en parallèle de monter le niveau de cybersécurité et de protection finalement des systèmes d'information et des données des Français.

Je suis désolée, mais je ne comprends pas bien pourquoi ça va permettre ça, de créer cette structure régalienne au-dessus de toutes les autres ?

Parce que...

Pourquoi ce n'est pas possible de le faire maintenant ?

Pourquoi ce n'est pas possible de mieux utiliser l'argent aujourd'hui ? Alors, on utilise le mieux qu'on peut chaque ministère l'argent, mais justement, la fragilité de notre organisation aujourd'hui, c'est qu'elle est fragmentée. Par exemple, moi je suis...

Est-ce que les structures ne se parlent pas entre elles ?

Eh bien disons que c'est un silo, comme beaucoup d'organisations en France malheureusement, et là, la vocation et la décision qui a été prise par le Premier ministre est justement de casser les silos, et grâce à cette structure, l'autorité nationale pour le numérique, l'IA, au contraire va casser les silos, et de la même manière, de manière homogène et efficace, beaucoup plus simple, beaucoup plus visible, les feuilles de route qui seront transmises à tous les ministères seront les mêmes, et chaque DSI qui sera maintenu évidemment dans chaque ministère aura obligation de monter le niveau de cybersécurité de chaque ministère.

Je reviens aux 200 millions, ça va servir à quoi ? Est-ce que vous allez recruter davantage justement d'informaticiens, de personnels dans ces structures pour renforcer la cybersécurité ?

Alors, 200 millions, c'est une mesure d'urgence, ça ne suffira pas. Aujourd'hui, les budgets consacrés à la cybersécurité, ça peut aller dans certains ministères de 1%, autant dire que c'est très extrêmement faible, jusqu'à des montants qui vont jusqu'à 5%, ce qui n'est également pas énorme. On dit que pour assurer la cybersécurité, je dirais, du quotidien, et de rester dans le niveau minimum exigé, il faut 10% d'un budget informatique pour être à niveau. Donc les 200 millions, c'est une mesure d'urgence. Ça va servir à quoi ? Par exemple, à faire des audits de flash. Avec ces 200 millions, chaque ministère aura la possibilité de mesurer ses vulnérabilités. Ça, c'est une mesure d'urgence.

C'est-à-dire qu'aujourd'hui, les ministères ne connaissent pas leur vulnérabilité ? Le vôtre, par exemple, ne les connaît pas ? Bercy, je dirais, je croise les doigts. Bercy, on a pris les choses à bras-le-corps depuis que je suis là, et notamment sous l'impulsion de Roland Lescure également, et de David Amiel, on a mis une démarche en place avec l'ensemble des directions de Bercy pour appliquer la feuille de route. Et ça passe par deux choses essentielles pour monter la cybersécurité dans toute organisation, qu'elle soit étatique ou privée.

C'est un, sensibiliser les agents, et deux, faire des audits de flash, ce qu'on a commencé à faire pour mesurer les vulnérabilités, parce qu'en fait, les vulnérabilités, ça change. Tous les jours, les cyberattaquants utilisent des nouvelles failles.

Et elles tiennent aussi ces vulnérabilités à notre dépendance, notamment au GAFA, mais ça aussi, c'est le Premier ministre qui l'a dit, il redoute un blackout numérique, si jamais il y a, je ne sais pas, si Microsoft du jour au lendemain coupe le robinet, et il demande à ce que soient réalisés des scénarios de crise, comme des crash-tests. Il se passe quoi si Microsoft coupe le robinet du jour au lendemain ? On n'est clairement pas prêts si ça se passe aujourd'hui ?

Alors, on a en tout cas conscience du risque. Il faut toujours avoir une approche par le risque, c'est exactement ce que nous avons.

Mais si ça se passe aujourd'hui, il se passe quoi ?

Si ça se passe aujourd'hui, c'est extrêmement grave et dangereux pour nos systèmes d'information. Mais je dirais que nous ne serions pas les seules victimes. Les entreprises le seraient, les collectivités locales, les hôpitaux.

Donc bref, c'est une prise de conscience nationale qu'on a prise également à bras le corps, puisque nous sommes en train de réduire nos dépendances au niveau de l'État, par rapport notamment aux opérateurs extraterritoriaux, extra-européens, avec une volonté et une politique très forte de développer des systèmes soit en open source, comme c'est le cas à Bercy avec la Dynum justement, qui va passer sur Linux, mais aussi de mesurer nos dépendances pour les réduire et de pousser nos acteurs français et européens.

Ça fait 20 ans quand même que les gouvernements disent qu'il faut mettre en place une architecture souveraine.

On l'a dit peut-être depuis 20 ans, mais nous, à la différence, c'est qu'on le fait aujourd'hui.

Une dernière chose, j'aimerais quand même qu'on parle du site Coco, c'est très important. Site fermé par la justice il y a deux ans, accusé d'être un repère de pédocriminel. Il est cité dans 23 000 procédures pénales. Qui est de nouveau accessible en France, ce site, ce forum de discussion, sous un autre nom pas très éloigné, Coco Land, même interface, même type de profil ? Comment c'est possible que ce site puisse réapparaître ?

Alors c'est ça, une des caractéristiques, je dirais, des plateformes. Elles ont un temps d'avance sur nous, elles vont rapidement, elles ont de l'argent, elles ont beaucoup d'idées, un esprit créatif qui dépasse évidemment les règles qui sont les nôtres et notre compréhension. C'est l'objectif aujourd'hui aussi, fermeté totale. Nous sommes si fermetés, mais on est démunis pour le moment. Non, on n'est pas démunis puisque le site Coco a été fermé en 2024. C'est exactement la position que nous avons aujourd'hui, Coco Land est sous surveillance, à un moindre comportement illicite mis en danger des enfants, ou des femmes. Ce site sera fermé comme nous l'avons fait en 2024.

Anne Le Hénanf, ministre déléguée chargée de l'intelligence artificielle et du numérique, vous étiez l'invité du 5-7.