PRÉSENTATION DU RAPPORT DE LA MISSION D'INFORMATION SUR LA CYBERDEFENSE

je vous propose de commencer et avant de passer la parole à nos deux co rapporteurs je voulais vous donner l'information puisque nous avons une réunion de bureau de la commission hier j'ai fait j'ai proposé un certain nombre d'auditions suite au aux différents maîtres quand vous avez envoyé donc un certain nombre d'auditions qui auront lieu à partir de septembre ainsi qu'un certain nombre de déplacements donc comme ce programme est validée on va le mettre en forme tout cas au niveau administration pour vous donnera les les dates et sur la proposition g on a retenu l'idée de lancer de nouvelles missions d'information donc là c'est la quatrième qui vient de se clore qui va se clore dhr quelques instants y en a deux qui sont en cours une sur le franco britannique et l'avenir la filière mais ici guère une sur l'évaluation du dispositif thémis qui est la lutte des discriminations dans les armées et je vous propose d'en lancer deux autres à partir du mois de septembre une sur les blessés de guerre un de thématiques et donc pour le groupe la république en marge de la co rapporteur sera à nice à quévert qui est qui va nous rejoindre et une sur la dimension militaire de l'espace où là aussi le co rapporteur pour la république roma sera stéphane trompent-ils qui va nous rejoindre dans le train donc voilà donc j'ai demandé au groupe de nous donner avant le mois de septembre qu on les lance le plus rapidement possible déjà qui est un des groupes d'opposition qui prennent les co rapporteurs pour chacune de ces deux mille cause de cette mission et que chacun des groupes ba soient présents dans ces deux missions qui sont importantes pour les conclusions que nous pourrons en tirer voilà mes chers collègues bon ceci étant dit place à vous deux alexandra bastien pour qu est-ce qui commence pour ce rapport bon et bat alexandra vas-y merci monsieur le président lors avant de commencer je voulais juste vous remercier monsieur le président nous avoir permis justement de pouvoir faire ce rapport dès le début quelque part j'ai les dires de notre mandat et je voulais en profite également pour remercier les deux administrateurs donc benoit et marie-pierre pour le travail et la patience dont ils ont fait preuve à nos côtés voilà demain est-ce qu'une succession logique 2-0 et 2-1 au sein d'un code informatique binaire pour a provoqué autant de dégâts qu'un missile de croisière naval ou qu'un obus tirés d'un canon caesar en rendant inutilisables des équipements et des matériels et des infrastructures militaires est ce qu'un virus aux effets systémiques par la désorganisation massif qui provoquera pour aboutir à la mort d'êtres humains aient compris de civils comme le souligne la revue stratégique de cyber défense publié par le sgdsn il est probable qu'une attaque informatique consiste en des actes de blocage ou de sabotage des systèmes d'informatique aura un jour des conséquences létale ceux qui hier encore pouvait relever de la science-fiction apparaît dorénavant comme une éventualité stratégiques à prendre en considération en termes de doctrine militaire de conduite des opérations et plus globalement d'organisation de la protection et de la résilience de l'ensemble de la société l'intérêt la compétence de notre commission pour le sujet cyber sont évidentes illégitimes les fondements de notre système de cyber défense ont majoritairement était posée dans le cadre des différentes lpm adopté depuis 2009 la lpm 2019 2025 qui devrait être promulguée dans une dizaine de jours ne fait d'ailleurs pas exception un chapitre spécifique qui est consacré avant d'entrer dans le vif du sujet je formulerai de remarques liminaires de méthodologie tout d'abord notre rapport ne prétend pas à l'exhaustivité ce qui pour ce et ce pour plusieurs raisons pardon premièrement le cyber est par nature une réalité globale qui touche pour ainsi dire tous les champs de l'activité sociale il dépasse donc le champ de la compétence d'une seule commission deuxièmement c'est un domaine en perpétuelle évolution son analyse n'est donc pas et ne sera donc jamais achevé ni exhaustive troisièmement la revue stratégique de cyber défense a déjà dressé un panorama très complet de la question et il est évidemment inutile de doubler le travail qui a déjà été effectué dans ce cadre enfin il faut rester conscient du fait que les travaux menés dans ce domaine se heurte rapidement à l'obstacle du secret de la défense nationale en matière cyber comme en matière de renseignements par exemple tout n'est pas divisible et encore moins publiable je vous laisse imaginer la situation lorsqu'un même service cumul compétences en matière de renseignement et en matière cyber si toutes nos questions n'ont pas pu trouver réponse du fait de ce nécessaire secret nos interlocuteurs ont toujours fait preuve de la plus grande ouverture possible et permis d'éclairer nos travaux ils n'ont pas hésité à nous faire part d'éléments certes non couverts par le secret mais non moins sensible est nécessaire à la compréhension du sujet nous ne pouvons évidemment pas en faire état mais nous tenons à souligner l'excellente état d'esprit de nos interlocuteurs est les en remercier la seconde précision méthodologique et que notre rapport n'a pas vocation à constituer le guide de référence du parfait cyber attaques en ou du parfait cyber défenseur nous ne sommes donc pas entrer dans les considérations trop technique puisqu'il n'est pas de notre vocation est que tel n'est pas l'intérêt pardon de ce travail ce rapport était fait au nom de la commission de la défense nationale et des forces armées nous nous sommes attachés plus particulièrement aux problématiques intéressant la défense mais pas exclusivement toutefois puisque le cyber irrigue tous les domaines et brouillent les frontières traditionnelles entre les états les acteurs ayant entre les secteurs la cyber guerre au sens d'un conflit mené exclusivement dans le cyberespace avec l'emploi des seules armes cyber n'est sans doute pas une réalité opérationnelle du moins pas encore mais il n'y sera plus demain mais il n'y aura plus de mains de conflit sans dimension cyber le cyberespace le cyberespace est un espace qui n'est ni en guerre nous en paix mais en état de tension permanente un tel constat exige de ce fait une organisation et une mise en place de politiques et d'action à la fois spécifiques et globales de la part des pouvoirs publics nous n'allons pas abuser de votre patience avec delon rappel sur l'organisation de la cyber défense en france sur l'état de la menace ou sur les dernières cyberattaques massives qui ont lieu un peu partout dans le monde nous allons aborder ces sujets à l'occasion de la lpm et vous trouverez de longs développements consacré à ces différents aspects dans le rapport écrit nous allons simplement revenir sur un certain nombre de points qui nous semblent importants avant nous présenter nos principales observations et recommandations tout d'abord de quoi parle-t-on lorsqu'on évoque la cyber défense le sujet étant assez technique il semble nécessaire de définir quelques notions auprès elle bhl vous trouverez plusieurs définitions en la version écrite du rapport dans le cadre de cette présentation je ne rappellerai que de la cyberdéfense comprend l'ensemble des mesures techniques et non techniques permettant à un état de défendre dans le cyberespace les systèmes d'information jugée essentielle il ne faut pas la confondre comme on le fait souvent avec la cyber sécurité en résumé celle ci elle est à rechercher pour un système d'information lui permettant de résister à des événements issus du cyberespace est susceptible de le compromettre j'en viens maintenant à la définition du cyberespace elle sera un peu plus longue cela peut sembler évident mais un tel rappel est importante le cyberespace est un milieu artificiel créé par l'homme il ne s'agit pas d'un milieu naturel comme les milieux traditionnels c'est aussi un milieu abstrait et globale sans consistance physique il ne connaît ni limites ni réalité ou caractéristiques géographiques physiques il ne connaît pas non plus de frontières politiques ou juridiques qui permettrait d'une part d'en délimiter précisément les contours et d'autre part de le subdiviser pour en rattacher les différentes composantes à chaque état ou à aucun d'entre eux le cyberespace est également un espace mouvant qui est en récréation constante il n'existe pas de carte du cyberespace de ces continents et de ses limites de fait le cyberespace et les conflits qui s'y déroulent sont à repenser en permanence en dépit de ses caractéristiques grâce à elle le cyberespace constitue un nouveau théâtre d'opérations potentielles au même titre cette fois que les espaces traditionnels des acteurs étatiques ou non étatiques qui agissent et l'utilisent pour atteindre des buts politiques en exploitant toutes les possibilités offertes par ce nouveau milieu de ce point de vue le cyberespace ne diffère pas fondamentalement des quatre autres millions d actions qui sont menées ne se distingue pas dans leur nature des actions traditionnellement conduite en particulier par les états l'espionnage sabotage déstabilisation enfin le cyberespace est un espace global qui en 6 superposant et en les englobant contient les espaces traditionnels comment le cyberespace est structurée comme le monde physique il n'est pas homogène il se compose de trois couches distinctes qui font l'objet d'une régulation plus ou moins poussé on trouve d'abord la couche physique en effet même le cyberespace n'est pas totalement abstrait cette couche comprend globalement deux types de matériels d'une part l'ensemble des infrastructures qui permettent l'acheminement et l'échangé des données au sein du cyber-espace y compris les lieux de stockage de l'information il s'agit des serveurs des câbles sous marins ou encore des réseaux de fibres optiques terrestres on y trouve d'autre part les appareils terminaux que nous utilisons quotidiennement ordinateurs téléphones tablettes numériques objets connectés système électronique etc la couche physique du cyberespace peut-être territorialisée juridique forte s'agissant d'éléments physiquement situées sur des espaces donné ces différentes infrastructures et la couche qui les regroupent font l'objet d'une régulation et sont soumises à différents niveaux de législation et de juridiction tant nationale qu'internationale la couche physique et ces éléments peuvent être la cible d'actes malveillants soit via le cyber-espace soit par des moyens tout à fait conventionnelle et classique endommagement altération destruction neutralisation perturbation du fonctionnement etc la deuxième couche du cyberespace et la couche logique elle comprend l'ensemble des programmes qui permettent d'accéder aux différents réseaux du cyberespace de les exploiter d'assurer le transport des données etc il s'agit des différents protocoles langage et autres logiciels mis en oeuvre dans le cyberespace c'est cette couche qui constitue classiquement la cible des menaces cybernétiques car elle est relativement facile d'accès par ailleurs ces éléments représentent par nature des vulnérabilités il peut par exemple s'agir d'une erreur dans le code informatique d'un équipement qui constitue alors une faille à titre d'exemple on estime en moyenne qu'une erreur se présente toutes les 1000 lignes de code pour donner un ordre d'idée du nombre de failles potentielles qui peuvent être d'importance et de gravité très diverses google et l'ensemble des projets associés représenterait 2 milliards de lignes de code facebook plus de 60 millions une frame plusieurs millions de lignes de code dans la couche logique le code constitue à la fois la vulnérabilité est le principal levier d'action précisément pour exploiter les vulnérabilités adverse l'attaquant est alors à la recherche de failles de sécurité susceptible d exploiter les plus valorisées sont les failles dites zero-day il s'agit des vulnérabilités affectant un système inconnus de leurs concepteurs qui n'ont jamais encore été identifié ni répertoriés qui n'ont jamais fait l'objet d'une publication est dont la communauté de la sécurité informatique n'a donc pas connaissance elle confère donc à leurs découvreurs un avantage tactique certains du moins jusqu'à ce qu'une fois dévoilé des correctifs leur soit apportée troisième et dernière couche la couche cognitive il s'agit de la couche du sens et du contenu visible sur les différents sites et pages internet dans les systèmes de messagerie électronique et les réseaux sociaux si les deux premières couches sont des couches techniques la couche cognitive et celle de la valeur sociale et intellectuelle qui constitue le coeur du cyberespace c'est une couche par essence ouverte et globale impossibles à réguler totalement compte tenu de son étendue et de sa nature sans même évoquer le dark web on estime qu'il existe plus de 1,8 milliard de sites internet représentant plus de 4,5 milliards de pages chaque minute 400 heures de vidéo sont téléchargés sur la plateforme youtube 216 millions de photos sont aimés sur facebook et 35 et 350 mille tweets sont publiés sur twitter l'étendue de cette couche en porte un grand nombre de vulnérabilités associées chaque élément pouvant être exploitées transformer détournée par un acte malveillant nous en avons encore eu la preuve à l'occasion de grands rendez vous démocratique récents je pense aux cyber attaques subies par le democratic national committee lors de la campagne présidentielle américaine en 2016 ou à celles qui en cibler le site internet du mouvement en marche lors de la campagne présidentielle française en 2017 c'est sur cette couche que se déploie l'information mais également la désinformation les activités de propagande ou encore les rumeurs et autres cette news si de telles réalités sont anciennes la numérisation et l'interconnexion des sociétés permettent la production et la diffusion des contre vérités à l'échelle industrielle je souhaiterais maintenant précisent présenter les spécificités du milieu cyber comme espace de conflit d'un point de vue de la défense nationale le cyberespace écrasé distance et le temps nous l'avons souligné le cyberespace ne connaît pas de frontières il n'existe pas de cyber espace français dans la violation constituerait une atteinte aussi pour reprendre un terme militaire il n'y a pas de front dans le cyberespace ou alors il s'agit d'un front global de fait l'espace cyber pousse à l'extrême la disjonction entre d'une part la présence physique d'un acteur et le lieu de désenclenche mans de son action et d'autre part les effets de cette action inversement une attaque ciblée a priori peu du fait de l'interconnexion des différents acteurs également touché une victime collatérale tel fut le cas pour la société française saint gobain victime indirecte mais bien réelle d'une cyberattaque celan au péno pays théia qui ciblait l'économie ukrainienne en 2017 le groupe français a ainsi été touché par le biais d'une filiale située dans ce pays là qu'elle utilisait un logiciel de comptabilité dont la mise à jour avait été piégé et qui a servi de canal à la dissémination du virus par ailleurs le cyberespace of une protection naturelle aux as aux auteurs d'actes malveillants un attaquant situé dans un pays donné peut parfaitement désencrée que déclencher son action à partir d'un équipement situé dans un pays tiers voire effectué de multiples robots afin de masquer la véritable origine de l attaque c'est l'une des difficultés à laquelle se heurtent les autorités et services chargés d'attribuer une cyber attaque nous y reviendrons plus tard avec bastien et plus largement dans notre rapport en s'affranchissant de l'une des barrières les plus contraignantes qui soit la distance et donc le temps l'attaquant dispose dans le milieu cyber d'un avantage stratégique non négligeable l'effet de surprise le temps est un autre facteur classique déterminant dans les espaces traditionnels de conflit là encore le sys bel espace en distingue puisque la dimension temporelle devient secondaire une cyber attaque peut présenter un caractère foudroyant en une seule commande en un clic de souris un attaquant peut obtenir de manière quasi instantanée l'effet recherché corruption d'un système défiguration blocage ou encore déni de service toutefois si la transmission des ordres informatique se caractérise par sa rapidité extrême l'action cybernétique peut également favoriser le temps long certaines formes de corruption de systèmes notamment les bombes logiques peuvent en réalité être présents dans ces systèmes pendant de longues périodes avant d'être désenclenché où se déclencher de manière automatique par ailleurs les attaques informatiques nécessite une phase de préparation parfois longues afin d'analyser la cible de la manière la plus fine possible après le désenclenche mans de la tacler phase d' intrusion au sein d'un système puis d'exploitation de celui ci peuvent également nécessiter du temps surtout de cils architecture du site visé est complexe à titre d'exemple la cyberattaque qui a affecté tv5 monde s'est déroulée sur près de trois mois entre l'intrusion dans les réseaux de la chaîne et la production des effets de l' attaque enfin l'attaquant ne cherche pas systématiquement à conférer une publicité de son acte car l'efficacité de certaines atteintes repose au contraire sur la sur le caractère indétectable de celle ci on pense notamment aux voiles des données le cyber espace fermé par ailleurs un certain nivellement des rapports de force cela tient d'abord de la relative facilité d'accès aux technologies cyber alors qu'il est assez malaisé de se procurer des armes classiques compte tenu de l'existence de régimes de régulation et d'interdictions l'accès au potentiel âmes cyber et relativement ouvert par ailleurs même russie qu un programme malveillant répliqué des centaines des milliers de fois peut produire des conséquences massive soulignons enfin la disproportion entre la taille d'une arme cyber et ses effets on estime ainsi que le virus stuxnet qui a infecté fond le fonctionnement de certains sites nucléaires iraniens en 2010 faisait entre 500 ko et un méga octet selon les versions ce qui est l'équivalent d'une simple photographie numérique de qualité raisonnable en second lieu ce nivellement est la conséquence d'une imbrication entre les milieux civils et militaires qui brouille la ligne de partage traditionnel des conflits dans le cyberespace le rapport entre cibles civiles et militaires s'inverse puisque les premiers représentants la norme elles sont du reste comparativement moins bien protégés que les seconds et constitue à cet égard des cibles de choix pour les attaquants or même ciblé sur des éléments exclusivement civiles des attaques peuvent être en danger peuvent mettre en danger par dont le fonctionnement normal d'une société voir le survie de la nation le cyberespace génère donc une confusion entre les sphères et civils et militaires à rebours de la consistera t j traditionnels et des régimes juridiques applicables au conflit en effet ceux ci repose sur une distinction claire même s'il n'est pas toujours respectée en pratique entre ces deux chambres troisième spécificité l'attribution d'une cyberattaque est très complexe pour faire usage de la force de manière légitime adaptée et proportionnée à l'égard d'un agresseur il convient de l'avoir préalablement identifiés et d'être en mesure de lui imputer de manière certaine l'acte qui justifie l'action exercée en retour or dans le cyberespace l'attribution s'avère particulièrement difficile ce qui compte singulièrement les capacités de réponse à une cyberattaque plusieurs régions l'expliquent les actions malveillantes mener dans ce milieu font très rarement voire jamais l'objet d'une revendication par ailleurs l'attaquant originel s'il peut être identifiée n'est pas nécessairement le commanditaire de l'action on l'a dit rares sont les attaques directes déclenchée à partir d'un point à pour affecter immédiatement et sans détour un point b les cyberattaques ans s'efforce de faire rebondir leur attaque de serveurs en serveurs et de pays en pays afin de masquer leurs traces au delà des victimes expressivement simuler une cyberattaque peut également affecter des victimes collatérales que l'attaquant ne cherchez pas spécifiquement à atteindre le cyberespace offre à ses acteurs un degré d'anonymat sans équivalent et remonter la chaîne d'anonymisation représente un défi majeur c'est d'autant plus vrai s'agissant des entités groupes ou individus qui agissent non pas sur les réseaux ouverts mais sur le dark web les effets de certaines attaques peuvent se déclencher longtemps après la pénétration effective du système il convient toutefois de souligner un aspect essentiel au delà des aspects purement techniques la décision d'attribuer une cyberattaque relève en dernière analyse d'une appréciation et ding tu es donc d'une décision de nature politique plutôt que sur des certitudes absolues et des preuves irréfutables une telle décision s'appuie sur un niveau suffisamment bas d'incertitude sur un faisceau d'indicés à la lumière desquelles l'autorité politique prend la responsabilité d'attribuer un acte contrairement à d'autres pays les états-unis le royaume-uni par exemple la france n'attribue jamais officiellement les cyber attaques qui pourraient la cible et comme l'affirmé napoléon de manière particulièrement imagé mais très pertinente en guerre comme en amour pour en finir il faut se voir de très près or le cyberespace empêche précisément de voir distinctement son adversaire l'anonymat n'y ait pas absolue et toute action numérique peut finir par être tracé mais les délais nécessaires pour lever cet anonymat et obtenir la parfaite traçabilité d'une action peuvent s'avérer incompatibles avec la conduite d'une action de représailles s'étalant sur plusieurs mois voire sur plusieurs années une conséquence majeure de cette difficulté d'attribution et de rendre partiellement inopérants les mécanismes de défense collective existants l'article 51 de la charte des nations unies l'article 5 du traité de l'atlantique-nord l'article 42 tirs et 7 du traité sur l'union européenne vous trouverez dans le rapport écrit des développements à ce sujet nous ne reviendrons pas sur les mesures qui ont déjà été prises en matière de cyberdéfense ces dernières années là aussi vous trouverez tous les éléments nécessaires dans le rapport publié nous allons maintenant vous faire part de nos principales réflexions que nous avons choisi debreu près de présenter au tour de d'une grande recommandations de principe et de six grands thèmes nous les exposons toute modestie compte tenu du caractère global est extrêmement mouvant de la question notre recommandation de principe et l'élaboration d'une loi cyber à l'image de la loi informatique et liberté de 1978 ou encore de loi bioéthique en effet le caractère global de la question cyber justifie d'une part une analyse approfondie et complète du sujet à des scènes à l'échelle de notre pays et d'autre part la mise en place d'un cadre global et adapté au delà des dispositions qui étaient été élaborée jusqu alors et qui ne concerne qu'un nombre réduit d'acteurs très spécifique à l'image des olives et une telle loi permettrait d'établir à l'échelle nationale une cartographie précise des vulnérabilités et des besoins d'évaluer les ressources financières matérielles et techniques nécessaires et de déterminer les politiques à mettre en oeuvre qu'il s'agisse de politique industrielle de recherche ou encore d' adaptation du cadre juridique comme les lois bioéthiques cette loi cyber pourrait faire l'objet d'un suivi et de mises à jour régulières un comité consultatif national du cyber non permanents pourraient être créés il serait chargé des travaux préparatoires à la révision de la loi cyber à l'issue du processus de révision le suivi du texte pourrait être assurée par des structures existantes comme par exemple l'ansi j'en viens maintenant à la première série de recommandations qui visent à nous permettre de recouvrer notre souveraineté numérique certaines rejoignent les observations qu'ont pu faire nos collègues belge aegas il ou à l'occasion de leur rapport sur la numérisation des armées nous pensons avant tout nécessaire de créer des espaces de stockage souverain qui permettrait de rapatrier et de stocker nos données sur des territoires sous juridiction nationale ou européenne car les données stockées à l'étranger ne bénéficie d'aucune garantie quant à leur sécurité par ailleurs certains états prétendent à l'application extraterritoriale de leurs législations c'est le cas du droit américain ainsi des données stockées hors des états unis mais sur des serveurs appartenant à des sociétés américaines ne peuvent pas être considérés comme totalement sécurisé il convient donc de développer des espaces de stockage à distance en cloud ou déstockées centre de stockage en dur nous sommes bien conscients que le cloud souverain ne constitue pas l'alpha et l'oméga de la sécurisation des données il reste toutefois un levier puissant à ne pas négliger pour peu que l'on tire des leçons des échecs du passé dans ce domaine l'utilisation de ces solutions souveraine pourrait être rendu obligatoire pour certains acteurs personnes publiques au iv entreprise de la vérité d un travail préalable de classification des données dont une partie seulement a vocation à être stockés dans un espace souverain devra impérativement être effectué en amont cette évaluation de la nature des données et du niveau de protection requis est le gage de l'efficacité et au final de la viabilité des solutions qui seront proposées ces solutions souveraine serait aussi ouverte aux autres acteurs qui pourraient se voir délivrer un certificat par l'ansi qui attesterait du degré de sécurisation de leurs données un tel certificat pourrait même constituer un critère de valorisation des offres dans le cadre de l'attribution de marchés publics sous réserve bien évidemment du respect de la réglementation européenne applicable et du code des marchés publics sans se fondre dans un cloud transnationale des solutions nationales adoptées par la france et d'autres pays de l'union européenne devront ouvrir la voie à un second niveau de stockage souverain à l'échelle européenne celui-ci assurera un haut degré de protection aux données éligibles qu'il conviendra de définir au delà de la question du stockage il est également nécessaire de disposer d'une certaine maîtrise de l'ensemble de l'écosystème numérique cela passe notamment par l'existence de solutions techniques alternatives nationale et européenne dans le domaine des logiciels et des composants y con grand public moteur de recherche système d'exploitation logiciels de bureautique car à l'heure actuelle ces secteurs restent dominés par des monopoles ou quasi monopole non européens qui sont soit américains soient chinois de telle solution permettrait de réduire notre exposition aux risques numériques en effet certains logiciels et composants peuvent parfaitement être piégé à la source intentionnellement ou non est constitué des black door ou porte dérobée qui sont autant de vulnérabilités potentielles par ailleurs ces outils participerez au renforcement de la souveraineté industrielle européenne voire national à cet égard à côté de l'europe du cloud l'europe du logiciel pourrait constituer un projet concret et fédérateur deuxième thème le renforcement de la résilience de l'ensemble des acteurs si certaines administrations sont particulièrement consciente des enjeux et des risques par nécessité comme par culture tel n'est pas forcément le cas de toutes hors amm attaquant ciblera plus volontiers les maillons les plus faibles d'une chaîne si cela lui permet d'atteindre par répercussion des prix fort c'est pourquoi ils sont indispensables de petites endurcir les dispositifs de prévention et de protection de l'ensemble des autorités publiques national mais également de diffuser plus largement une culture et une conscience du risque cyber au sein des administrations par des actions de formation de pédagogie et de prévention le même constat et les mêmes conclusions s'imposent s'agissant des collectivités territoriales cela vaut notamment pour les collectivités les moins importantes un premier travail pourraient être menées avec les actions représentatives régions de france assemblée des départements de france association des maires de france l'association des petites villes de france les acteurs économiques en particulier les pme et les deux pays doivent également être mieux accompagnés cela passe d'abord par une évolution des mentalités la protection contre le risque si berne ne doit pas être vue uniquement comme une contrainte et une charge financière en réalité elles contribuent à la performance économique globale elle doit être considérée comme un investissement et une assurance qui permettent notamment de prévenir le risque de réputation en cas d' attaques réussies le degré de cyber protection constitue en définitive un avantage compétitif pour une entreprise sur son marché national comme à l'export une telle prise de conscience est d'autant plus importante que lusine 4.0 intégrera massivement les technologies numériques dans ses processus de fabrication et sera par nature à risque afin de répondre à un certain nombre de ces enjeux notamment sandy s'agissant des petites collectivités des pme nous pensons que le réseau régional de l'ansea devrait être renforcée actuellement un délégué de l'ansea doit être présent dans chacune des 13 régions métropolitaines cela semble insuffisant au regard des enjeux par ailleurs ce réseau n'existe que dans l'hexagone aucun délégué nous représente lentilles dans les outre mer il serait nécessaire pour nous à terme d'y remédier enfin les citoyens eux mêmes doivent évidemment prendre davantage conscience du risque cyber chacun à son niveau doit être acteur de sa propre cyber sécurité et participer ainsi à la résilience global c'est pourquoi il importe des veillées tous les citoyens à la cyber hygiène nous suggérons plusieurs pistes de réflexion dans ce domaine dans notre rapport nous préconisons ainsi la création d'une nouvelle filière menant à l'obtention d'un capes d'enseignement numérique dont les titulaires formeraient les élèves par le biais d'enseignement spécifique cet enseignement à part entière comprendrez outre celui de la matière informatique un éveil à la cyber hygiène ainsi que l'enseignement des langages informatiques et de la programmation au delà de son bien-fondé intrinsèque cet enseignement or l avantage de développer des compétences transverses dont par exemple la capacité d' analyse la logique et la résolution de problèmes il permettrait également de démystifier la matière est d'attirer plus de filles vers les métiers du numérique qui demeure aujourd'hui majoritairement masculin des initiatives sont également envisageables à destination des citoyens consommateurs et utilisateurs de technologies alors que les enfants disposent de leur premier téléphone mobile à l'âge de 11 ans en moyenne nous pensons que l'emballage et la notice d'utilisation de chaque produit technologique et numériques grand public devrait être complétée par une liste des principaux risques et mises en garde associés à leur usage notre troisième série de recommandations visent à consolider une base industrielle et technologique de cyber défense un car le cyber lyrique évidemment le champ de la conception de la production et de la maintenance des systèmes d'armes et équipements qui ont vocation à être opérés par les armées cet aspect doit être pris en compte nativement dans les programmes d'armement à plus forte raison dans le contexte de la numérisation croissante de l'environnement et des combats en effet comme l'ont rappelé nos collègues belges des gasy où la numérisation des armes et accroît mécaniquement leur surface d'exposition aux risques cyber nous estimons tout d'abord essentiel d'inciter à la cyber solidarit c'est au sein de l'abbaye td celle ci doit se matérialiser par un soutien plus prononcée des grands groupes alors chaîne de sous traitants il peut prendre la forme d'actions de sensibilisation mais également d'un soutien technique et financier pour assurer la montée en gamme de l'ensemble de la chaîne de l'abbaye td des négociations est d accord pourrait être conclu avec les groupements industriels l'état aurait un rôle moteur voit qu on voir contraignant à jouer dans les groupes et entreprises au sein desquels il détient des participations parfois majoritaires une manière plus contraignant de développer cette solidarité consisterait à établir la responsabilité du donneur d'ordres sur l'ensemble de sa chaîne de sous traitants matière cyber s'agissant du financement de cette montée en gamme des sous traitants nous suggérons la constitution d'un fonds 6 heures il pourrait être alimenté par les contributions des acteurs de l'abbaye t d mais également par une partie des recettes tirées des exportations d'armements réalisés par l'industrie française un taux de retour pourrait ainsi être déterminé chaque année en fonction des recettes réalisées l'année précédente il convient également d'établir et de mettre à jour régulièrement une cartographie fine des entreprises et compétences critiques au sein de l'abbaye td cela permettrait d'une part de les sécuriser de manière satisfaisante au niveau technologique et d'autre part de les sécuriser économiquement en les empêchant si nécessaire d'être pris part en empêchant si nécessaire les prises de participations par des capitaux étrangers il convient donc de faire un usage raisonné mais assumé des dispositions prévues par le décret de 2014 relatifs aux investissements étrangers soumis à autorisation préalable au delà de la seule baie itd il pourrait même être envisagé de renforcer ce dispositif s'agissant de certaines entreprises du secteur de la sécurité des systèmes d'information naturellement il est nécessaire de continuer à soutenir et investir dans l'élaboration de solutions tant défensive qu'offensive pour les premières il faut notamment maintenir l'effort dans les domaines de la cryptographie et du chiffrement c'est essentiel au regard des ruptures technologiques à venir nous pensons en particulier aux calculs quantiques et au développement de l'intelligence artificielle qui accéléreront et faciliteront les opérations de déchiffrement quant aux seconds elles sont indispensables à plus d'un titre le cyberespace est un espace de confrontation nos armées doivent être capables d'y mener des actions comme dans les milieux traditionnels par ailleurs la détention de capacité offensive produit un effet dissuasif à l'encontre de ceux qui chercheraient à agir contre la france ses citoyens et ses intérêts enfin les connaissances acquises à l'occasion du développement des solutions offensives permettent parallèlement d'améliorer les posture défensive sans que cela soit contradictoire avec ce qui précède nous proposons d'améliorer la régulation de certains produits pour limiter la prolifération des technologies offensive les contrer les risques cyber systémique cela suppose d'abord de mieux connaître les potentiels armes numérique une analyse fine et régulièrement mise à jour devrait permettre de déterminer les produits et technologies qu'il faudrait soumettre au régime encadrant les exportations ou transferts d'armements et de biens à double usage un autre levier de régulation consisterait à envisager sur le modèle applicable à certains matériels de guerre la prohibition de l'emploi et de la fabrication et du commerce de certains produits et logiciels seraient concernés ceux qui seraient considérés comme les plus dangereux notamment ce qui pourrait engendrer des risques et des dommages systémique nous sommes conscients de la difficulté technique et juridique d'une telle initiative néanmoins une analyse de la faisabilité d'une telle interdiction qui viserait les armes informatica effet massif pourrait utilement être entreprise en concertation avec nos partenaires européens et internationaux notre quatrième champ de préconisations visent à ajuster la ressource humaine cyber compte tenu des besoins actuels et prévisible le cyber est un domaine du val en pleine expansion et qui intéressent à la fois le secteur civil et le monde militaire le marché de l'emploi cyber est aujourd'hui extrêmement tendue ce qui nécessite la mise en oeuvre d'actions résolus afin de renforcer d'attirer et de fidéliser la ressource humaine cyber notamment au sein des autorités publiques qui en dépendent la première mesure consiste à faire connaître des différents métiers formations du cyber d'après les informations qui nous ont été communiqués le taux de remplissage des filières faisant l'objet d'un suivi n'est que de 76 % alors que les débouchés professionnels sont pour ainsi dire garantie des actions de communication ambitieuse pourrait donc être entreprises au niveau des établissements de l'enseignement secondaire dès le lycée est supérieur une autre mesure et l'augmentation du nombre de places offertes dans les formations cyber les dernières études publiées estime ainsi que notre pays accuse un déficit de 6000 postes dans ce domaine nous jugeons également nécessaire de renforcer les moyens humains et budgétaires de l'ansea au delà de la question de son réseau territorial précédemment évoqué il est vrai que l'anzhi a déjà bénéficié d' effort substantiel et du nom et dans un contexte de réduction tendancielle de la dépense et du nombre d'agents publics toutefois il est évident que des besoins vont se renforcer à l'avenir et qu'il convient donc d'anticiper cette évolution il est intéressant de noter que l' agence allemande équivalent de l'ansea le bs y procède près de 55 % de personnel en plus avec 850 agents environ de cette différence est sans rapport avec les écarts objectif de population la structure institutionnelle la réalité socio économiques des deux pays ou encore le niveau de menaces cyber à laquelle nos deux pays sont confrontés idéalement l'ansi devrait disposer des moyens humains aussi équivalents à ceux du bci cela permettrait de renforcer les capacités de réponse face à une crise majeure d'accompagner efficacement l'ensemble des acteurs de mener l'ensemble de ses missions sur un spectre qui aura été élargi par la lpm 2019 2025 et de constituer l'un des acteurs de premier plan au niveau européen et international au delà de la seule question quantitative les autorités publiques doivent adapter leurs méthodes de gestion des ressources humaines afin de fidéliser les personnages de cyber toutes les personnes auditionnées l'ont souligné si l'état n'a n'éprouvent pas de difficultés particulières à recruter et continue d'attirer les talents il lui est moins facile de les fidéliser notamment au regard des niveaux de rémunérations offertes par le secteur public l'état ne sera probablement jamais en mesure de concurrencer les grandes entreprises en ce domaine mais il peut s'efforcer d'offrir des perspectives de carrière plus nombreuses et plus variés cela passe notamment par le fait de favoriser les passerelles entre les différents services concernés un tel rapprochement serait bénéfique au personnel en favorisant la mobilité et les perspectives de carrière et aux services eux-mêmes en facilitant les échanges la diffusion d'une culture et de bonnes pratiques communes la proximité opérationnelle la mutualisation des outils et des équipements à cet égard nous pensons qu'une politique intégrée pourrait être mise en oeuvre en matière de ressources humaines et de formation entre les différents acteurs de la chaîne cyber nous préconisons ainsi d'étudier la création d'une école de cyberdéfense elle rassemblerait les capacités de formation et d'entraînement pour l'ensemble des métiers cyber et pour l'ensemble des services et ministères concernés au premier chef voir pour l'ensemble des administrations gouvernementales cette école permettrait le développement d'une culture partagée et favoriserait par la suite les passerelles entre les différentes institutions contribuant ainsi à la fidélisation des personnels il faut souligner que le royaume uni s'est récemment engagé dans une voie similaire avec sa défense cyber school enfin notre pays doit jouer un rôle moteur pour assurer les conditions de la cyber sécurité collective au niveau international la france doit développer son influence normative à l'international afin de promouvoir son modèle et ses valeurs et ainsi proposer des alternatives à des positions qu'elle ne partagerait pas on peut penser au concept américain de légitime défense préventive totalement étranger à la pensée française on peut également évoquer le concept de hack bac celui ci consiste à reconnaître à un acteur privé victime d'une cyber-attaque le droit de se faire justice lui même et de mener en représailles des actions cyber offensive or une telle reconnaissance pourrait prospérer si l'on n'y prend pas garde au risque de déstabiliser encore davantage le cyberespace sans parler du fait qu elle contreviendrait au monopole de l'exercice de la violence légitime par les états naturellement il est important que la france continue de travailler dans les instances internationales à l'émergence d'un corpus juridique partager en effet le meilleur rap rempart contre les cyber attaques les plus massives reste la construction d'un environnement juridique accepté par tous les acteurs du jeu international et qui s'accorderait sur le non recours à certaines pratiques enfin il faut continuer de promouvoir la coopération internationale en matière cyber à cet égard il semble nécessaire d'envisager la cyberdéfense 2 manière qu'a été envisagé le contre-terrorisme à savoir par le partage des données et de l'analyse des menaces cela passe par la conclusion ou l'approfondissement d'alliance pour partager en temps réel ou quasi réel les caractéristiques des principales attaques dans le domaine cyber comme dans les autres la coopération doit être conduite de manière lucide sans naïveté mais face à un phénomène global la coopération entre états n'est pas une option c'est une nécessité le cyber transcende les secteurs et les frontières spatiales nous sommes là francs preuve également qu'il transcende les frontières politiques puisqu'une rapporteur de la république en marche un rapporteur de la france insoumise ont réussi à élaborer un rapport consensuel tant au niveau des constats que des préconisations telles sont les lignes directrices qui ressort de nos travaux et nous vous en remercions

[Applaudissements]