« En matière de cyberattaques, les communes valaisannes sont très exposées ». Le ministre valaisan des institutions et de la sécurité, Frédéric Favre, ne faisait pas mystère, fin décembre des menaces qui pèsent aujourd’hui sur les entités publiques. En Valais comme ailleurs, les Communes restent les grandes oubliées de la lutte pour la cybersécurité. Il y a eu Rolle, Montreux, Bülach, victimes de cyberpirates, mais plus largement aujourd’hui, toutes les Communes sont dans le viseur. D’où cette question : n’est-il pas temps de mutualiser les moyens de lutte ? Et le fédéralisme n’est-il pas un frein, dans la lutte contre la cybercriminalité ?

Un danger permanent

Imaginez que vous ayez des dettes, que vous soyez tombé à l’aide sociale ou votre enfant ait dû recourir aux services socio-pédagogiques. Souhaiteriez-vous que cela devienne public ? que ces informations soient diffusées sur le darknet ? que votre vie privée fasse l’objet des conversations à l’épicerie de votre village ?

On le sait, le vol des données lors de cyberattaques peut porter gravement atteinte à la réputation de certaines personnes et détruire durablement la confiance entre population et l’administration.

La Confédération a publié un guide, à l’attention des communes, dans le cadre de sa «Stratégie nationale de protection de la Suisse contre les cyber risques 2018–2022». Le document donne des recommandations concrètes sur la manière de se protéger de la cybercriminalité, le principe de base étant que l’attaquant a toujours l’avantage. Être conscient des dangers est déjà le début de la solution, car les méthodes des cybercriminels sont désormais bien connues. Les pirates, dans la plupart des cas, incitent un employé communal à ouvrir une pièce jointe à un courriel, à cliquer sur un lien, à indiquer des données personnelles, telles que mots de passe, ou à effectuer un versement.

Que ce soit par le Rançongiciel, ces logiciels malveillants qui sont envoyés en grand nombre, souvent par courriel, par les Chevaux de Troie e-Banking, ces programmes permettant aux pirates d’avoir accès aux comptes e-Banking ou par l’hameçonnage, les modes opératoires des criminels du net se sont professionnalisés et sont aujourd’hui très au point.

Comment se protéger ?

La Confédération recommande aux Communes de nommer, au sein de leur administration un ou une responsable des différentes tâches concernant la sécurité des systèmes informatiques. Une bonne stratégie contre les cyberattaques commence avant tout par des processus bien définis à l’avance et bien rodés. Il est également impératif de faire un inventaire complet des données sensibles à protéger en priorité. La sensibilisation du personnel aux questions de cybersécurité est tout aussi central. Enfin, il est conseillé de procéder à des mises à jour de sécurité. Un vieux logiciel est une porte d’entrée prisée par les logiciels malveillants.

Comment rendre ces coûts acceptables : Mutualiser les moyens

Les conseils par le guide fédéral sont précieux mais, en matière de lutte contre la cybercriminalité comme en toute chose, la Suisse privilégie le fédéralisme. En clair, les cantons et les communes doivent se charger d’assurer leur propre sécurité. On peut se demander si l’ampleur de la menace ne nécessite pas un pilotage différent, un pilotage d’en-haut.

Après tout la Confédération et les cantons investissent des moyens considérables pour assurer la sécurité et l’intégrité physique de la population. Pourquoi n’en feraient-ils pas autant pour leur sécurité numérique, qui est aujourd’hui un enjeu majeur ?

Est-ce que toutes les communes de ce pays ont les moyens d’employer des professionnels de la sécurité ?

En attendant, la première étape pourrait être une mutualisation des moyens du côté des petites communes surtout. Il en va des collectivités publiques comme des PME : les plus grandes s’en sortent et peuvent se payer des équipes de sécurité internes. Pour les plus petites en revanche, les dépenses sont difficiles à assumer, et ce sont elles qui aujourd’hui, courent les plus grands risques. D’où la nécessité de mutualiser les moyens, pour permettre une véritable évaluation en matière de sécurité, étape indispensable avant toute décision d’investissement.

Le groupe Elca, très actif dans la lutte contre la cybercriminalité, a mis au point une méthodologie spécialement destiné aux petites organisations. Celle-ci permet d’établir en quelques heures une évaluation de l’état de défense par des professionnels. Une sorte d’état des lieux.

Il est temps que la Suisse engage tous les moyens pour tenter de mettre fin au Far West numérique. Ceci passe par une collaboration plus étroite entre les institutions publiques et l’économie privée, qui ne cesse de se réinventer et d’innover dans les techniques de défense.

La réputation de la Suisse s’est faite autour de produits d’excellence, comme les montres, les fromages ou les couteaux d’officiers. Il en est un qu’il est urgent de mettre en avant, celui de la fiabilité numérique. De la même manière que les banques ont acquis, depuis le 19-ème siècle, la confiance des nations, la Suisse doit devenir un coffre-fort numérique, de dimension mondiale.

En bonne compagnie

Nous sommes en bonne compagnie pour partager cette conviction. Le président de Microsoft, Brad Smith, plaide depuis des années pour une «Convention numérique de Genève», un texte fondateur qui se baserait sur le modèle des Conventions de Genève de 1949, pour réguler les technologies liées à Internet. Il a contribué à créer, en 2019, le «CyberPeace Institute», où il siège aux côtés notamment de Martin Vetterli, président de l’EPFL ou de Khoo Boon Hui, ancien président d’Interpol. Le «Cyberpeace Institute» aujourd’hui déjà aide les ONG, basées à Genève, à améliorer leur sécurité numérique. Cette ONG se base sur un réseau d’entreprises et d’experts. Logiquement, Elca en fait partie et met à disposition des spécialistes pour intervenir sur demande afin d’améliorer la résilience numérique de la Genève internationale.

Invité récemment par la CCIG, la Chambre de commerce et d’industrie genevoise, Brad Smith, a lancé à nouveau un appel devant des PME, pour que Genève contribue à augmenter les standards de sécurité de l’ère numérique. La ville internationale abrite toutes les grandes organisations onusiennes et des centaines d’organisations non-gouvernementales. Elle doit et devenir la capitale mondiale de la cybersécurité. Si elle ne le fait pas, les institutions internationales risquent de partir vers des lieux plus sécurisés. Le défi est à relever et il est à notre portée.

Pourquoi est-ce primordial

La Suisse a des atouts à faire valoir pour prendre la tête du domaine de la cybersécurité mondiale: sa neutralité, sa stabilité politique et sa sécurité juridique. Il s’agit aujourd’hui de ne pas rater le tournant du numérique. En effet, si la confédération a offert un havre de paix physique durant le 20ème siècle, le 21ème, numérique, nous met en face de nouveaux challenges qu’il s’agit de ne pas manquer.

De plus, le Swiss made est apprécié en matière de sécurité, nous avons pu en juger il y a quelques semaines, lors du Forum International de la cybersécurité de Lille. Il s’agit de l’un des plus grands rassemblements en Europe, qui s’est tenu début juin, en présence de dizaines de milliers de visiteurs sur trois jours. Dans un contexte d’explosion des menaces cyber, tous les acteurs clés du domaine étaient à Lille et «Présence Suisse» y avait un Pavillon, qui accueillait huit sociétés suisses et start-up, dont ELCA.

Première constatation qui nous a tous frappés: La place suisse jouit grande confiance, supérieure à celle placée dans les plateformes américaines et même européennes. La Suisse représente un havre de paix et sa stabilité politique est un atout aussi dans le domaine numérique.

Et les coûts, me direz-vous?

Pour les prestations de consulting et les coûts des services, la Suisse est certes plus chère que la plupart des autres pays, sauf peut-être l’Angleterre. Cependant, il faut savoir que dans le domaine de la cybersécurité, les tarifs ne sont pas seuls décisifs et que les sociétés sont enclines à mettre en jeu des montants élevés, pour assurer une sécurité numérique, souvent décisive pour leur avenir. Les entreprises se rendent compte également du coût de la non-sécurité.

C’est surtout la qualité et l’indépendance des services suisses qui peut faire différence. Ce bien là est difficilement quantifiable et il s’agit d’exploiter ce trésor que nous possédons. D’autant qu’en matière de cybersécurité, à l’exception des aspects cloud, le lieu physique où se situent les sociétés n’a que peu d’importance. ELCA, depuis la Suisse contrôle la sécurité des infrastructures de ses clients dans le monde entier, grâce à son service managé de sécurité «Senthorus», société suisse, issue d’un partenariat avec le leader de la cyberdefense Bluevoyant. L’objectif est de combler le manque d’une police du numérique, en complément des institutions publiques déjà bien chargées.

Le temps file est il est plus que jamais nécessaire de pousser les réflexions autour des infrastructures souveraines de confiance dont notre pays, tout comme la Genève internationale a besoin. Si nous manquons ce tournant, d’autres pays le feront pour nous.

La cybermenace est en train de changer de visage, à un rythme accéléré. Aux crimes crapuleux et demandes de rançon de ces dernières années, s’ajoutent, de plus en plus souvent, des opérations à buts politiques contre des personnes ou des états. Deux événements récents l’illustrent.

En janvier, le CICR, a été victime d’un piratage massif, sans demande de rançon, selon les annonces officielles. Rien d’étonnant à cela, au vu de la nature des données volées, qui pourraient bien être récupérées par une organisation étatique malintentionnée, pour lancer des actions à l’encontre de personnes ou de groupes de personnes.

L’Ukraine, de son côté, subit depuis quelques jours une attaque militaire conventionnelle, précédée par des années d’actions dans le cyberespace. Voilà bien là, l’un des nouveaux visages de la guerre en ce 21ème siècle. Ces attaques interpellent tous les citoyens, y compris en Suisse. Serions-nous prêts, si des infrastructures vitales pour le fonctionnement de notre pays étaient visées par un sabotage informatique? Ces derniers mois des régies, des administrations publiques, des commerces, des communes ont été piratés. Et si c’était, par exemple, notre approvisionnement en énergie ou notre système de transactions bancaires?

Le scénario du pire en Ukraine

L’Ukraine apparaît comme un véritable laboratoire à ciel ouvert pour les opérations cyber, au point que l’OTAN a affirmé une première forme de coopération avec elle en ce domaine. Les attaques que Kiev a subies, au cours de ces dernières années, ne se comptent plus. Tous les domaines stratégiques du pays ont été touchés, comme en 2015, lorsque la centrale électrique d’Ivano-Frankivsk avait privé une partie de la région d’électricité en plein mois de décembre.  Ou à la mi-janvier de cette année, lorsque des sites web et plusieurs agences gouvernementales ont été bloqués.

Des dizaines, voire des centaines de milliers d’attaques sont détectées chaque jour dans le monde. Toutes n’ont pas la même gravité ou les mêmes conséquences mais les cyberattaques et les désinformations sont bien les armes de la déstabilisation, en complément ou préparation à des attaques plus conventionnelles.

Nous sommes tous concernés

Il y deux sortes d’attaques informatiques:

• celles qui visent le vol de données, qui peuvent toucher toutes les entreprises, organismes publics ou particuliers
• celles qui visent à paralyser les services essentiels d’une entreprise ou d’un État, ce que l’on appelle la cybercoercition. Lorsque les tensions augmentent entre pays, ce sont ces infrastructures critiques, centres de distribution de services, d’énergie, banques, bourses, notamment, qui sont désormais ciblées par les cyberattaques. Pour contrer ce type d’infiltrations, il faut mettre en place une défense à la hauteur de l’intérêt stratégique des infrastructures et les anti-virus ne suffisent plus. Il faut être capable de détecter à temps des attaques furtives et complexes mais surtout de pouvoir y répondre, de remettre en état l’infrastructure affectée et possiblement de contre-attaquer.

Est-on prêts en Suisse?

La réponse est non. Il y a encore une grande naïveté dans notre approche, en ce domaine. Imaginons, le piratage informatique d’un service industriel, responsable de la distribution électrique de tout un canton. Des centrales électriques, des barrages, des éoliennes, voire des centrales nucléaires, pourraient être paralysés. Ce scénario est -il possible? Oui. La bonne question à poser désormais est la suivante: quels sont les moyens dont la Suisse veut se doter pour arriver à une protection adéquate?

Notre pays a finalement pris conscience de ce type de danger et des mesures de protection à prendre. La Commission de la politique de la sécurité du Conseil national s’est prononcé, il y a peu, en faveur de la mise en place d’un cloud souverain suisse. Un tel service servira comme une sorte de zone protégée afin d’y stocker des données sensibles et d’y faire fonctionner des services nécessitant un haut degré de protection. Le tout mis en place en collaboration publique-privée mais surtout sous la seule juridiction suisse.

Il est important aussi que la Suisse se dote d’une réelle capacité intégrée de cyberdéfense. Ce qui se met en place au niveau de la confédération est une première étape mais ne protégera pas notre économie ni les particuliers. Il faut pour ceci accélérer la mise en place d’un écosystème industriel de cyberdéfense. Ce réseau local d’entreprises spécialisées permettra de mieux détecter les attaques et surtout d’y répondre avec une réelle capacité d’intervention.

Dans le monde physique, le rôle et l’efficacité de l’armée, de la police et des entreprises de sécurité privées ont été démontrés. Il manque aujourd’hui ce même type de réseau dans le monde virtuel. Il est temps de passer à la vitesse supérieure afin d’assurer la survie numérique de nos infrastructures.

Plus personne n’est à l’abri! Qu’on se le dise. Le phénomène des cyberattaques a pris une ampleur telle que plus personne ne peut parier qu’il ne verra un jour ses données personnelles, bancaires ou médicales, jetées en pâture sur la place publique.

Il y avait eu l’an dernier les cyberattaques contre les villes de Morges ou de Montreux. Puis contre des PME, chaînes de magasins, régies immobilières, administrations. Et voilà qu’un nouveau palier a été franchi, la semaine dernière, avec la cyberattaque contre le CICR. Les pirates numériques ont plongé cette fois-ci dans les serveurs de l’organisation pour voler les données de plus de 500’000 personnes vulnérables, séparées de leur famille, dans des situations de crise, disparues ou détenues. Ce que redoutait l’organisation, une des craintes majeures de l’organisations depuis des années, est devenu réalité, au point que l’ancien directeur général de l’organisation, Yves Daccord, parle de «risque réputationnel majeur». Le CICR s’est engagé, sur une base de confiance, à conserver la confidentialité absolue des données qu’il collecte. Même si l’on ne semble pas connaître les auteurs de l’opération, même si l’on ne sait si ces données seront publiées et à quelle fin, il se pourrait bien que les motivations des pirates ne soient pas forcément financières mais politiques. On tremble à l’idée qu’elles ne tombent dans des mains hostiles, d’organisation ou de gouvernement, avec des vues géostratégiques précises. C’est une mine d’or.

Nous sommes tous concernés

Il faut penser de toute une urgence à un cadre légal, des réponses diplomatiques, une nouvelle grammaire de la sécurité, à l’heure du grand banditisme numérique. La Suisse, terre d’accueil des organisations humanitaires, état neutre et dépositaire des grandes conventions internationales, a un rôle central à jouer. Il semble que le ministre de affaires étrangères Ignazio Cassis s’y emploie.

L’attaque contre le CICR est un point de bascule. Elle met en évidence, pour tous ceux qui en doutaient encore, la valeur inestimable des données publiques ou privées. Elle exige des actions sur le plan politique, légal et technologique pour résoudre le problème de stockage et de sécurisation des services numériques.

Concernant les ONG, on évoque un traité international pour un espace humanitaire numérique. Mais les entreprises et les particuliers sont tout autant concernés. Imaginons l’attaque d’une PME travaillant avec des outils connectés. Sa production pourrait être bloquée durant des semaines voire des mois, au risque de la faire disparaître. Imaginons une famille classique, qui possède comme tout un chacun aujourd’hui un pc, téléphone mobile, connexion internet, dont les enfants font du «gaming», les parents du télétravail, des achats en ligne etc. Cette famille est à la merci des pirates.

Une chance pour la Suisse?

Le phénomène des cyberattaques a poussé des sociétés comme ELCA, jusqu’à présent plutôt orientée vers les grosses entreprises, à développer des propositions de sécurisation des données pour PME et collectivités. Un état de lieux et des propositions d’amélioration de la protection que l’on peut considérer comme une sorte de check up de l’outil numérique, à l’heure du banditisme sur le net. Pour les particuliers, ELCA agit désormais en partenariat avec des assurances cyber. Les besoins sont énormes, tant du côté des particuliers que des PME, notaires, médecins ou tous les autres acteurs sociaux.

A tous les niveaux, du particulier aux grandes organisations, il faut une mobilisation massive pour répondre aux cyberattaques. L’enjeu est de transformer la catastrophe en opportunité, pour la Genève internationale, pour la Suisse et pour ses entreprises de la High tech.