En France, la liste – classifiée – des «opérateurs d'importance vitale» (OIV) compte quelque 230 entités, publiques et privées, jugées essentielles pour «le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation», dans une douzaine de secteurs : énergie, eau, transports, télécoms, santé… La loi de programmation militaire de 2013 leur a imposé de nouvelles obligations en matière de cybersécurité : déclarer les incidents affectant leurs systèmes critiques, mettre en place des outils de détection, se soumettre le cas échéant aux contrôles de l'Agence nationale de la sécurité des systèmes d'information (Anssi)… Le cap est fixé, et certains domaines, tels le nucléaire ou les transports, surveillés comme le lait sur le feu. Mais d'évidence, tous les secteurs ne sont pas au même niveau.
À lire aussi Les cobayes de la cyberguerre
Début juin, le patron de l'Anssi, Guillaume Poupard, insistait sur la priorité donnée aux audits de sécurité des systèmes industriels : «On en fait de plus en plus et, pour être franc, on se fait peur.» Sans compter que des cyberattaques contre des entreprises ou des organisations non-OIV peuvent causer des perturbations sérieuses. Une directive européenne de 2016 consacre la notion, plus large, d'«opérateur de services essentiels». Elle doit être transposée en France avant mai 2018. Par ailleurs, les autorités françaises assument désormais ouvertement le développement de capacités de «lutte informatique offensive». Durant ses années à l'hôtel de Brienne, Jean-Yves Le Drian (photo) a plus d'une fois réaffirmé cette doctrine esquissée dès 2008, et explicite depuis 2013. «Si une attaque cyber s'apparente à un acte de guerre, notamment par la gravité de ses effets, une riposte adéquate s'imposera», assénait-il en décembre dernier. Mais pour riposter, encore faut-il avoir des certitudes sur l'origine d'une telle attaque. En la matière, d'évidence, la meilleure défense, c'est encore… la défense.
