OIV : la France face au défi de la culture cyber

Par le Dr Patrice GuichardExpert en cybercriminalité · Expert judiciaire près la Cour d’appel de Paris

La multiplication récente des cyberattaques visant des administrations publiques, des services de sécurité ou des opérateurs stratégiques rappelle une évidence que nous avons longtemps sous-estimée : dans le monde numérique, la stabilité d’un pays ne dépend plus seulement de ses frontières physiques, mais de la solidité de ses infrastructures invisibles.

Les opérateurs d’importance vitale (OIV) — énergie, transport, santé, télécommunications, eau, services publics — constituent aujourd’hui des cibles privilégiées pour des acteurs criminels, des groupes organisés ou des puissances étatiques. Lorsque des bases de données de fonctionnaires sont volées comme c’est le cas dernièrement ou les données de 60 000 agents de l’état ont été piratées et divulguées, lorsque des systèmes administratifs sont compromis ou lorsque des réseaux critiques deviennent vulnérables, la question n’est plus seulement technique : c’est celle de la continuité même de l’État et de la confiance collective.

Mais sommes-nous réellement préparés à cette nouvelle réalité ?

▌ DES MODÈLES ÉTRANGERS À MÉDITER

Certains pays ont déjà intégré cette dimension dans leur culture stratégique. En Israël, la cybersécurité est devenue une composante naturelle de la sécurité nationale. L’écosystème y repose sur un continuum entre l’armée, les universités, les entreprises technologiques et les institutions publiques. Des personnels formés dans les unités de renseignement technologique irriguent ensuite le secteur civil, les start-ups et les opérateurs stratégiques. La cyberdéfense n’y est pas un sujet réservé aux informaticiens : elle est pensée comme un enjeu national permanent.

Les opérateurs essentiels participent régulièrement à des exercices simulant sabotage numérique, manipulation d’informations ou attaques contre les infrastructures critiques. La question n’est pas de savoir si une attaque aura lieu, mais quand elle se produira.

Si un pays entier s’entraîne régulièrement à ces scénarios, qu’est-ce que cela dit du niveau de la menace perçue ?

Aux États-Unis, l’approche est différente mais tout aussi structurée. La protection des infrastructures critiques repose sur une coopération constante entre l’État fédéral, les agences de cybersécurité, les universités et les grandes entreprises. La cyberdéfense est organisée comme un écosystème où l’information circule rapidement entre acteurs publics et privés. Cette logique repose sur une idée simple : dans un monde interconnecté, les infrastructures vitales appartiennent souvent au secteur privé, mais leur défaillance peut provoquer une crise nationale.

⬛  ÉTATS-UNIS — Colonial Pipeline  ·  2021Un ransomware visant une entreprise a conduit à l’arrêt du principal pipeline alimentant la côte Est des États-Unis, provoquant pénuries d’essence et inquiétude dans plusieurs États.

Une attaque informatique peut-elle réellement perturber la vie quotidienne de millions de personnes ? L’expérience américaine montre que oui.

La Russie, pour sa part, a intégré la cyberattaque dans une doctrine plus large de guerre hybride. Dans cette approche, l’objectif n’est pas seulement de pénétrer un système informatique, mais de désorganiser l’adversaire dans son ensemble. Les opérations peuvent combiner sabotage technique, fuite de données, campagnes d’influence et pressions ciblées sur des individus clés. Les infrastructures sont importantes, mais les personnes qui les font fonctionner le sont tout autant.

⬛  UKRAINE — Opération Sandworm  ·  23 décembre 2015Une intrusion informatique a provoqué des coupures d’électricité affectant 230 000 citoyens ukrainiens. L’objectif n’était pas seulement technique : il s’agissait de démontrer qu’un système entier pouvait être fragilisé à distance.

Si l’électricité peut être coupée par une attaque informatique, quelles autres fonctions essentielles pourraient être perturbées ?

D’autres crises ont confirmé cette évolution. En 2022, l’État du Costa Rica a été frappé par une série d’attaques par ransomware menées par le groupe de cybercriminels Conti. Les systèmes fiscaux et douaniers ont été paralysés pendant des semaines, obligeant le gouvernement à déclarer l’état d’urgence national. Dans le même temps, l’Albanie subissait également une cyberattaque massive contre ses infrastructures numériques gouvernementales, entraînant l’arrêt de nombreux services administratifs.

» Il ne s’agissait pas seulement de voler des données : l’objectif était de bloquer le fonctionnement même de l’État. «

Si des administrations entières peuvent être paralysées par une attaque numérique, que se passerait-il si plusieurs secteurs essentiels étaient touchés simultanément ?

▌ LA VULNÉRABILITÉ FRANÇAISE

La France dispose pourtant d’un cadre solide pour protéger ses infrastructures critiques. Les opérateurs d’importance vitale sont identifiés, encadrés et accompagnés par les autorités de cybersécurité. Mais la réalité des attaques contemporaines montre que la vulnérabilité ne se limite pas aux systèmes industriels ou aux centres de données.

Elle se situe souvent dans les interfaces humaines : collectivités locales, prestataires informatiques, services administratifs, sous-traitants, agents publics disposant d’accès privilégiés. Dans un pays où l’organisation territoriale repose sur un réseau dense de communes, d’intercommunalités, de départements et de régions, la surface d’exposition est immense. Une mairie, un service technique, un prestataire local peuvent devenir le point d’entrée d’une attaque plus large.

Une simple intrusion dans un système secondaire peut-elle ouvrir la porte à une déstabilisation beaucoup plus vaste ?

Les méthodes d’attaque évoluent également. Les cybercriminels et les acteurs étatiques utilisent désormais l’ingénierie sociale, le vol de données personnelles, le chantage ou la manipulation d’image pour cibler des individus. Les technologies de synthèse vocale et de deepfake permettent de fabriquer de faux messages, de faux ordres hiérarchiques ou de fausses preuves destinées à manipuler des agents publics.

Dans certains scénarios observés à l’étranger, les attaquants ne cherchent même plus à détruire un système : ils cherchent à provoquer une erreur humaine, une désorganisation interne, une perte de confiance.

Si un agent responsable d’un système critique reçoit un faux ordre crédible, saura-t-il l’identifier à temps ?

▌ VERS UNE CULTURE COLLECTIVE DU RISQUE

Face à ces transformations, la cybersécurité ne peut plus être considérée comme un sujet réservé aux spécialistes informatiques, ni traitée comme un épiphénomène, elle devient un enjeu de culture collective. Les crises cyber les plus graves montrent que la capacité d’un territoire à résister dépend moins de la sophistication de ses technologies que de la préparation de ses acteurs.

Les territoires qui réagissent le mieux sont ceux où les élus, les administrations, les opérateurs et les citoyens savent identifier une anomalie, partager l’information et maintenir les fonctions essentielles. Dans un monde où l’attaque peut venir de n’importe où et viser n’importe quel maillon de la chaîne, la véritable question n’est plus seulement technique : elle est culturelle.

» La stabilité d’un pays dépendra de plus en plus de la capacité de ses territoires à comprendre le risque, à coopérer et à maintenir leurs fonctions vitales malgré les attaques. «

Sommes-nous prêts à considérer la cybersécurité comme une composante de la sécurité territoriale, au même titre que les risques naturels ou industriels ?

Les élus locaux savent-ils comment réagir face à une attaque numérique paralysant leurs services ? Les agents publics sont-ils préparés aux tentatives de manipulation ou de chantage ? Les opérateurs essentiels travaillent-ils réellement avec leurs territoires pour anticiper ces scénarios ?

Car dans le monde qui se dessine, la stabilité d’un pays dépendra de plus en plus de la capacité de ses territoires à comprendre le risque, à coopérer et à maintenir leurs fonctions vitales malgré les attaques. La question n’est plus de savoir si les infrastructures critiques seront ciblées.

La question est de savoir si la société dans son ensemble aura développé la culture du risque nécessaire pour y faire face. Et si cette culture n’est pas encore une évidence pour tous, combien de crises faudra-t-il encore pour qu’elle le devienne ?