Interview de Thomas Bögli, spécialiste du cyberespace et chef de la cyberdéfense de l’Armée suisse

Monsieur Bögli, comment est organisée la cyberdéfense en Suisse ?

En Suisse, la règle d’engagement stipule que chacun est responsable de sa propre sécurité. Les infrastructures critiques, c’est-à-dire des entreprises comme par exemple la Poste, Swisscom, les banques, etc, sont responsables de leur propre sécurité. Au niveau fédéral, la centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI), dirigée conjointement par le département fédéral des finances (DFF) et le département fédéral de la défense, de la protection de la population et des sports (DDPS), joue un rôle central. Elle vise la prévention et la gestion des cyberrisques et apporte son soutien aux infrastructures critiques. Parallèlement, la cybercriminalité relève du département fédéral de justice et police (DFJP) qui possède un Service de coordination de la lutte contre la criminalité sur internet (SCOCI).

Afin de clarifier et de centraliser cette organisation, le Conseil fédéral a validé récemment la création d’un centre de compétence pour la cybersécurité. Ce centre sera dirigé par un délégué à la cybersécurité et servira de guichet unique pour toutes les questions relatives aux cyberrisques.

Quel rôle joue l’armée dans la cyberdéfense ?

Comme pour les infrastructures critiques, l’armée est avant tout responsable d’assurer son autoprotection. Toutefois, en cas de cyberattaque majeure, l’armée joue le rôle de réserve stratégique et doit fournir un appui subsidiaire aux autorités civiles. Sa mission «aider, protéger, combattre» est également valable dans le cyberespace.

A quelle fréquence la Suisse est-elle victime de cyberattaques ?

Quotidiennement! Chaque jour, des tentatives de cyberattaques ont lieu en Suisse. Bien souvent, les entreprises concernées ne s’en rendent même pas compte, ou alors elles ne disent rien, par peur de la mauvaise réputation que cela peut entraîner. Par exemple, les rançongiciels sont monnaie courante. Il s’agit d’un logiciel qui chiffre les données d’un particulier ou d’une entreprise et les rend inaccessibles. Les hackers réclament alors une rançon en échange de la clé pour déverrouiller ces données.

Qui se cache derrière ces attaques ?

Nous avons une pyramide avec cinq différents types d’agresseurs. Au sommet de cette pyramide se trouvent les cyberpuissances, c’est-à-dire des états tels que la Chine, la Russie, les USA, la Grande-Bretagne ou Israël. C’est une guerre sans arme létale, sans effusion de sang et sans mort, mais dont le but est de dérober des données. En 2016 par exemple, l’entreprise RUAG a été victime de cyberespionnage et des données importantes ont été volées.

Comment l’armée peut-elle se protéger ?

La cyberdéfense de l’armée relève de la compétence de la Base d’aide au commandement (BAC). Nous avons besoin de bons détecteurs et capteurs de maliciels et des collaborateurs attentifs à l’évolution de la situation dans le cyberespace. Finalement, lorsqu’une cyberattaque survient, l’armée doit être en mesure de la cerner et de l’isoler rapidement.

En comparaison avec d’autres pays, quel est le degré de préparation de la Suisse ?

Qualitativement, nous avons un bon degré de préparation. Quantitativement par contre, nous avons peu de personnel. Heureusement, les écoles dans le domaine cybernétique qui ont débuté l’année passée permettront d’apporter un soutien bienvenu aux spécialistes professionnels de la BAC. Dans le cas de figure où l’armée doit soutenir les autorités civiles, ces militaires de milice permettront d’assurer un engagement sur la durée.

La guerre de demain se fera-t-elle uniquement avec des ordinateurs ?

Je ne pense pas que le cyber remplacera les moyens existants. En 1914 par exemple, l’introduction des forces aériennes n’a pas remplacé non plus les troupes au sol. Ainsi, le cyber est une dimension supplémentaire qui vient s’ajouter aux dimensions terrestres et aériennes. En quelque sorte, l’armée est un couteau suisse et le cyber est un outil de plus qu’il faut lui ajouter.

En tant que chef de la cyberdéfense de l’armée, quels sont les principaux défis à relever dans les années à venir ?

En premier lieu les «Internet of Things» (IoT). C’est-à-dire tous les appareils connectés, des voitures aux télévisions en passant par les réfrigérateurs. Ces appareils seront une source de danger car les systèmes de défense sont trop faibles. On aborde là toute la question de la sécurité et du traitement des données enregistrées par ces objets. Que va-t-on faire de ces données ? Comment être sûr qu’elles ne seront pas utilisées à mauvais escient ?

Plus spécifiquement concernant l’armée, la question sera de savoir quel soutien est attendu de sa part en cas de cyberattaque. Il faudra clairement définir et quantifier le soutien subsidiaire que l’armée pourra être amenée à apporter aux autorités civiles.

Quels conseils de base donneriez-vous à la population afin de se protéger des cyberattaques ?

Je dis toujours qu’il faut être paranoïaque de manière constructive (éclat de rire). Plus sérieusement, il y a des règles simples à respecter. Il faut se méfier des accès Wifi gratuits et désactiver le WLAN ou le Bluetooth si vous n’en avez pas spécifiquement besoin. En cas de discussion confidentielle, il est conseillé de ranger les smartphones ou autres mouchards potentiels. Sans tomber dans l’hystérie, il faut toujours rester prudent. Et si vous détectez un problème, il faut immédiatement annoncer le cas à la Centrale MELANI.

Source : Confédération DDPS / Bund – VBS

Défendre la Suisse dans le cyberespace

Pour qualifier l’état de développement des moyens de cybersécurité en Suisse, les commentaires du type « nous ne sommes nulle part » ne sont pas rares. Reflètent-ils la réalité? Non, mais eu égard à la nature des cyberrisques nous devrions être plus avancés. Comme représenté à la figure 5, les défis du cyberespace ne sont pas nouveaux et leur prise en compte remonte même à l’exercice de conduite stratégique (ECS) de 1997. Cet exercice avait pour thème «Les défis d´origine autre que politico-militaire devant être relevés par la Suisse au seuil du XXIe siècle» et une des huit recommandations traitait en particulier la révolution de l’information. Les autres principaux jalons ont été le passage à l’an 2000, la cyberattaque contre l’Estonie en 2007, l’opération Stuxnet de 2010 contre le programme iranien d’enrichissement d’uranium, les révélations de Snowden en 2013 et la cyberattaque contre RUAG découverte en 2016. Ce n’est donc pas fortuit que la dimension cyber appartienne désormais a tout grand exercice et ce sera à nouveau le cas lors de l’ERNS18 en novembre 2019.

Dans le domaine militaire, de nombreux concepts ont fleuri dès la fin des années ’90 en relation avec la dimension informationnelle : RMA – Revolution in Military Affairs, EBAO – Effect Based Approach to Operation, CCW – Command and Control Warfare, IW – Information Warfare, IO – Information operations, etc. Afin de comprendre la signification des changements apportés par cette dimension, le DDPS a réalisé plusieurs chantiers pour les besoins de la défense. En 2010, le Conseil fédéral l’a également chargé de développer la «Stratégie nationale pour la protection de la suisse contre les cyberrisques» (SNPC) dont la mise en œuvre durant la période de 2012–2017 a été confiée au Département fédéral des finances (DFF). L’armée a alors poursuivi ses travaux et élaboré une propre stratégie de cyberdéfense en 2013.

Dispositif national de cybersécurité

La cyberattaque contre RUAG survenue en 2016 a cependant rapidement exigé un pilotage au niveau stratégique et la crise a été conduite depuis le Secrétariat général qui s’est doté à cet effet d’une unité organisationnelle conduite par l’auteur de ces lignes. Le besoin de disposer d’une stratégie couvrant l’ensemble des offices composant le DDPS s’est alors rapidement imposé et le chef du DDPS a ordonné l’établissement du Plan d’Action Cyberdéfense du DDPS (PACD) qui a été approuvé en 2017, puis déjà révisé à fin 2018, alors que sa prochaine refonte est déjà agendée pour 2020. Parallèlement, en avril 2017, le Conseil fédéral a chargé le DFF de réviser la première SNPC. Il l’a approuvée en avril 2018 et sa mise en œuvre est en cours et s’étalera jusqu’en 2022.

Source et article complet : Military Power Revue

“La Suisse sait se défendre” – Plan d’action en cyberdéfense du DDPS

Plan d'action Cyberdéfense DDPS

Guy Parmelin est sous pression. Cet été, son propre département a été visé par une cyberattaque massive par déni de service. Début 2016, des pirates informatiques dérobaient des données de l’entreprise d’armement suisse Ruag. Et le parlement fait pression sur le Conseil fédéral pour qu’il prenne des mesures.

Ce n’est pas le cas. La Suisse sait se défendre. Nous avons peut-être, par le passé, sous-estimé ce problème, mais depuis 2012 nous disposons d’une première stratégie nationale, pilotée par le Département fédéral des finances. Nous sommes actuellement en train de la réviser pour qu’elle entre en fonction l’année prochaine. Nous avons eu du retard, mais la Confédération est totalement mobilisée actuellement. J’ai donné l’ordre, en 2016, de créer un plan d’action en cyberdéfense qui sera totalement effectif, avec notamment le recrutement de spécialistes au sein du DDPS. Nous en comptons 50, nous devons en dénombrer 150 en 2020.

Discours complet

Source : DDPS