Illustration de couverture : Vectorfusionart / Shutterstock
Mise en page : Nord Compo

© Armand Colin, 2018, 2023

Armand Colin est une marque de
Dunod Éditeur, 11 rue Paul Bert, 92240 Malakoff

Composition réalisée par Nord Compo

www.dupli-print.fr

ISBN : 978-2-200-63675-3

Introduction

Amaël CATTARUZZA, Didier DANET et Stéphane TAILLAT

Pourquoi ce manuel ?

L’espace numérique est désormais un champ bien établi des relations internationales. La plupart des États en ont fait une priorité de leurs stratégies de sécurité nationale. Des superpuissances économiques y affirment leur volonté de contrôler les stocks et les flux de données aussi bien que de produire et mettre à disposition l’information qui éclaire les citoyens dans les choix démocratiques. Des associations de défense des libertés publiques déploient des ressources inusitées pour faire face à la montée de normes sécuritaires qui empiètent plus ou moins gravement sur des libertés fondamentales. Des groupes criminels ou para-étatiques se livrent à des activités d’espionnage industriel, de sabotage, de chantage… qui portent atteinte à des intérêts individuels mais aussi nationaux… L’espace numérique est donc un espace d’expression du pouvoir et de la force, un espace de tensions culturelles, politiques, militaires, économiques… bref un espace en construction permanente des relations internationales contemporaines.

Il était donc naturel de se demander si cet espace nouveau n’est qu’un espace de plus ou s’il se différencie en tout ou partie de l’espace physique qui forme le cadre traditionnel des relations internationales. En est-il un sous-ensemble, soumis aux mêmes paramètres et aux mêmes principes d’action ou un champ nouveau pour lequel il convient de produire de nouvelles théories, de nouveaux concepts et de nouveaux outils ? Le fait qu’il soit un pur artefact en fait-il un domaine spécifique, étranger au monde physique où règnent les frictions des distances et de la durée ? Comment gérer la continuité et l’imbrication de l’espace physique et de l’espace numérique et les inévitables questions découlant de leur nécessaire articulation ?

La multiplicité et l’hétérogénéité des acteurs, la place particulière de la dimension technique, la particularité du cadre espace/temps, l’acuité particulière de certaines questions (attribution des attaques, seuil et formes de la légitime défense, compatibilité des actions offensives avec les principes du droit international humanitaire…) donnent une première indication. Le jeu des relations dans l’espace numérique appelle à revisiter les acquis fondamentaux des relations internationales et, plus largement, des sciences sociales du politique. L’espace numérique est un espace à part dont les caractéristiques fondamentales produisent un cadre renouvelé pour le jeu des rivalités et des coopérations entre acteurs stratégiques. Il ne s’agit pas de dire que rien de ce qui constitue la théorie, les concepts et les outils des relations internationales ne saurait y avoir de valeur explicative ou prescriptive. Bien au contraire, il s’agit de partir de cet acquis, de s’en nourrir, pour développer une analyse originale, capable de rendre compte du caractère global et complexe de l’espace numérique et des affrontements de pouvoir qui s’y expriment.

En ce sens, il est impossible aujourd’hui de s’interroger sur ce nouveau domaine, ou champ d’action, que constitue le cyberespace sans s’intéresser de près à ce qui le constitue, à savoir son caractère technique. Cet espace repose nécessairement sur des infrastructures physiques, des matériels technologiques plus ou moins avancés, qui redessinent les relations entre acteurs sur la scène internationale. Il s’inscrit aussi dans tout un jeu de normes, de codes, de langages machines, qui conditionnent profondément les modes d’action en son sein. Ce serait donc une gageure de penser que l’on puisse aujourd’hui réfléchir aux nouveaux enjeux internationaux posés par le cyberespace sans prendre en compte ces aspects techniques.

Pour autant, il n’y a pas, ici comme ailleurs, de déterminisme technologique qui induit de manière mécanique l’action des acteurs. Ce domaine technique nécessite donc d’être approché sous un angle social et politique à plusieurs niveaux :

sur le plan des stratégies et des représentations qui en sont à l’origine : comment oublier, par exemple, que la création d’Internet dépend d’une volonté politique ? En l’occurrence, celle-ci était incarnée dès la fin des années 1960 par le programme Arpanet (Advanced Research Projects Agency Network), développé par la Defense Advanced Research Projects Agency (DARPA), agence du département de la Défense des États-Unis, qui aboutit à la mise en place du premier réseau informatique mondial ;

sur le plan des interactions et des jeux d’acteurs qui l’animent au quotidien : un ensemble de stratégies, de coopérations, de concurrences ou de rivalités sont ainsi lisibles dans chacun des sous-domaines qui le constituent (voir, par exemple, toutes les questions concernant le problème de la gouvernance d’Internet, de la souveraineté numérique, ou encore celui de la concurrence internationale féroce qui émerge pour devenir leader de certaines technologies – comme c’est le cas aujourd’hui dans le secteur de l’intelligence artificielle) ;

sur le plan des réalisations et des pratiques qu’il rend possible in fine : ce constat peut être décliné évidemment dans l’ensemble des activités humaines, qui sont toutes aujourd’hui concernées par le développement des technologies numériques. Dans le domaine de la guerre et des conflits, qui est plus particulièrement l’objet de cet ouvrage, l’usage des cyberattaques et des cyberarmes a, par exemple, transformé de manière générale l’ensemble des opérations militaires (comme l’ont démontré les opérations russes de 2008 en Géorgie et depuis 2014 en Ukraine).

De fait, force est de constater que les organisations militaires ont été profondément bouleversées par la numérisation et qu’elles sont toujours en train de se redéfinir autour de ces nouveaux outils. Qu’est-ce que le leadership à l’heure d’Internet et des réseaux sociaux ? Quelle place accorder aux technologies de l’information et de la communication (TIC) dans la reconfiguration actuelle des forces ? Qu’est-ce qu’un théâtre d’opération numérique ? Quel encadrement éthique et juridique pour ces nouvelles activités ? Tant de questions auxquelles cet ouvrage propose de réfléchir autour d’un constat qui en constitue le fil d’Ariane : l’idée que le social et le politique doivent être placés au cœur de l’analyse pour mieux saisir l’ensemble du spectre stratégique qu’implique ce nouveau domaine technique.

Définir le cyberespace et l’espace informationnel

Cela s’applique à la définition même du cyberespace, et plus largement de l’espace informationnel. De fait, nombreuses sont les définitions qui ont déjà été formulées de ces notions et il ne s’agit donc pas ici d’ajouter une nouvelle proposition à cette pyramide, mais plutôt de faire un panorama de l’ensemble des champs mobilisés pour construire ces définitions. Ce faisant, notre but est de montrer en quoi l’appréhension du cyberespace dépend des représentations dont il fait l’objet et en quoi ces représentations modèlent sa réalité et influencent les relations, les comportements et les pratiques des acteurs qui l’utilisent.

Commençons par une définition de base, celle de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Dans son rapport « Défense et sécurité des systèmes d’information. Stratégie de la France » paru en 2011, le cyberespace est décrit comme « l’espace de communication constitué par l’interconnexion mondiale d’équipements de traitement automatisé de données numérisées ». Cette approche est essentiellement technique. L’accent est posé sur les machines, leur interconnexion mondiale et la communication ainsi rendue possible via la numérisation des données. Cette approche évoque exclusivement le domaine de l’ingénieur et suppose une forme de « neutralité » définitionnelle qui évacue a priori toute dimension politique. Une telle définition paraît donc sous-entendre que les problèmes de sécurité dans le cyberespace ainsi que les solutions qui s’y rapportent ne sont que d’ordre technique. En caricaturant un peu, nous pourrions donc entendre « laissez aux ingénieurs le soin de traiter de toutes les questions touchant au cyberespace puisqu’ils sont les seuls à le comprendre ».

Bien évidemment, une telle approche a ses limites. Derrière ce semblant de neutralité, cette définition occulte un des aspects les plus fondamentaux du cyberespace qui est sa dimension humaine et politique. Derrière les machines se trouvent des utilisateurs et des acteurs, avec leurs stratégies individuelles et collectives. Une stratégie de sécurité et de défense dans le cyberespace ne peut donc pas se restreindre aux seuls aspects techniques et doit également prendre en compte l’environnement social et politique dans lequel s’insère l’ensemble des échanges et des activités rendus possibles par Internet. Il faut donc s’intéresser à des définitions plus larges permettant d’appréhender le cyberespace comme les interactions humaines qui l’animent. Mais l’exercice est ardu tant les propositions abondent. Certains ont ainsi pu désigner le cyberespace comme un environnement, d’autres comme un domaine, un milieu ou un moyen. Ces multiples dénominations se répercutent également dans la littérature stratégique et dans les différentes doctrines militaires qui ont été formulées sur ces questions.

Or, loin d’une simple querelle de termes, chacune de ces propositions induit une représentation spécifique du cyberespace qui peut appeler à des types d’action différents en termes opérationnels. En clair, les mots utilisés ne sont pas de simples descriptions du cyberespace, mais participent à modeler sa réalité, par les représentations et les comportements qu’ils provoquent chez les concepteurs et les usagers du Net. Ainsi, les images et les métaphores véhiculées par le vocabulaire couramment appliqué au cyberespace, empruntées tantôt au champ sémantique de la mer (« surfer sur Internet », « naviguer », être attaqué par des « pirates informatiques », etc.), à celui de l’air (cloud computing, etc.) ou encore au monde biologique (« infection » des ordinateurs par des « virus », etc.) influent sur nos manières de penser et d’agir. Cette subordination du cyberespace aux représentations et aux usages a d’importantes conséquences. De fait, nous ne pouvons pas le considérer comme un bloc homogène et uniforme, mais il faut plutôt le voir comme une multitude de cyberespaces : chaque acteur, chaque usager construit son « espace » en fonction de son utilisation, de ses représentations, de ses intérêts. Il édifie aussi ses propres menaces et ses propres risques. En clair, un État ne construit pas le même cyberespace qu’une entreprise privée ou qu’un simple individu. Chacun développe son propre « univers numérique », inscrit dans des représentations et des pratiques, qui induisent des vulnérabilités distinctes pour chaque acteur considéré. Aussi, l’étude des acteurs doit être au centre de l’analyse stratégique du cyberespace et de l’espace informationnel.

Acteurs, discours et pratiques

Découlent de ce qui précède des interrogations renouvelées concernant l’articulation entre acteurs, et plus particulièrement entre acteurs non étatiques et étatiques, entre sphères privées et publiques, entre enjeux de sécurité interne et de sécurité externe, enfin entre échelles internationale, régionale, locale et transnationale. En effet, si les relations internationales sont depuis déjà plusieurs décennies profondément ébranlées par l’émergence de nouveaux acteurs toujours plus influents qui perturbent les traditionnelles relations interétatiques, cela est particulièrement vérifiable dans le cas du cyberespace. En effet, sa structure actuelle met en jeu de puissants acteurs privés (comme l’ensemble connu aujourd’hui sous l’acronyme de GAFAM [Google, Apple, Facebook, Amazon, Microsoft]) et toute une gamme d’acteurs individuels (hackers, cybercriminels, etc.) ou collectifs (groupes d’influence comme Anonymous) qui concurrencent depuis l’origine l’action des États dans ce domaine. L’exemple du Dark Web illustre l’ampleur des contournements possibles de l’appareil étatique par l’intermédiaire du cyberespace et l’impossibilité fondamentale d’un contrôle effectif et certain de cet outil.

En un sens, cette configuration multi-acteurs selon différentes échelles et en fonction d’interactions de plus en plus rapides, de plus en plus diverses et de plus en plus intenses nécessite de repenser le champ de la politique internationale. Celui-ci ne peut plus être modélisé uniquement comme un système clos formé de quelques unités (les grandes puissances) dont les interactions potentiellement conflictuelles produisent un fragile équilibre des puissances. Il n’est pas non plus suffisant de s’en tenir à la vision d’une société internationale où les normes et les institutions configurent les interactions entre les États, lesquelles produisent ces normes en retour. Avec l’intégration du domaine numérique au cœur du champ politique, les relations internationales comprennent non seulement les États et la société transnationale mais articulent un nombre croissant d’échelles entre le niveau mondial et le niveau national. Se dessine alors un système adaptatif complexe caractérisé par : la production d’effets non linéaires par les acteurs ; des propriétés émergentes résultant des interactions entre eux et entre ceux-ci et l’environnement international ; une plus grande fluidité des modèles de comportement du système dans son ensemble, ce qui génère une incertitude plus importante. Celle-ci porte à la fois sur le degré d’ambiguïté dans l’interprétation des événements et sur le degré de prévisibilité des comportements.

En tant que critère principal de la politique internationale, la puissance se trouve donc relativisée, diffusée, reconfigurée, privatisée ou contournée. Il en découle la nécessité de repenser la stratégie des États dans un contexte où cette densité dynamique globale se traduit par leur difficulté croissante à formuler des objectifs et à mettre en œuvre des politiques cohérentes.

De la sécurité informatique à la sécurité nationale

Dans ce cadre, le développement des technologies de l’information et de la communication et l’intégration de l’espace numérique à un nombre toujours plus croissant d’activités économiques, politiques et sociales a accompagné un processus de sécuritisation du cyberespace. Celui-ci peut être compris comme l’érection des problèmes posés par la sécurité informatique (à l’encontre de la disponibilité, la confidentialité et l’intégrité des données, des systèmes et des réseaux) en enjeux existentiels de sécurité. Ce processus a dépendu des discours et des pratiques produits par un ensemble d’acteurs comprenant les gouvernements, les agences en charge de la sécurité et les entreprises de sécurité informatique.

Ainsi a émergé un champ de la sécurité comprenant à la fois des objets à protéger (les infrastructures critiques, définies selon des critères divers), des menaces (acteurs étatiques, groupes de hackers, risques d’effondrement) et des mesures à adopter en urgence aux échelles individuelle, organisationnelle, nationale et internationale (organisation de la cyberdéfense, actions défensives, préemptives et préventives, nécessité d’une coopération internationale voire multi-acteurs).

Néanmoins, ce processus ne correspond pas totalement aux présupposés des théories de la sécuritisation, lesquelles insistent sur le rôle des acteurs politiques capables de mobiliser des ressources et de faire prévaloir leurs interprétations. Les gouvernements, à commencer par celui des États-Unis, ont certes joué un rôle instrumental dans le développement initial des discours sur la cybersécurité et la cyberdéfense. Cependant, en raison de la multitude des acteurs concernés, individuels ou collectifs, comme de la complexité du système constitué par le domaine numérique, le champ de la sécurité est caractérisé par l’émergence de nouveaux enjeux, de nouvelles menaces et de nouveaux dispositifs selon des logiques distribuées et non linéaires. Par leurs rapports publics, les sociétés de sécurité informatique ont institutionnalisé la manière de concevoir les menaces. Menaces persistantes avancées (Advanced persistent threats, APT), Diamond Model, Kill Chain1 configurent ainsi l’organisation comme les opérations des acteurs malveillants. L’interaction entre médias traditionnels et nouveaux médias est également à l’origine de représentations sécuritaires propres : de la propagande informatique à la génération de mobilisation en ligne en passant par le développement d’applications par le bas. En retour enfin, l’émergence de nouvelles technologies et de leurs usages alimente les discours et les pratiques sécuritaires, qu’il s’agisse de l’Internet des objets ou des enjeux liés aux intelligences artificielles.

La déclinaison du champ de la sécurité du niveau individuel jusqu’au niveau international engendre des propriétés émergentes qui se nourrissent des interactions entre les acteurs et leurs enjeux selon ces différentes échelles. En raison de son caractère transnational et global, le domaine numérique semble donc particulièrement sensible aux enjeux internationaux qu’il peut susciter. D’une part, les États sont confrontés à la question de la gouvernance du réseau global Internet, dans des logiques classiques de coopération et de compétition où se jouent les relations de puissance. Néanmoins, la difficulté à cadrer des enjeux communs et à intégrer les acteurs non étatiques pourtant parties prenantes de cette gouvernance suscite davantage de conflits. D’autre part, la construction du cyberespace comme espace politique de confrontation, de rivalités et de conflits nourrit chez les gouvernements nationaux des postures alimentant des dilemmes émergents de sécurité qui sont autant d’obstacles à la poursuite de coopérations nécessaires face à des enjeux communs. La nature existentielle des enjeux explique la prédominance de ces dynamiques et la tendance à la politisation des questions techniques et opérationnelles. C’est notamment le cas pour les questions liées à la dissuasion des attaques numériques ou l’inscription de ces dernières dans le champ du droit des conflits armés.

Les aspects politiques, organisationnels et opérationnels de la cyberdéfense

Le terme de cyberdéfense est d’un usage malaisé. D’une part parce qu’il se comprend essentiellement dans le cadre français. L’usage otanien de cyber defence renvoie certes à une conception opérationnelle, mais sur un plan strictement défensif. Il est plus pertinent de mettre le terme de cyberdéfense en parallèle avec celui de cyberwarfare usité aux États-Unis. D’autre part parce qu’il ne se limite nullement à une posture défensive. Le gouvernement français a admis la nécessité de mesures actives voire offensives en octobre 2015 avant de communiquer sur les éléments publics de la Lutte Informatique Offensive (LIO) en janvier 2019 et sur la Lutte Informatique d’Influence (L2I) en octobre 2021. En revanche, le cadre général de la politique étrangère qui sous-tend les politiques de sécurité et de défense peut effectivement être défini comme la poursuite de la stabilité, justifiant de le caractériser comme défensif.

Par cyberdéfense, il faut donc entendre une certaine conception de l’action sur, dans ou à travers les réseaux numériques et les activités qu’ils soutiennent. Cette conception est premièrement opérationnelle, en ce qu’elle souligne la nécessaire intégration de cette dimension dans l’accomplissement de ses tâches par une organisation. Elle est deuxièmement stratégique car elle prend en compte une dialectique toujours possible contre un adversaire. La cyberdéfense n’est donc pas nécessairement militaire au sens strict, mais son assimilation au combat ou à l’affrontement des volontés renforce la part prise par les institutions militaires et les agences de renseignement dans sa conception et sa mise en œuvre. D’autre part, pour des raisons juridiques aussi bien que politiques, la cyberdéfense est plutôt l’apanage des États, même si elle s’appuie à des degrés divers sur le secteur privé.

En dépit d’une grande diversité dans ses modalités, l’organisation de la cyberdéfense par les États suit une logique croissante d’autonomisation vis-à-vis des autres dimensions de leur action. Deux distinctions doivent être opérées afin de catégoriser les modèles organisationnels selon les États. La première concerne le champ d’application de la cyberdéfense : s’agit-il d’agir uniquement sur le plan des réseaux numériques ou également dans les champs sociopolitiques ? Le cas américain se rapprocherait du premier modèle, tandis que les cas russe ou chinois le seraient davantage du second. Une seconde distinction concerne le degré d’intégration des acteurs non étatiques et du secteur privé : s’agit-il plutôt d’assurer la coopération avec ce dernier ou de développer son intégration ? Là encore, les cas cités plus haut correspondent respectivement au premier et au second modèles. Cette catégorisation est néanmoins fluctuante dans la mesure où les modèles tendent à converger pour inclure une approche globale de la cyberdéfense.

Comprise comme une approche particulière de la conflictualité, la cyberdéfense est également dépendante des discours et des représentations technoscientifiques liées à la guerre et à la manière de la faire. Elle s’inscrit en effet dans les développements du régime cybernétique développé durant la guerre froide. En ce sens, la cyberdéfense est héritière des réflexions, des pratiques et des mises en œuvre liées aux soucis du commandement et du contrôle à l’ère nucléaire, à la « révolution dans les affaires militaires » (Revolution in Military Affairs, RMA) et à la numérisation du champ de bataille. Néanmoins, le domaine numérique suit un développement différent en direction d’un rôle croissant de l’organisation en réseau, de la prise en compte des propriétés émergentes des systèmes complexes et de la production d’effets non linéaires par les acteurs. En ce sens, le principal défi politique, organisationnel et opérationnel consiste à intégrer ces évolutions.

La gestion de crise en cyberdéfense

La politique de cyberdéfense remplit de nombreuses fonctions. Elle structure l’espace numérique et les jeux d’acteurs qui s’y développent, elle contribue à produire et organiser un corpus normatif, elle affirme une volonté politique et un projet collectif, elle vise à dissuader, le cas échéant, les comportements ou les projets susceptibles de s’y opposer… Il lui revient en particulier d’anticiper et de faire face aux « crises » susceptibles de se produire dans l’espace numérique.

Depuis que l’espace numérique a émergé, la littérature populaire aussi bien que les écrits académiques ou professionnels se complaisent dans l’évocation du cataclysme numérique, du « Pearl Harbor digital », du « Cyber 9/11 ». Du film Wargames au non moins célèbre Cyberwar is coming ! de John Arquilla et David Ronfeldt, l’espace numérique est celui de tous les dangers, de la menace terroriste sur les infrastructures vitales à celle du « geek » dont l’habileté à la fois monstrueuse et fascinante peut conduire à déclencher une guerre nucléaire apocalyptique. La fin du monde, du moins celle du monde développé, est à l’ordre du jour.

Il était donc naturel que prospère sur ce discours alarmiste une dilection particulière pour la gestion des crises dans l’espace numérique. Avant même qu’elle ne devienne une obligation légale pour un nombre substantiel de secteurs d’activité et d’opérateurs économiques, la création et la mise en place de dispositifs et de procédures ad hoc se sont multipliées chez tous les acteurs : administrations et entreprises, collectivités locales et institutions communautaires… La gestion de crise est désormais l’affaire de tout un chacun. Certes, nul ne saurait se plaindre de cette prise en compte de la menace et de la volonté de renforcer la résilience de nos systèmes et de nos sociétés. On peut tout autant regretter l’occasion manquée d’une véritable réflexion sur la notion de « crise » dans l’espace numérique, sur ses caractéristiques propres, sur la transposabilité des théories, des concepts et des outils de la gestion des crises dans l’espace physique, sur la primauté accordée à la dimension technique, sur l’équilibre entre experts et décideurs en situation de crise, sur la pertinence des approches de type risk management, sur la conception du « château fort » qui guide encore souvent la philosophie de la gestion de crise numérique…

Fort heureusement, les attaques ou les accidents qui se sont produits jusqu’ici dans l’espace numérique et auxquels les victimes ont résisté de manière généralement satisfaisante ne présentaient pas toutes les caractéristiques d’une crise au sens propre du terme mais plutôt celles des « incidents ordinaires ». L’utilité des dispositifs et des procédures de « gestion de crise » est donc réelle dans cette hypothèse mais il est difficile de porter un jugement définitif sur leur pertinence et leur efficacité dans l’hypothèse de véritables situations de « crise ». Le moment est peut-être le bon, maintenant que les dispositifs de gestion de crise sont en voie de généralisation, de réfléchir à la question.

Organisation de l’ouvrage

Appréhender une réalité politico-stratégique mais aussi technique, sociale ou économique aussi complexe que celle des rapports de pouvoir et de puissance multi-acteurs qui s’expriment dans l’espace numérique suppose des choix difficiles et arbitraires quant à la problématique et au plan à retenir. Les auteurs se sont ralliés à une approche systémique qui leur paraît scientifiquement utile et pédagogiquement éclairante. La logique générale en est la suivante : les politiques de cyberdéfense sont faites d’activités tendant à la réalisation d’une finalité politico-stratégique voulue et mise en œuvre par une organisation publique encastrée dans un réseau complexe d’acteurs et appelées à évoluer dans le temps.

Toute politique de cyberdéfense se décline en une série de décisions et d’actions prises par des acteurs hétérogènes dans le domaine de l’espace numérique. La politique de cyberdéfense est donc faite d’activités spécifiques dans un champ complexe d’infrastructures, d’acteurs individuels et collectifs, de logiciels et de contenus. L’analyse de la cyberdéfense ne saurait être conduite sans commencer par une tentative de cartographie de l’espace numérique, tentative toujours délicate du fait de la complexité et de la turbulence qui le caractérisent. Dans cet espace coopétitif, fait de relations de coopération et de rivalité inextricablement mêlées, la politique de cyberdéfense des États est orientée vers une finalité globale : garantir la souveraineté de la Nation dans le cyberespace. Pour ce faire, les États qui le peuvent s’assignent des objectifs, déploient des politiques et se dotent des capacités d’intervention appropriées. L’une des particularités majeures de ces politiques de cyberdéfense par rapport aux autres politiques visant à l’affirmation de la souveraineté nationale tient sans doute à la diffraction de la notion et des acteurs qui entrent en jeu. Qu’est-ce qu’une souveraineté nationale dans un espace dont il est fréquemment dit qu’il ne connaît pas de frontière et que les distances y sont abolies ? Quelle peut être l’emprise de l’État sur l’espace numérique lorsqu’il doit composer avec des acteurs privés qui conçoivent et produisent l’infrastructure technique ou les possibilités de création et d’échange dans cet espace ? Quelle est l’effectivité de ses décisions lorsqu’elles sont soumises à une totale mobilité des acteurs et des opérations ? La cyberdéfense est par essence globale ; elle s’inscrit dans un environnement contraignant qui circonscrit les ambitions et les capacités d’action de tous les acteurs, y compris les plus puissants d’entre eux, les États : politique, socio-économique, technique, culturel, légal. Plus que les autres politiques de sécurité et de défense, la cyberdéfense est le lieu de la coconstruction, des nécessaires équilibres entre des principes antagonistes d’égales valeurs, des interactions dynamiques, de la gestion de systèmes sociotechniques, politiques et économiques complexes, d’où son originalité et son intérêt.

Notes

1. Le terme APT désigne des acteurs organisés menant des campagnes numériques de longue durée, le Diamond Model et la Kill Chain sont deux modèles permettant d’analyser les attaques, les acteurs malveillants ou leurs modes d’action.

Partie 1

Le contexte global de la cyberdéfense

Il serait faux d’imaginer que l’espace numérique puisse être appréhendé comme un domaine essentiellement technique et neutre dont la fonction stratégique pourrait être minorée. Cette idée de l’implication géopolitique et stratégique du cyberespace pourrait presque aujourd’hui paraître comme une évidence au regard de l’attention permanente dont cet environnement fait l’objet dans les médias, les ouvrages plus ou moins spécialisés, les textes et les doctrines militaires actuels. Pourtant, au début des années 2000, ce thème semblait encore exotique et réservé aux ingénieurs. Dans les milieux stratégiques, si la guerre en réseau était déjà un objet d’étude, Internet dans sa dimension civile, et en tant qu’espace social, était peu abordé et ne constituait pas une priorité. Force est de constater que cette situation a changé. À l’instar des États-Unis et de l’Organisation du traité de l’Atlantique Nord (Otan), la France a placé, depuis le Livre blanc de 2008, la sécurisation du cyberespace au premier rang des sujets de défense.

Or penser la cyberdéfense impose d’abord de resituer l’espace numérique dans un contexte global. Il n’est pas possible aujourd’hui de dissocier de façon très nette les enjeux de défense de ceux de la sécurité. Une cyberattaque de grande ampleur sur des infrastructures nationales est tout aussi préoccupante pour un État que des menaces plus diffuses, comme celle de la propagande qui se joue sur les réseaux sociaux et qui peut, dans les cas les plus extrêmes, conduire à des actes criminels ou terroristes. Aussi, il n’est pas possible non plus d’isoler, au sein de l’espace numérique, un champ qui serait spécifiquement technique et un autre (ou plusieurs autres) d’ordre social, économique, politique ou juridique. Des exemples, comme l’attaque par déni de service subie par l’Estonie au printemps 20071, montrent au contraire l’imbrication toujours plus fine de ces différents champs. En effet, si la dimension technique était évidente du fait de la nature de l’attaque, les dimensions politiques (relations avec la Russie et avec les minorités russes), économiques (pertes financières importantes pour le pays) et sociales (blocages d’institutions étatiques et d’infrastructures financières) étaient tout aussi prégnantes.

Nous traiterons cette problématique en trois chapitres. Dans un premier temps, il s’agit pour nous de montrer en quoi le cyberespace est également une construction sociale et politique qui peut être abordée par le prisme des outils traditionnels de la géopolitique et des relations internationales. De fait, s’il apparaît à première vue comme un espace essentiellement virtuel, ce domaine repose en réalité sur des infrastructures tout à fait tangibles qui permettent d’en dresser une approche géostratégique. Par ailleurs, si l’environnement numérique semble relativement récent, les pratiques conflictuelles qui se déroulent en son sein ne sont pas en tant que telles de pratiques nouvelles et elles s’inscrivent donc dans la pensée stratégique plus ancienne.

Un deuxième chapitre est consacré aux dimensions sociales du combat cybernétique (caractère sociotechnique du cyberespace, aspects socioculturels de la cyberdéfense). Il montre en particulier en quoi des notions classiques comme celles de vulnérabilités ou de menaces (et les réponses à y apporter) doivent être analysés et conçues en articulant de manière dialectique des processus techniques et des dynamiques sociales en permanente évolution.

Enfin, le troisième chapitre est consacré aux aspects juridique et stratégique de la conflictualité dans l’espace numérique. De fait, tant dans le domaine du jus in bello que dans celui jus ad bellum, des normes et des textes ont émergé aujourd’hui au niveau international et commencent à faire autorité, tandis que certaines questions (celle des cyberarmes entre autres) restent encore en débats. Une généalogie de la notion de cyberdéfense est également proposée, en resituant ce concept dans la réflexion stratégique des dernières décennies.

Chapitre 1

La construction politique de l’espace numérique

L’espace numérique : les promesses de l’aube

Jean-Fabrice LEBRATY

En septembre 2022, malgré un contexte international turbulent et sombre, cinq entreprises américaines, connues sous l’acronyme GAFAM, cumulaient, à elles seules, une capitalisation de près de 8 000 milliards de dollars – sans parler des NATU (Netflix, Airbnb, Tesla et Uber) et des BHATX (Baidu, Huawei, Alibaba Group, Tencent et Xiaomi). Le poids économique de ces géants illustre le fait qu’année après année, malgré une grande volatilité et des chutes brutales, les entreprises du numérique deviennent des acteurs majeurs dans l’ensemble du monde. Ainsi, le terme de cyberespace, imaginé par William Gibson en 1982, semble s’imposer ici. À l’instar des grappes de satellites du projet Starlink qui permettent un accès Internet à l’ensemble de la planète depuis l’espace, les zones dépourvues d’accès filaire pourraient rejoindre un espace numérique ou, plus exactement, des espaces numériques, grâce aux investissements dans les métaverses réalisés par Meta (anciennement Facebook), ainsi que d’autres acteurs, qui contribueraient à proposer non pas un cyberespace, mais bien des cyberespaces. Ainsi, il se pourrait que nous ne soyons seulement qu’à l’aube du développement de ce concept de cyberespace.

Ces premières lignes pourraient sembler être tirées d’un roman de science-fiction des années 1950. Pourtant, elles recouvrent des faits avérés à ce jour1. Il n’y a donc pas de magie ou de fantaisie dans ce cyberespace actuel et proche. Néanmoins, le mélange entre discours politiques, blogs, messages sur les réseaux sociaux et séries télé contribue à générer une certaine confusion dans les esprits des spectateurs, mais aussi dans ceux de certains acteurs confrontés à cette transformation numérique.

Dès lors, le but de ce chapitre est de tenter de faire un tri entre ce qui apparaît envisageable rationnellement, ce qui semble être merveilleux mais peut quand même se réaliser – comme pouvaient l’être certaines couvertures du magazine La Science et la Vie, créé en 1913 – et ce qui relève de l’éternel fantasme – comme a pu l’être le film Terminator. En résumé, dans ce chapitre, nous allons nous poser cette question : quelles pistes de réflexion plausibles pouvons-nous poser pour fonder des stratégies intégrant cyber et organisations ?

Cette question possède un intérêt théorique, mais également managérial. Tout d’abord, un intérêt théorique car elle pose la question de savoir si les modèles académiques que nous utilisons actuellement seront toujours adaptés au contexte futur. Plus en avant, elle peut également remettre en cause les paradigmes sur lesquels sont bâtis ces modèles. Prenons, par exemple, les modèles de stratégie de Porter (1996) ou de Kim et Mauborgne (2010). Le but est de conserver une situation dominante, supposant ainsi que l’on est déjà dominant. L’asymétrie engendrée par le numérique peut remettre en cause cette position de domination. Enfin, cette question présente également un intérêt managérial fort. En effet, en accord avec le célèbre ouvrage Grandeur et décadence de la planification stratégique (Mintzberg, 1994), il convient plus que jamais d’éviter de bâtir des plans considérés comme de véritables carcans à l’adaptation. Il s’avère tout aussi essentiel pour les organisations d’avoir une idée du contexte futur pour prendre des décisions et conserver une certaine liberté de manœuvre.

Pour répondre à la question posée, nous reviendrons dans un premier temps sur deux caractéristiques actuelles favorisant des innovations de rupture. Puis, nous décrirons trois de ces innovations qui devraient s’imposer dans les prochaines années, avant de proposer sept scénarios en nous fondant sur la série dystopique Black Mirror et celle plus réaliste Mr. Robot pour mettre en avant des enseignements quant au futur potentiel en matière de cyber. Enfin, nous proposerons l’idée d’un changement de paradigme qui pourrait s’avérer salutaire, même si quelque peu douloureux à suivre.

Un contexte propice aux innovations de rupture

La croissance exponentielle de l’Internet ne peut être considérée comme un phénomène linéaire. Le franchissement de seuils a conduit l’environnement mondial à se transformer (Gladwell, 2000). Le développement de la globalisation a été poussé par le développement de l’Internet. En effet, l’arrivée d’un protocole unifiant l’ensemble des échanges numériques mondiaux a permis la circulation de millions de containers eux aussi standardisés au niveau international.

Malgré la standardisation du protocole, l’Internet tend à se fracturer. D’ailleurs, le magazine Wired de novembre 2020 proposait comme titre de couverture le néologisme splinternet, jouant ainsi sur les mots split (scinder) et Internet. Ainsi, il existe, par exemple, un Internet occidental aux côtés d’un Internet chinois. Mais, pour chacun de ces mondes, des tendances structurelles identiques s’observent.

Un exemple permet d’illustrer une des transformations induites par l’Internet depuis 1995. Alors que les modèles commerciaux traditionnels de vente poussaient les entreprises à se centrer sur un nombre limité de types de produit – dans le but de tenter d’uniformiser les goûts des consommateurs afin de réduire la variété de la demande et, ainsi, de se faire une marge plus grande –, l’Internet a permis de générer du profit sur la vente de millions de produits différents avec des stocks très faibles pour chacun d’entre eux. C’est le modèle de la longue traîne, brillamment mis en place par Amazon (Anderson, 2006)2. Aujourd’hui, Amazone propose plus de 12 millions de produits en son nom et 350 millions au nom de vendeurs indépendants, tout en ayant en moyenne moins de dix articles par référence en stock et en vendant plusieurs milliards de produits par an. L’Internet permettant aux utilisateurs d’accéder à des marchandises dans le monde entier, chacun d’entre eux peut y trouver le produit spécifique qu’il désire. Le concept de personnalisation de masse a émergé des pratiques du commerce en ligne. Airbnb aurait pu aussi ici servir d’exemple puisque le site propose 7 millions de chambres différentes dans plus de 100 000 villes dans le monde. Ajoutons que le management d’un grand nombre de produits variés n’a été rendu possible que grâce à une optimisation de l’usage du matériel informatique. Ainsi, il faut comprendre la notion de cloud computing, qui est une technique d’équilibrage des charges entre un grand nombre de machines qui appartiennent à un même ensemble. Cette optimisation a été le moteur ayant permis la montée en charge (scalabilité) et l’augmentation rapide de l’offre tout en lissant les coûts.

Reprenons le cas d’Amazon pour illustrer une autre caractéristique du marché électronique mondiale dont les implications sont encore plus grandes : la participation des utilisateurs. En 1995, la majorité des transactions ne concernait que les parties prenantes de celles-ci et comprenait un nombre très faible d’échanges. Par exemple, un vendeur offrait un produit à un acheteur et la réception du produit clôturait la transaction. Certes les systèmes de carte de fidélité existaient déjà, mais ils ne permettaient pas un gros volume d’interactions. Or, l’entreprise Amazon s’est retrouvée face à un défi : celui de donner des informations sur les millions de produits qu’elle proposait. Trois solutions s’offraient alors à elle. La première consistait à demander aux fabricants de décrire leurs propres produits. Cependant, cette solution posait le problème de l’intégrité du fabricant qui aurait pu enjoliver les qualités de ses marchandises. La deuxième aurait été que l’entreprise Amazon teste elle-même les produits et donne son avis sur ceux-ci. Mais cette solution interne coûteuse n’aurait pas résolu le problème de la confiance, les clients ayant pu penser qu’Amazon aurait pu favoriser des produits pour son bénéfice propre, plutôt que pour celui des acheteurs. Enfin, la troisième solution aurait été de demander à un cabinet indépendant externe à Amazon d’évaluer les produits et de publier les résultats de ses tests. Cependant, cette solution aurait été bien trop onéreuse, surtout au regard du modèle de la longue traîne et des millions de références concernées. Aussi, l’entreprise Amazon a-t-elle utilisé une quatrième solution : celle du crowdsourcing (Lebraty et Lobre, 2015). Ce sont les clients qui donnent leurs avis sur les produits qu’ils ont achetés. Ainsi, pour Amazon, le bénéfice est triple : un coût faible, une confiance assez élevée et une fidélisation de la communauté de clients en la faisant participer à la vie du site. Cette participation des utilisateurs, aussi appelée phénomène 2.0 dès 2005 par Tim O’Reilly3, a constitué le point de départ de l’essor des réseaux sociaux sur lesquels des milliards d’individus postent du contenu à chaque instant. L’essor des réseaux sociaux depuis 2006 a conduit à modifier les perceptions. L’effet d’un simple tweet peut largement dépasser le cadre d’une application informatique. Ainsi, la dynamique des communautés d’utilisateurs authentiques ou non sur les différents réseaux sociaux constitue un critère important du monde cyber. La crise de la Covid-19 en a d’ailleurs constitué un excellent terrain d’étude (Boulet et Lebraty, 2020).

Ainsi, dans le contexte actuel, le monde numérique permet de proposer à chacun une offre adaptée tout en laissant la possibilité à chaque membre de la foule de participer ou non. Les flux sont donc bidirectifs, générant alors un système complexe dont l’évolution est délicate à prédire. Pourtant, à court terme, quatre innovations de rupture dessinent selon nous un nouveau contexte qui conditionne les modes d’actions, tant au niveau individuel qu’organisationnel.

Quatre innovations de rupture déterminantes

Évoquées depuis plusieurs années, quatre technologies sont en pleine phase d’adoption et devraient, dans un futur proche, arriver à maturité tout en réalisant des synergies avec leur environnement, mais également entre elles, conduisant aux fondements du contexte de notre proche futur.

La première innovation de rupture est constituée par le développement de l’impression 3D. Comme l’explique brillamment Chris Anderson (2012), la grande force des imprimantes 3D et des machines à découpe laser réside dans le fait de parler la même langue ou, du moins, de savoir lire différents formats de fichier mondiaux. De notre point de vue, le développement de la fabrication 3D recèle un potentiel aussi important que celui de l’Internet en 1995. Ainsi, après la standardisation des conteneurs et celle du protocole de communication Internet, vient la standardisation des modèles de conception assistée par ordinateur. Après la démocratisation de l’accès au virtuel se profile l’universalité de l’accès à la production de biens physiques. Notons, d’ailleurs, que le fait que chacun puisse fabriquer directement un produit à amener à la création d’une notion : les personnes qui réalisent ces objets sont appelées les faiseurs ou les makers. Anderson (2012, p. 21) précise les trois principales caractéristiques de ces makers :

1. les makers utilisent des technologies numériques pour créer des prototypes et des produits finis ;

2. l’esprit d’une communauté virtuelle de faiseurs réside dans le partage des modèles et des idées et dans la collaboration entre membres ;

3. le fait d’utiliser des formats de fichier standards pour les modèles permet à tous ceux qui le souhaitent d’envoyer leur création à une entreprise qui se chargera de la fabrication de ce modèle. D’une certaine manière, l’esprit de l’open source se retrouve chez les makers.

Un exemple d’intérêt sécuritaire peut être mis en avant. En effet, en octobre 2012, le magazine Wired indiquait que Cody Wilson, un étudiant en droit de 25 ans à l’université du Texas, proposait de mettre en ligne un modèle permettant de fabriquer un pistolet avec une imprimante 3D. En décembre 2012, le même magazine classait ce jeune étudiant parmi les 15 personnes les plus dangereuses de la planète. En mai 2013, le premier prototype a été testé et le modèle largement diffusé. Dix-huit mois plus tard, le prototype a été amélioré et l’on a assisté à une prolifération d’armes de poing et d’épaule de plus en plus innovantes. Un site recensant l’ensemble des modèles disponibles existe d’ailleurs (https://defcad.com/), ce qui peut paraître quelque peu effrayant.

La seconde innovation émergeante provient de la rapide expansion du nombre d’objets connectés. L’Internet des objets (IoT en anglais) existe déjà et cette nouvelle toile devient, jour après jour, plus forte. Que ce soit de simples capteurs d’humidité ou de plusieurs mesures corrélées, comme les produits de santé proposés par la marque Withings, qu’ils soient à destination du grand public ou à celle des industriels, les objets en circulation sont tellement nombreux qu’il est difficile de les chiffrer. Cependant, on estime actuellement que leur nombre est de l’ordre de la dizaine de milliards. Bien évidemment, ces capteurs nécessitent de bénéficier d’un écosystème de création, comme il en existe d’ailleurs près de Toulouse (Bessagnet et al., 2021), et d’une architecture complète et sécurisée (Wu, 2021). L’ensemble des données collectées permet de nouvelles applications (comme la voiture autonome, par exemple) et une meilleure compréhension et maîtrise de son environnement par une analyse des données (Fortino et al., 2019). Ainsi, l’IoT contribue à redessiner les espaces de manœuvre et donc le champ des possibles.

La troisième innovation de rupture réside dans la montée en puissance de la blockchain (BC). Connue du grand public, grâce notamment aux envolées du Bitcoin, une BC se définit comme un registre ouvert et distribué, qui permet d’enregistrer les transactions entre deux parties d’une manière sécurisée, vérifiable et permanente. Aujourd’hui, ce livre n’est plus statique mais peut être programmé pour déclencher des transactions selon des règles prédéterminées (Iansiti et Lakhani, 2017). Un livre informatique permettant de stocker des transactions peut apparaître trivial. Cependant, deux caractéristiques rendent ce livre innovant. Premièrement, la BC se fonde sur un mécanisme cryptographique éprouvé. Les enregistrements sont rangés à l’intérieur de zones délimitées appelées des blocs. Chaque bloc est lié au suivant par la répétition d’une valeur unique, issue d’une fonction de hachage. Cette série de blocs s’appelle la blockchain. Le lien cryptographique unissant les blocs entre eux empêche l’insertion de blocs en milieu de chaîne ou la suppression de certains. La seconde caractéristique de la BC est que le fichier comprenant ces blocs est distribué entre un grand nombre de serveurs appelés nœuds. Le mode permettant cette distribution est le mode peer-to-peer (P2P). À la manière des films et séries téléchargés illégalement, le mode P2P permet de garantir la pérennité d’un fichier, au minimum tant que le serveur le conserve. Dès qu’une personne télécharge ce fichier, ces éléments en cours de téléchargement sont disponibles pour d’autres. En octobre 2022, près de 15 000 nœuds étaient actifs. Même si un grand nombre de ces nœuds sont localisables dans plus de 100 pays, 55 % cachent leur localisation, rendant encore plus dur la possibilité de les supprimer. Ainsi, pour résumer, la BC est un fichier sûr et pérenne stockant dynamiquement des transactions. Aux côtés des cryptomonnaies, la BC permet de fiabiliser tout type de transactions. Ainsi, de manière symbolique, depuis fin 2019, Carrefour et Nestlé utilisent une BC pour la gestion d’une de leurs catégories les plus sensibles, à savoir la nutrition infantile. Plus en avant, apparus dès 2016, mais démocratisés en 2021, les NFTs constituent une innovation majeure dans l’utilisation de la BC. En effet, les NFTs représentent la première solution, en termes de droits de propriété, pour les objets immatériels numériques. Finalement, la blockchain constitue une telle innovation que désormais le terme de web lui est accolé et que de nouveaux protocoles (nostr, notamment) commencent à émerger.

La dernière innovation de rupture est constituée par le seuil franchi par les algorithmes d’intelligence artificielle (IA). Depuis le congrès de 1956 à Dartmouth regroupant les plus brillants académiques de l’époque et notamment M. Minsky, C. Shannon, A. Newell ou encore le prix Nobel H.A. Simon (Chase et Simon, 1973 ; Langley et Simon, 1995), le concept d’IA n’a cessé de se développer. Aujourd’hui, deux facteurs contribuent à ce qu’il franchisse un seuil : le volume de données disponibles pour l’apprentissage et le montant des investissements dans ce domaine. Évoqué par ailleurs dans ce livre, l’exemple de l’IA de Google suffit à illustrer la potentialité de cette technologie. Dénommée AlphaGo Zero, cet algorithme d’IA n’a mis que trois jours à vaincre son prédécesseur par un score sans appel : 28 gains, 72 nulles, 0 défaite. Or, la méthode d’apprentissage a été différente des précédentes. Les anciennes versions apprenaient à partir d’exemples. Celle-ci s’est fondée sur l’apprentissage des règles du jeu, avant que l’algorithme ne s’entraîne seul pendant quelques heures. AlphaGo Zero ne disposait donc que des règles du jeu et de la position des pions sur le plateau. L’entreprise française Kayrros utilise aussi l’IA pour affiner son analyse d’images satellites et permettre à l’industrie énergétique (pétrole et gaz) d’optimiser de nombreux processus, comme le transport ou la gestion des fuites. Dans les années 1950, largement dominées par le secteur industriel, la robotisation a transformé les usines classiques. Aujourd’hui, dans un monde occidental dominé par les services, l’IA joue le même rôle. Les conséquences seront d’une ampleur sûrement plus grande puisque 55 % à 80 % de la population active en seront impactés.

Prise indépendamment, ces quatre innovations contribuent à façonner notre contexte. Cependant, la transformation radicale sera issue de synergies entre l’ubiquité de la production, les milliards d’objets connectés, la blockchain et l’intelligence artificielle en tant que chef d’orchestre. Voyons dans le point suivant divers scénarios possibles décrivant un futur probable.

Hard science fiction vs heroic fantasy

Afin de tenter de différencier le plausible du rêve éternel, nous nous référerons à un courant de la science-fiction, dont l’un des grands représentants est Arthur C. Clarke : la hard science-fiction. Ce genre a toujours pris en compte les grandes lois physiques et les avancées scientifiques pour proposer des espaces réalistes de futur. Il s’oppose à celui de l’heroic fantasy qui est, lui, peuplé d’orques et de magiciens. Nous utiliserons deux séries devenues très célèbres, Mr. Robot et Black Mirror, pour illustrer nos propos.

Série américaine comportant quatre saisons et diffusée de 2015 à 2019, Mr. Robot a connu un succès immense. Elle est d’ailleurs l’une des séries les plus piratées de tous les temps, fait qui constitue une très bonne mesure quantitative objective. En outre, le lancement de cette série représente un cas d’école de l’utilisation de techniques avancées en matière de marketing digital et notamment d’utilisation des réseaux sociaux. De son côté, la série Black Mirror a été diffusée sur Channel 4 de 2011 à 2014. Elle a connu un si large succès que Netflix a racheté les droits pour en faire trois nouvelles saisons, diffusées entre 2016 et 2019. Cette série a tellement marqué les esprits que, depuis avril 2017, le pôle français Cap Digital a décidé de lancer un cycle de conférences sur certains épisodes. Du point de vue de la recherche, fin octobre 2017, un colloque sur les technologies de l’information a aussi dédié une session à la série4.

Nous avons choisi quelques épisodes, que nous considérons à la croisée entre le domaine du cyber et celui du futur proche. Chaque épisode sélectionné constitue un scénario que nous avons résumé brièvement. Pour chacun d’entre eux, nous avons indiqué les enjeux soulevés pour les organisations, puis estimé la potentialité d’occurrence d’un tel scénario dans la vie réelle.

Mr. Robot, saison 1, épisode 5 :
« 3xp10its.wmv »

Dans ce cinquième épisode de la première saison, Elliot parvient à entrer dans un centre de données très sécurisé, appelé Steel Mountain, grâce à l’aide de Fsociety qui use de la pratique de l’ingénierie sociale. En effet, elle crée un profil élogieux d’Elliot sur un site du type Wikipédia et persuade le responsable de l’accueil de lui faire visiter les lieux. Par la suite, Elliot rencontre un haut cadre de E Corps, appelé Tyrell. Étant le directeur technique adjoint, il est une cible de haute valeur pour une action de piratage. L’équipe de la Fsociety lui indique que Tyrell est un « arrogant prick ». Eliott joue donc sur cette vulnérabilité comportementale pour arriver à ses fins et réussir à infecter l’application de gestion de la climatisation.

Deux enseignements peuvent être tirés de cet épisode.

Génération spontanée

Le premier enseignement de cet exemple réside dans la croyance qu’ont les individus dans ce qui est écrit, plutôt que dans ce qui est dit. De nos jours, par exemple, l’immense majorité des étudiants en école de commerce publique ou privée possède un compte LinkedIn. Il est ainsi facile pour un employeur de regarder ces comptes et d’avoir une première idée des compétences des candidats. Confronté à des millions de profils, l’employeur ne peut distinguer celui authentique de celui qui est embelli et de celui qui est totalement fictif. Pourtant, la création d’un avatar avec une légende imaginée n’est pas une nouveauté – en témoignent les sites de rencontre. En revanche, à la différence de l’épisode, la gestation est un peu plus longue et ne s’improvise donc pas. La date de création du compte, qui est souvent mentionnée sur les applications, constitue un facteur de crédibilité rapide à contrôler. Il n’en demeure pas moins que la conformité entre l’identité physique et l’identité virtuelle devient de plus en plus délicate à vérifier. Le cas du QR code du pass sanitaire demandé dans un restaurant en est une bonne illustration. En conclusion, toute incohérence dans la chaîne d’information liant le monde physique au monde virtuel constitue une vulnérabilité ou une opportunité, selon le point de vue.

MICE

Le second enseignement est rapide à exprimer. Même dans un monde numérique, l’humain demeure avec ses forces et ses faiblesses cognitives et comportementales. Or, dans les entreprises numériques, certaines personnes (développeurs, créateurs d’algorithmes ou administrateurs de serveurs de courriers, par exemple) possèdent des pouvoirs très importants, ce qui en fait des cibles à très haute valeur.

Conclusion et probabilité d’occurrence

À part quelques détails techniques – comme l’oreillette magique –, tous les éléments de cet épisode existent déjà et constituent des caractéristiques du cyber.

Mr. Robot, saison 2, épisode 11 :
« pyth0n_pt1.p7z »

L’agent du FBI Dominique DiPierro n’a pas été blessée par le tireur de la Dark Army et souhaite reprendre ses investigations sur les liens que cette dernière entretient avec E Corp. Toutefois, son responsable lui annonce que c’est inutile. En effet, la Chine vient de prêter à E Corp deux trillions de dollars sans intérêt. Il s’agit ainsi de stopper la crise issue du piratage. Une scène montre alors Price qui parvient à forcer le gouvernement fédéral à libéraliser l’usage de sa propre cryptomonnaie appelée l’ECoin. L’agent DiPierro, quant à elle, sombre dans la dépression.

Cet épisode, qui conclut la deuxième saison de Mr. Robot, possède un principal enseignement lié à la question de la place des cryptomonnaies.

Qui a le droit de battre monnaie ?

Les potentialités offertes par la blockchain, d’une part, et le taux d’endettement des États, d’autre part, ont contribué à favoriser le développement et l’adoption des cryptomonnaies. Le Bitcoin, en octobre 2022, a un cours d’environ 20 000 €, avec une capitalisation de près de 400 milliards d’euros et avec 13 ans d’existence, constitue un indéniable succès. Aussi, de grands groupes ont commencé à proposer des projets de création de leur propre crypto. L’annonce du Libra par Facebook, le 20 décembre 2020, a illustré le choc entre État et organisations privées. Même si, depuis, ce projet a été mis en sommeil, la question demeure. Toutefois, cette question est plus subtile qu’un simple affrontement entre public et privé. En effet, la monnaie comme instrument de confiance se heurte à la défiance des citoyens envers leurs dirigeants. De plus, les monnaies classiques ne sont que partiellement numériques. Sans blockchain, ce ne sont que des lignes dans un fichier sans garantie de pérennité. Or, transformer les monnaies existantes en crypto est un processus trop complexe. À l’instar du partenariat NASA – SpaceX, la tentation peut être grande d’adosser une monnaie étatique à une technologie garantie par un géant du numérique.

D’ailleurs la scène de cet épisode montrant l’adoption de l’Ecoin est souvent reprise sur les réseaux sociaux à titre d’exemple.

Conclusion et probabilité d’occurrence

Les technologies sont nombreuses et plusieurs types de blockchain existent. Difficile de prédire quelle sera ou quelles seront les cryptos dominantes. En revanche, il est certain que le futur des monnaies passera par l’adossement à une blockchain ou une autre technologie de ce type (quand le quantique sera utilisé notamment). Les expérimentations à l’échelon national se déroulent déjà, par exemple au Salvador. En effet, en septembre 2021, ce pays a choisi d’adopter le Bitcoin comme monnaie nationale aux côtés du dollar. Comme les données, la monnaie constitue donc aussi une question de souveraineté.

Black Mirror, saison 1, épisode 1 : « L’Hymne national »

Le Premier ministre anglais est confronté à un terrible chantage à la suite de l’enlèvement d’une princesse, membre de la famille royale. L’accord proposé par les kidnappeurs est le suivant : la jeune fille sera libérée uniquement si le Premier ministre a un rapport sexuel avec un cochon et que cet acte est diffusé en direct avant 16 h sur l’ensemble des médias du pays. La première réaction du Premier ministre est de demander la discrétion à tous les médias. Cependant, une vidéo de la princesse a déjà été mise en ligne sur YouTube et, malgré son retrait presque immédiat, nombreux l’ont vue. Aussi, les médias s’emparent de l’affaire qui dépasse vite les frontières anglaises. Plusieurs stratégies sont alors mises en œuvre : tenter de trouver l’origine de la vidéo, réaliser une fausse vidéo avec un acteur. Mais à chaque fois des informations fuitent sur Internet. Quand un journaliste reçoit un doigt coupé censé appartenir à la princesse, l’opinion bascule et devient agressive envers le Premier ministre. Une opération de libération de l’otage est lancée, mais elle s’avère être un fiasco. Devant l’ampleur de la menace, le Premier ministre cède sans savoir que la princesse a été libérée plus tôt et qu’il s’agissait d’une tentative avortée de performance d’un artiste, qui s’est finalement suicidé. La véritable chronologie des événements n’est révélée ni au public ni au Premier ministre.

Trois enseignements peuvent être tirés de ce scénario.

Passoire vs protection

Les données ne peuvent être cachées par une procédure classique de classification. La récente fuite de données de la société d’assurance-crédit Equifax, qui a conduit au vol de près de 150 millions de données clients, illustre cette illusion de protection. Il convient alors d’imaginer des tactiques inédites pour cacher ou obfusquer des données sensibles (Brunton et Nissenbaum, 2015). Un autre exemple de fuite nous a été donné le 31 octobre 2017 quand une clé USB contenant des données sensibles sur l’aéroport londonien de Heathrow, par exemple sur les itinéraires empruntés par la reine d’Angleterre, a été trouvée par un particulier dans les rues de Londres et que cette personne l’a remise au journal populaire le Sunday Mirror5. Un des enjeux de 2040 résidera dans cette capacité de management des fuites.

La démence de la foule

J. Surowiecki (2005), suivant les traces de G. Le Bon (1895), a mis en avant la sagesse des foules. Son ouvrage offrait une vision positive qui indiquait que la foule a toujours raison et conduit finalement à imposer un bon sens commun. Cet optimisme a souvent été partagé et peut aussi se retrouver dans la notion d’intelligence collective (Eric et Bonabeau, 2009). Cependant, ce scénario ne valide que partiellement cette hypothèse. La foule balance entre compassion et hystérie collective. Dans ce cadre, la théorie des cascades d’information s’avère particulièrement utile pour modéliser et comprendre comment gérer ces crises (Denis-Remis et al., 2013 ; Welch, 2000). Quand plus de 90 % de la population sera sur un ou plusieurs réseaux sociaux, le management de ces cascades constituera un véritable défi des années 2040.

L’incendie 3.0

Au milieu d’une situation tendue, un seul événement conduit à transformer radicalement la situation. Ici, il s’agit de l’envoi d’un « doigt mutilé », qui fait franchir un seuil et renverse l’opinion publique. Un exemple réel dramatique illustrant la notion de seuil est l’immolation par le feu d’un marchand ambulant, en 2010, en Tunisie. Cet acte constitue le début du renversement du gouvernement en place. Il devient alors extrêmement délicat de surveiller et de contrôler des faits qui auraient auparavant été qualifiés d’incidents malheureux et qui conduisent maintenant à générer un chaos (pas forcément négatif d’ailleurs). L’enjeu du zéro défaut mis en œuvre dans les organisations au travers, par exemple, du Total Quality Management (TQM) se posera pour le management de la foule.

Conclusion et probabilité d’occurrence

Toutes les technologies nécessaires à ce scénario existent. Des prises d’otages émotionnelles se sont déjà produites, comme avec l’enlèvement du Baron Empain en 1978. Relayé par l’ensemble des médias de l’époque, l’événement a profondément marqué la société française. Le retentissement aurait été mondial si une telle actualité avait été relayée par les réseaux sociaux et les décisions prises auraient sûrement été différentes. Ainsi, nous estimons que la probabilité d’occurrence de ce scénario est très élevée.

Black Mirror, saison 1, épisode 2 : « 15 millions de mérites »

Bing Madsen vit immergé dans un monde d’écrans et passe ses journées à pédaler sur un vélo d’appartement pour accumuler des « Merits », c’est-à-dire des points lui permettant d’acheter des produits et de participer à des jeux. Un jour, il rencontre Abi Carner, une jeune chanteuse talentueuse. Il tente alors de l’aider à sortir de sa condition en la faisant participer à Hot Shot, une émission censée dénicher les talents de demain. Malgré sa performance, c’est pour participer à des émissions plus crues qu’elle est sélectionnée et non pour participer à celles pour devenir chanteur. Bing est désespéré, car il n’a pas aidé Abi et estime l’avoir piégée. De rage, il décide de participer à son tour à Hot Shot, non pour y réaliser une performance d’artiste, mais afin de dénoncer le monde aliéné dans lequel ils vivent. Son stratagème le conduit finalement à la tête d’une émission dédiée à ses coups de gueule, ce qui finalement lui procure un plus grand confort de vie, mais dans le même monde.

Une illusion commerciale de masse constitutive de la réalité

Débutant en 2001 en France avec Loft Story, la téléréalité est devenue aujourd’hui un mode de variété télévisuelle omniprésent. Fondée à la fois sur des émissions franchisées généralistes comme Koh Lanta ou sur des niches spécialisées comme les différentes émissions sur l’Alaska, la téléréalité explore sans cesse de nouvelles déclinaisons. Le public a alors du mal à distinguer ce qui tient du jeu d’acteurs suivant un scénario des interactions sociales susceptibles de se dérouler. La téléréalité constitue de ce fait un excellent outil d’influence commerciale. La démocratisation des outils de production médiatique pourrait alors conduire à ce que la téléréalité soit détournée de sa vocation initiale pour devenir un puissant moyen de propagande. Remplaçant des produits de propagande sous forme de publications périodique, à l’image des newsletters de AQ par exemple, des groupes terroristes utiliseraient ce moyen pour régulièrement diffuser leur propagande, tenant en haleine leur auditoire.

Drame online

Actuellement, la téléréalité n’a pas encore vraiment intégré deux puissants outils médiatiques : la diffusion en direct et l’interaction avec des médias sociaux. Dans 20 ans, il est plus que probable que ces deux caractéristiques engendreront des synergies conduisant à une téléréalité captivant complètement ses téléspectateurs. Dans ce cadre, les zones de tournage deviendront des points très sensibles à protéger. En effet, si un attentat, même de faible ampleur, s’y produisait, son retentissement serait disproportionné. Le piratage du type ransomware peut d’ailleurs constituer un mode d’action particulièrement judicieux du point de vue de l’attaquant.

Conclusion et probabilité d’occurrence

En conclusion, la téléréalité va devenir, à l’instant des opérateurs d’importance vitale (OIV), une organisation entrant dans le prisme du monde cyber. Toute atteinte à l’intégrité de ce type d’émission est susceptible d’avoir un impact de grande ampleur. Ici aussi, nous estimons que la probabilité d’occurrence est très élevée.

Black Mirror, épisode spécial Noël : « Blanc comme neige »

Joe se réveille dans une maison isolée dans laquelle il côtoie Matt depuis 5 ans. La célébration de Noël permet à chacun d’expliquer pourquoi il se trouve dans ce lieu. Matt est le premier a raconté son histoire. Dans le monde extérieur, tout le monde a accepté la technologie Z-Eye, un lecteur implanté dans l’œil qui permet un accès aux données personnelles par reconnaissance faciale. Matt, après un incident professionnel, a été quitté par sa femme qui a décidé de le bloquer, c’est-à-dire de masquer son image visuelle et sa voix par le Z-Eye.

Joe, de son côté, a aussi eu un problème conjugal : sa femme l’avait également bloqué et l’empêchait de voir leur enfant – à naître au moment de leur séparation. Cependant, sa femme est décédée 4 ans plus tard et le blocage a disparu en même temps. Joe s’est alors rendu compte que l’enfant n’était pas de lui. Après une querelle qui a conduit à la mort de son beau-père, l’enfant s’est enfui seul dans la neige et n’a pas survécu à la température. À la suite de ces aveux, Matt met fin à ce qui était en réalité un interrogatoire visant à savoir ce qui était arrivé à cet enfant. Pour ce faire, il a interrogé une copie numérique de la mémoire de Joe. Matt, qui était poursuivi pour son incident professionnel, a réussi la mission que lui avait donnée la police : faire avouer à Joe ce qui était arrivé à l’enfant. En contrepartie, il est donc libéré, mais reste tout de même bloqué, par précaution, pour tous les autres êtres humains. Joe, lui, voit la mémoire de son double numérique paramétrée d’une manière éternellement répétitive.

Un sceau d’infamie 2.0

En 2018, plus de 50 % de la population mondiale (4 milliards d’individus) étaient connectés au réseau Internet et les trois quarts étaient au moins sur un réseau social (3 milliards). En 2040, plus de 90 % des individus seront connectés et appartiendront à un réseau ou à une plateforme (Benavent, 2016). Dans ce cadre, le fait de bannir une personne, une organisation ou même un État de l’accès à Internet sera une mesure punitive forte. Du point de vue du droit, les notions de blocus, d’embargo et de boycott devront être révisées à l’aune de ces applications. Ce qui est intéressant dans ce scénario réside dans le blocage individuel et sélectif qui peut être opéré. Ainsi, ce dispositif peut remplacer les actuelles mesures d’éloignement décidées par un juge.

Usurpation d’identité

Cet épisode pose aussi la question des liens entre identité physique et identité numérique. Depuis 2018, la frontière tend à devenir floue. Prenons l’exemple d’une personne ne se rappelant plus une recette de cuisine et qui la recherche sur Google. Le moteur lui fournit une recette se trouvant sur un site adapté à ses particularités (zone géographique, type de navigateur) et ses goûts (précédentes requêtes et commentaires). Ainsi, cet individu a externalisé une partie de sa mémoire à son identité numérique et d’une certaine manière son identité physique est liée à son identité numérique. Si ce processus continue, dans 25 ans, les implications en termes cyber seront au moins au nombre de deux. Premièrement et à l’image de ce scénario, la judiciarisation portera principalement sur l’identité numérique, ce qui aura des effets sur l’identité physique, à l’opposé de ce qui se passe actuellement. Deuxièmement, si les identités physiques sont vues sous le prisme des identités numériques, alors, la notion d’usurpation prendra une nouvelle dimension.

Conclusion et probabilité d’occurrence

En mêlant les deux enseignements ci-dessus, on peut imaginer un nouveau mode d’action pour un attaquant potentiel. Il s’agirait de bloquer l’identité numérique d’une personne tout en créant une autre identité numérique similaire à celle bloquée. Le résultat serait alors une usurpation d’identité empêchant la personne usurpée de réagir et donc de prouver son vol d’identité. La probabilité d’occurrence est forte, même si cela ne sera pas exactement sous la forme décrite dans l’épisode.

Black Mirror, saison 3, épisode 1 : « Chute libre »

Dans cette réalité, chaque individu note les autres de zéro à cinq, à chaque occasion de la vie ; les mieux notés ayant accès à des avantages. Lacie fait tout pour améliorer sa note, qui est alors de 4,2. Le discours qu’elle doit faire pour le mariage de son amie d’enfance, qui est mieux notée qu’elle, constitue la parfaite occasion pour atteindre son objectif. Mais, en se rendant à la cérémonie, rien ne se déroule comme prévu puisqu’elle ne cesse de voir sa note se dégrader jusqu’à atteindre 2,8. Cette note n’est pas acceptable pour la mariée, qui lui refuse l’accès à la réception. Lacie force alors le passage et prononce un discours qui réduit encore sa note, au point de la conduire en cellule, en face de celle d’un homme qu’elle ne peut noter car elle a elle-même perdu ce droit.

Tout est noté et conservé

Élaboré de manière professionnelle par CNN en 1991 lors de la première guerre du Golfe, le suivi des opérations militaires en temps réel a continué de se développer. Or, aux côtés de la communication institutionnelle, s’est également développée une myriade d’influenceurs et de « watcheurs » des différentes opérations et théâtres. Ce phénomène s’amplifie et si l’on croise ces informations avec des mécanismes de like ou d’unlike, le déroulé d’une opération militaire risque fort d’être impacté par les votes du public. Dès lors, il y aurait un paradoxe très délicat à gérer : comment concilier des likes qui représentent des vues de très court terme avec une stratégie fine de long terme. La tyrannie du court terme pourrait bien s’imposer, ce qui conduirait à la disparition de la stratégie. Ajoutons qu’avec le mécanisme de blockchain, tout pourra être conservé et éventuellement consulté. Une baisse de note temporaire pourrait à jamais entacher un profil. Le comportement des individus comme des organisations sera impacté.

Note et droit

À la manière des pays évalués par des agences de notation, il serait possible d’imaginer que les États soient notés selon des critères définis par la foule des internautes. Dans ce cadre, un pays chercherait à obtenir une bonne note pour légitimer ses actions ou même pour réaliser ses actions. À l’opposé, un autre État ou un groupe d’agresseurs pourrait tenter de mettre en place une stratégie visant à baisser la note d’un pays. Ce dernier verrait alors, par exemple, sa capacité à emprunter devenir plus délicate. L’action sur les notes serait un mode d’action particulièrement efficace.

Conclusion et probabilité d’occurrence

Dans un article paru dans Wired, A. Newitz (2007) propose quatre manières d’influencer les notations de la foule, dans une optique de manipulation mal intentionnée, qui pourraient être à la base de modes d’action d’un ennemi :

– le buddy system, qui conduit les utilisateurs à se regrouper pour avoir ponctuellement une supériorité sur un vote bien précis ;

– le geek balting, qui s’appuie sur l’envie de nouveauté et d’innovation de nombreux internautes. Ici, l’organisation qui veut améliorer son attractivité met en avant quelques innovations masquant la réalité de son offre. Les votants survaloriseront alors cette organisation. Un pays pourrait mettre en avant la mise à disposition gratuite d’imprimantes 3D, par exemple, le rendant attractif, alors que, dans l’ensemble, il se trouve dans une situation économique déplorable ;

– le network for hire, qui consiste à acheter le comportement de certaines personnes pour s’assurer de leur vote. Ce mécanisme a été évoqué dans le cadre du marché des émissions carbone ;

– le pump and chump, qui conduit des personnes à s’acquitter parfaitement de petites tâches pour acquérir une bonne réputation et ensuite réaliser une escroquerie sur un projet de plus grande ampleur.

Le mécanisme de vote, popularisé par Amazon ou Booking.com, ne fera que s’étendre. Il est à prévoir qu’il concernera de plus en plus d’actes de nos vies. La probabilité d’occurrence est ici aussi très élevée.

Black Mirror S03E06 : « Haine virtuelle »

Une série de meurtres sanglants a pour cibles des individus impliqués dans des affaires médiatiques sordides. Les policiers chargés de retrouver le coupable découvrent une arme inédite : des drones abeilles reprogrammés pour s’introduire dans le cerveau des victimes et ainsi les torturer jusqu’à ce qu’elles se donnent la mort. Au fil des meurtres, les enquêteurs découvrent les motivations du tueur qu’il a inscrites dans un code : « chacun doit subir les conséquences de ses mots ». Enfin, le mode opératoire est mis à jour : un #DeathTo désigne aux abeilles drones ceux qui ont participé à un bad buzz. Le tueur, un activiste programmeur de drones, ainsi qu’une de ses planques sont enfin identifiés. Dans l’une d’elles y est retrouvé le code utilisé pour craquer la sécurité du système des drones abeilles, mais aussi une liste des identifiants de toutes les personnes ayant utilisé le #DeathTo. En relançant le système pour reprendre le contrôle des drones abeilles, les policiers provoquent la mort de 387 000 personnes : celles qui avaient posté le #DeathTo. La relance du système était piégée pour punir aussi ceux qui avaient participé à ces mises à morts.

Les nouvelles armes par destination

Ce scénario met en avant le détournement d’une avancée technologique dont la vocation première est écologique : des drones abeilles pollinisateurs. Ces drones sont contrôlés par un système qui s’avère hackable. Le hacker détourne alors ces appareils pour les transformer en des armes mortelles et difficilement traçables. Le mariage entre appareils physiques et système numérique connaît un essor important. Depuis son apparition au début des années 2000 au Massachusetts Institute of Technology (MIT) et sa popularisation avec l’innovation française prenant la forme d’un lapin connecté (le fameux Nabaztag), le concept d’IOT n’a cessé de croître. Estimés à près de 9 milliards d’appareils en 2022 et à plus de 20 milliards en 20206, ces appareils devraient être ubiquitaires dans 25 ans. Dans ce cadre, la question de la confiance numérique sera encore plus prégnante qu’aujourd’hui et les risques de plus grande ampleur. Notons, d’ailleurs, qu’un collectif d’alerte sur les risques cyber de nouvelles armes a utilisé le concept de drone tueur d’individus, en fin d’année 20177.

Les armes de masse à cible individuelle (AMCI)

Le deuxième élément de ce scénario qui nous semble pertinent réside dans le fait que ces millions de drones sont capables de viser une cible unique. Il y a là un paradoxe : le développement mondial de technologies permet aussi de ne s’adresser qu’à un seul individu. La logique prévalente dans un monde non numérique voudrait que la masse traite la masse et que la spécialisation ne traite que les cas isolés. Mais le numérique permet de changer de paradigme. Le numérique s’adresse à un individu, mais permet aussi de remonter de l’individu au collectif. De tout temps, la dichotomie entre macro et micro s’est opérée, comme en sciences économiques par exemple. Le numérique permet de dépasser cette dichotomie. Appliquée au domaine de l’armement, une arme stratégique peut être destinée à une seule personne et une arme tactique à une foule.

La motivation médiatique

Le troisième enseignement de ce scénario est lié à la motivation médiatique d’un criminel. Ce type de motivation n’est pas, à proprement parler, innovant. Cependant, la technologie favorise sa mise en œuvre. En effet, il devient à la portée de tout individu de récupérer la liste des comptes ayant utilisé un hashtag associé à un fait jugé scandaleux (le célèbre #balancetonporc en est un exemple). Ainsi, tout fait perçu comme inique conduit son auteur et/ou ses supporters à s’exposer médiatiquement et ainsi à devoir affronter des attaques de justiciers autodésignés. Ce mécanisme peut s’avérer très dangereux s’il vise par exemple des civils supportant l’action militaire légitime d’un gouvernement sur un théâtre extérieur et qui deviendraient une cible ne bénéficiant pas de la protection des personnels participants effectivement à cet engagement.

Conclusion et probabilité d’occurrence

L’utilisation des réseaux sociaux pour remplacer la justice existe déjà. Couplées à des armes par destination, les implications seront dramatiques. Ce scénario a une probabilité d’existence forte en raison du développement de l’IA et de l’impression 3D.

Conclusion

Pour conclure, il semble évident que le cyberespace constitue un espace possédant des règles spécifiques. Cet espace déborde du monde juste numérique pour toucher nos vies terrestres et aussi l’espace extraterrestre. Il est donc important de comprendre ce monde. À cet effet, les théories du contrôle et la complexité (Anthony, 1965 ; DeSanctis et Poole, 1994 ; Hollnagel, 1993 ; Lemoigne, 1990) constituent toujours des grilles stables permettant de mieux évaluer les changements opérés et les risques et opportunités qui en découlent.

Le dernier constat est que, même si de brillantes entreprises françaises existent, la position dominante issue de l’ère industrielle n’est plus garantie. Dès lors, il apparaît important de modifier le paradigme stratégique existant et donc les procédures y afférant. Dans le monde numérique cyber, le dominé, c’est nous. Aussi, mettons en œuvre des stratégies adaptées que l’on nommerait stratégies d’insurgés ou de corsaires.

Bibliographie

ANDERSON C., 2012, Makers: The New Industrial Revolution, Random House, Crown Publishing Group.

ANDERSON C., 2006, The Long Tail: Why the Future of Business Is Selling Less of More, Hyperion.

ANTHONY R.N., 1965, Planning and Control Systems: A framework for analysis, Harvard University Graduate School of Business Administration.

BENAVENT C., 2016, Plateformes. FYP Éditions.

BESSAGNET A., CRESPO J. et VICENTE J., 2021, « Unraveling the multi-scalar and evolutionary forces of entrepreneurial ecosystems: A historical event analysis applied to IoT Valley », Technovation, vol. 108.

BONABEAU E., 2009, « Decisions 2.0: the Power of Collective Intelligence », MIT Sloan Management Review, vol. 50, no 2, p. 45.

BOULET R., LEBRATY J.-F., 2020, « Influencers and Covid_19: Characterizing and defining courses of action », Management et Datascience, vol. 4, no 4.

BRUNTON F.et NISSENBAUM H., 2015, Obfuscation: A User’s Guide for Privacy and Protest, MIT Press.

CHASE W.G. et SIMON H. A., « The mind’s eye in chess », in CHASE W. G. (dir.), 1973, Visual Information Processing, Academic Press, p. 215-281.

DENIS-REMIS C., LEBRATY J.-F et PHILIPPE, H., 2013, « The 2008 Anti French demonstrations in China: Learning from a social media crisis », Journal of Contingencies and Crisis Management, vol. 21, no 1, p. 45-55.

DESANCTIS G. et POOLE M. S., 1994, « Capturing the Complexity in Advanced Technology Use: Adaptive Structuration Theory », Organization Science, vol. 5, no 2, p. 121-147.

FORTINO G., LIOTTA A., GRAVINA R.et LONGHEU A., 2019, Data Science and Internet of Things, Springer.

GLADWELL M., 2000, The Tipping Point: How Little Things Can Make a Big Difference. Little, Brown and Company.

HOLLNAGEL E., 1993, Human reliability analysis – context and control. Academic Press.

IANSITI M. et LAKHANI K. R., 2017, « The truth about Blockchain », Harvard Business Review, janvier-février, p. 1-11.

KIM W.C et MAUBORGNE R., 2010, Stratégie océan bleu : Comment créer de nouveaux espaces stratégiques, Pearson Education.

LANGLEY P. et SIMON H.A., 1995, « Applications of Machine Learning and Rule Induction », Communications of the ACM, vol. 38, no 11, p. 55-78.

LE BON G., 2003 [1895], Psychologie des foules, PUF.

LEBRATY J.-F. et LOBRE K., 2015, Crowdsourcing, porté par la foule, ISTE Éditions.

LEMOIGNE J. L., 1990, La modélisation des systèmes complexes, Dunod.

MINTZBERG H., 1994, « The Fall and Rise of Strategic Planning », Harvard Business Review, vol. 72, no 1, p. 107-114.

NEWITZ A., 2007, « Herding the Mob », Wired, vol. 15, no 3, p. 101-108.

PORTER M.E., 1996, « What is strategy? », Harvard Business Review, vol. 74, no 6, p. 61-78.

SUROWIECKI J., 2005, La sagesse des foules, J.-C. Lattès.

WELCH I., 2000, « Herding among security analysts », Journal of Financial Economics, vol. 58, no 3, p. 369-396.

WU C.-K., 2021, Internet of Things Security: Architectures and Security Measures, Springer.

Penser l’espace numérique comme un espace stratégique

Amaël CATTARUZZA

Concevoir l’espace numérique à travers le prisme de la géographie, de la géostratégie et de la géopolitique peut, à première vue, sembler délicat. En effet, nos représentations usuelles du numérique sont soit celles d’infrastructures et de matériels techniques (bien géographiques mais a priori très éloignés d’interférences stratégiques et politiques), soit celles d’un espace intangible, difficile à circonscrire et à cartographier, car présent partout à la fois, dans l’ensemble des lieux disposant d’une connexion Internet. Nous proposons d’aborder cette question autour de trois axes particuliers. En premier lieu, il convient de réfléchir à la manière dont les géographes se sont approprié l’espace numérique et comment ils en ont fait, depuis plusieurs décennies, un outil d’analyse et un objet d’étude. Ensuite, nous verrons comment à partir du concept technique de « couche » a pu être développée une approche stratégique des dimensions spatiales du cyberespace. Enfin, à rebours de l’idée d’un espace essentiellement « virtuel » et immatériel, nous reviendrons sur la géographie physique de ce nouvel environnement, qui a des conséquences très importantes sur sa situation stratégique et géopolitique.

La géographie, les géographes et le cyberespace

Cela fait déjà plusieurs décennies que la géographie s’intéresse au cyberespace (Graham et Marvin, 1999 ; Dodge et Kitchin, 2001 ; Warf, 2013 ; Kellerman, 2016). Les géographes James Ash, Rob Kitchin et Agnieszka Leszczynski ont ainsi récemment proposé une présentation synthétique des relations étroites entretenues entre géographie et numérique (Ash, Kitchin et Leszczynski, 2016). Ils identifient trois types de relations différentes, qui ont chacune leur propre chronologie et forment leur propre champ disciplinaire : les géographies du numérique, les géographies produites par le numérique et les géographies produites via le numérique.

Les géographies du numérique, qui émergent dès la fin des années 1990, se consacrent en particulier à l’application « d’idées et de méthodologies géographiques préexistantes pour étudier ce qui est considéré comme un nouveau domaine matériel, spatial et technique de communication et d’interaction » (Ash, Kitchin et Leszczynski, 2016, p. 4). Des géographies d’Internet, du cyberespace, des mondes virtuels ou des jeux vidéo ont alors fait leur apparition, montrant en quoi ce nouvel environnement numérique est une production humaine, basée sur un assemblage complexe d’éléments sociotechniques (Dodge et Kitchin, 2001 ; Beaude, 2012 ; Warf, 2013).

Les géographies produites par le numérique se sont intéressées plus spécifiquement à la manière dont ces technologies ont modifié la production de nos espaces du quotidien, en les régulant ou en les « augmentant », et comment elles ont transformé, ce faisant, les relations sociospatiales (Ash, Kitchin et Leszczynski, 2016, p. 7). Les TIC ont ainsi entraîné une restructuration des organisations sociospatiales, favorisant les réseaux sur les anciens modes de pouvoirs territorialisés et hiérarchisés (Castells, 1996) et cette dynamique affecte l’ensemble des domaines de la géographie, en particulier les systèmes urbains (Graham et Marvin, 1999). Par ailleurs, la diffusion des technologies numériques a permis la production d’espaces « augmentés », c’est-à-dire d’espaces dont la fonction est en partie générée par les codes et les algorithmes qui les gèrent (Thrift et French, 2002 ; Kitchin et Dodge, 2011). Que serait un aéroport sans les traitements numérisés qui permettent d’enregistrer voyageurs et bagages ? Que serait un supermarché sans les logiciels qui associent les codes-barres à un prix et qui enregistrent les paiements en caisse ?

Enfin, les géographies produites via le numérique sont plus anciennes et proposent de revisiter l’ensemble des domaines de la géographie classique, par le biais d’un traitement numérique des données. Cette branche quantitative apparaît avec l’invention des premiers ordinateurs et se développe dans les années 1960 et 1970. Les systèmes d’information géographique (SIG) sont issus de cette pratique. Ils permettent aujourd’hui de traiter et de visualiser de manière cartographique de gigantesques bases de données géolocalisées, et de représenter ainsi de façon très fine des processus sociaux, politiques et économiques. Si ce domaine de la géographie est plus technique, il n’en a pas moins développé un courant critique qui essaie de se détacher de l’instrumentalisation institutionnelle qui peut en être faite pour s’intéresser à des objets plus éloignés du pouvoir – les minorités, les femmes, le genre, entre autres (Ash, Kitchin et Leszczynski, 2016, p. 10).

Ainsi, quel que soit le type de relations mis en avant, cette question du pouvoir reste un aspect important de la production scientifique générée par ce couple géographie/numérique. Il n’est donc pas surprenant que cet espace numérique ait également fait l’objet d’analyses géopolitiques. En France, les travaux de Frédérick Douzet et de son équipe de l’Institut français de géopolitique (IFG) ont contribué à éclairer ce domaine. Sous sa direction, la revue Hérodote a consacré en 2014 un double numéro à la question du cyberespace. En introduction, Frédérick Douzet présente les différents enjeux d’une approche géopolitique du cyberespace (Douzet, 2014). Ils sont vastes et touchent à la fois aux individus (respect de la vie privée, commerce des données personnelles, pirates informatiques, cybersécurité), aux États (rivalités de pouvoir, questions de la souveraineté, des cyberattaques et des adaptations doctrinales qu’elles provoquent, ou des nouveaux rapports de force induits par l’architecture physique et logique des réseaux) et à la gouvernance mondiale (poids croissant des nouveaux géants économiques du numérique, gouvernance d’Internet, luttes de valeurs entre États « démocratiques » et « autoritaires », implication d’acteurs non étatiques). Sur tous ces points, le cyberespace offre un champ nouveau d’affrontements et de tensions entre acteurs locaux, nationaux et internationaux. Frédérick Douzet montre comment les rapports de force et d’influence, lisibles sur la scène géopolitique mondiale, se reconfigurent de manière similaire dans le milieu numérique, avec néanmoins des effets déformants, dus à l’avance technologique des États-Unis et à leur capacité sans précédent de surveillance globale.

À côté de cette géopolitique du pouvoir dans le cyberespace, une géopolitique critique est également apparue, plus particulièrement dans le monde anglophone. Celle-ci s’intéresse, entre autres, à la manière dont le développement du numérique a accentué les inégalités sociales entre ceux qui possèdent, stockent, traitent les données et le reste du monde (Andrejevic, 2014). De fait, les utilisateurs sont à la fois candides et impuissants, face à des usages et des stratégies dont ils n’ont, la plupart du temps, pas connaissance. Cette branche disciplinaire donne également à voir les nouveaux modes de surveillance, ciblés ou non, permis par ces technologies (Klauser, 2017 ; Broeders et Dijstelbloem, 2016 ; Van Dijck, 2014). D’autres auteurs relèvent cette nouvelle légitimation technique du pouvoir qui, par le biais de l’analyse algorithmique, justifie ses politiques au nom d’une expertise statistique (Amoore, 2013).

La théorie des couches du cyberespace, une conception opérationnelle

La relation entre espace politique et espace numérique offre ainsi un champ de recherches très large, s’articulant autour d’un grand nombre d’objets et de méthodologies. Concernant le cyberespace, néanmoins, une conception plus opérationnelle, largement diffusée aujourd’hui, consiste à le décrire comme constitué de plusieurs couches, en utilisant ici une métaphore géologique. Le nombre de couches distinguées varie d’ailleurs en fonction des auteurs, allant de trois à cinq, voire sept. Nous pouvons rappeler ici la théorie des trois couches du cyberespace, reprise et développée par Daniel Ventre (Ventre, 2012), car elle permet de mieux qualifier cet « espace » et de voir en quoi celui-ci peut être affecté par des frontières physiques, ou virtuelles. Le cyberespace serait donc composé de trois couches superposées :

– une couche matérielle constituée par tous les périphériques d’accès et les infrastructures nécessaires à son fonctionnement chez les fournisseurs de connexions. C’est l’aspect physique d’Internet avec ses serveurs, ses câbles sous-marins, ses data centers, etc. ;

– une couche logicielle avec ses strates, son langage machine et le protocole qui permet aux ordinateurs de communiquer les uns avec les autres et d’échanger en des temps records un volume important de données. Cette couche comprendrait aussi les applications et les programmes plus accessibles et conviviaux, qui permettent aux consommateurs d’utiliser au quotidien leur machine, sans avoir besoin d’un savoir technologique avancé ; Cette couche est la cible des attaques les plus fréquentes (virus, hacking, cheval de Troie, etc.) ;

– enfin, une couche sémantique (ou cognitive) qui est plus spécifiquement en rapport avec le contenu informationnel. En clair, l’ensemble des messages qui passe par Internet. Cette couche est donc le lieu des interactions sociales et des échanges d’informations.

Sans changer cette structure de base, certains auteurs complexifient cette approche en distinguant d’autres « couches ». Ainsi, Frédérick Douzet propose de dissocier au sein de la couche logicielle (Douzet, 2014, p. 7) :

– une couche de « l’infrastructure logique [qui] comprend tous les services qui permettent d’assurer la transmission des données entre deux points du réseau » et qui repose sur un langage commun (protocole TCP/IP) et sur des services comme le routage, le nommage, ou l’adressage ;

– une couche des applications qui permet « à tout un chacun d’utiliser Internet sans rien connaître à la programmation informatique (web, mail, réseaux sociaux, moteurs de recherche, etc.) ».

Tout l’intérêt de cette conceptualisation théorique du cyberespace est de nous fournir une dimension géopolitique plus concrète d’Internet, c’est-à-dire une certaine forme de matérialisation géographique du pouvoir dans le cyberespace. Derrière l’image d’un Internet libre, ouvert, global apparaît la domination de facto des États-Unis, du fait de leur prédominance économique, politique et technique dans ce secteur. Cette suprématie américaine sur Internet est aujourd’hui évidente à tous les niveaux, que ce soit pour ce qui est des infrastructures physiques, des avancées techniques, de la recherche technologique, du poids économique, mais aussi et surtout de l’influence réglementaire.

Ainsi, si l’on reprend les trois couches constitutives du cyberespace (physique, logique et sémantique), on retrouve pour chacune une géographie des rapports de force :

– au niveau physique, la concentration géographique aux États-Unis de la majorité des infrastructures permettant le fonctionnement du réseau (concentration des serveurs, des data centers, etc.) leur donne mécaniquement une forme de pouvoir. Il en va de même de la domination qu’ils exercent sur le marché des équipements ;

– au niveau logique, la domination exercée par Microsoft sur le marché des systèmes d’exploitation est également révélatrice d’un rapport de force, contesté par d’autres systèmes, dont les logiciels open source. Or, de nombreuses entreprises américaines comme Google, Facebook ou Yahoo !, ont réussi à s’imposer au niveau mondial et jouent un grand rôle dans la suprématie américaine actuelle. Enfin, la capacité de l’administration américaine à contraindre ces entreprises à la coopération est une forme plus marquée encore de pouvoir, qui s’apparente à un impérialisme politique. Ainsi, la National Security Agency (NSA) a pu mettre en place un programme de surveillance d’une ampleur sans précédent sur l’ensemble des réseaux de communication et à échelle mondiale ;

– quant au niveau sémantique, il peut également être le signe de rapports de force géopolitiques. Ils sont perceptibles, par exemple, à travers la claire domination sur le web des GAFAM au niveau de la visibilité de leurs contenus sur Internet.

Un espace physique et logique conditionné par des stratégies géopolitiques

L’étude de la géographie du cyberespace passe ainsi par la description et l’analyse d’infrastructures physiques, de réseaux logiques et d’un contenu sémantique qui varient d’un lieu à l’autre, peuvent faire l’objet d’une cartographie et deviennent donc des enjeux stratégiques et géopolitiques. L’exemple des câbles sous-marins est révélateur de ce constat. En effet, de la même manière qu’il existe une « géopolitique des tubes » concernant le transit des hydrocarbures (oléoducs, gazoducs), il y a une « géopolitique des câbles » concernant le transfert des données. Ceux-ci ont aujourd’hui une importance stratégique et géopolitique majeure. La coupure d’un câble sous-marin peut faire tomber un pays tout entier dans le noir numérique, comme cela a été le cas en Algérie en 2015 (Morel, 2017, p. 19). La captation de données circulant par le câble facilite la mise en place d’une surveillance de masse, comme celle réalisée par la NSA en 2013, via les programmes d’espionnage Upstream et Tempora à partir des câbles transitant sur le territoire américain.

Ces câbles peuvent également devenir des sources de tensions diplomatiques, comme cela a été le cas en 2015 entre la Russie et les États-Unis, alors qu’un bâtiment océanographique russe, le Yantar, stationnait à proximité des câbles sous-marins desservant les côtes américaines. Les travaux de la politologue Camille Morel montrent ainsi comment ces câbles sont devenus des enjeux de pouvoirs entre les États, d’autant plus importants concernant les câbles sous-marins qui concentrent le transit de plus de 95 % des télécommunications et des données internet mondiales (Morel, p. 20). Or la cartographie de ces câbles sous-marins fait apparaître une géographie du pouvoir et des rapports de force sur la scène internationale.

Que ce soit sous l’océan Atlantique, sous l’océan Pacifique ou au large des côtes du continent américain, la centralité des États-Unis est évidente, ce qui permet à ce pays d’être un nœud souvent incontournable dans l’ensemble des flux mondiaux de données. À titre d’exemple, seuls 3 % des échanges de données entre Europe et Asie font le trajet directement, sans passer par les États-Unis (Morel, p. 23). Ce détour géographique n’en est d’ailleurs pas un d’un point de vue technique, puisque la qualité et le haut niveau de technicité des infrastructures américaines vont permettre un transfert des données souvent plus rapide que par un trajet direct. Cette suprématie technologique conforte la centralité des États-Unis puisqu’elle incite les routeurs, qui définissent automatiquement les trajectoires en fonction des délais les plus courts, à orienter les flux vers leur territoire.

Cependant, cette carte laisse aussi apparaître des tentatives plus récentes pour échapper à l’attraction américaine. Ainsi, des routes alternatives ont été développées ces dernières années, comme le câble Alba 1 en 2013, reliant Cuba au Venezuela. D’autres projets sont en cours, comme South Atlantic InterLink (Sail) ou South Atlantic Cable System (Sacs) qui devrait relier l’Amérique latine à l’Afrique, en s’affranchissant du passage par les nœuds américains et européens (Morel, p. 24). Cette diversification des routes devrait permettre de réduire l’influence de la plateforme américaine, sans perte d’efficacité. Cette nouvelle complexification des réseaux physiques pose néanmoins la question de la gouvernance à terme du système câblier, que Camille Morel préconise de penser de manière globale, comme un bien commun (Morel, p. 27).

L’évolution actuelle de cette question semble pourtant aller à rebours de cette gouvernance mondiale. Il semble au contraire que ces infrastructures sont utilisées comme des instruments de puissance et d’influence par les acteurs qui les mettent en place, que ce soient des groupes privés ou des États. Ainsi, les géants d’Internet sont récemment entrés dans le marché câblier. Les câbles Marea, reliant États-Unis et Espagne, le Pacific Light Cable Network, à destination de Hong Kong, qui sont actuellement en cours de réalisation, ont été financés par Facebook, en coopération avec Microsoft dans un cas, et avec Google dans l’autre (Morel, p. 26). Les avantages économiques que peut avoir pour ces entreprises la mise en service de ces câbles amènent néanmoins à réfléchir aux conséquences politiques et géopolitiques que cela va engendrer, confortant la puissance de ces groupes, tout en leur permettant d’exploiter les flux de données transitant par ces infrastructures.

Ces logiques de puissances se retrouvent également dans certaines politiques étatiques. Le développement du réseau câblier terrestre Transit Europe-Asia (TEA) constitue une trajectoire alternative pour l’échange de données entre Europe et Asie, qui place la Russie au centre de ces flux. Sans présupposer de potentielles captations, comme cela a été le cas aux États-Unis, le seul fait que ces échanges transitent par le territoire russe donne à cet État un pouvoir particulier vis-à-vis des pays européens et asiatiques qui souhaiteront utiliser cette route. Cette « géographie physique » d’Internet apparaît également évidente à d’autres niveaux, comme celui du routage (voir le chapitre 2 sur la dimension sociotechnique du cyberespace).

Conclusion

Ainsi, il est impossible de penser une stratégie dans le cyberespace sans prendre en considération les dimensions géographiques et géopolitiques de ce nouvel environnement. Les questions de cyberdéfense et de cybersécurité ne sont pas exemptes de facteurs spatiaux. Distribution, concentration, route sont quelques exemples de concepts géostratégiques qui restent pertinents dans l’étude de l’espace numérique. De fait, de nombreuses recherches sont aujourd’hui ouvertes sur les questions de cartographie du cyberespace (Douzet, 2016). Pour autant, il convient également de prendre en compte les spécificités de ce nouvel environnement pour faire évoluer nos cadres de pensée géographiques. De fait l’approche topographique, si elle reste pertinente, doit nécessairement être complétée aujourd’hui d’une approche topologique, prenant en compte l’aspect réticulaire (c’est-à-dire en réseau) du cyberespace. Or les outils conceptuels dans ce domaine sont encore au stade de l’expérimentation. L’approche topologique du cyberespace en géographie, en géopolitique et en géostratégie demeure un gigantesque défi à relever pour la pensée stratégique des prochaines années.

Bibliographie

ANDREJEVIC M., 2014, « The Big Data Divide », International Journal of Communication, no 8, p. 1673-1689.

ASH J., KITCHIN R. et LESZCZYNSKI A., 2016, « Digital turn, digital geographies ? », Progress in Human Geography, vol. 42, no 1.

BEAUDE B., 2012, Internet. Changer l’espace, changer la société, Éditions FYP.

CASTELLS M., 1996, The Rise of Network Society, Blackwell.

DODGE M. et KITCHIN R., 2001, Atlas of Cyberspace, Pearson Education Limited.

DOUZET F. (dir.), 2016, « Cartographie du cyberespace », Étude prospective et stratégique, DGRIS, ministère de la Défense.

DOUZET F., 2014, « La géopolitique pour comprendre le cyberespace », Hérodote, no 152-153, p. 3-21.

GRAHAM S. et MARVIN S., 1999, « Planning cybercities : Integrating telecommunications into urban planning », Town Planning Review, vol. 70, p. 89-114.

KELLERMAN A., 2016, Geographic Interpretations of the Internet, Springer.

KITCHIN R. et DODGE M., 2011, Code/Space. Software and Everyday Life, MIT Press.

KLAUSER F.R., 2016, Surveillance & Space, Sage/Broeders.

MOREL C., 2017, « Les câbles sous-marins : un bien commun mondial ? », no 3, p. 19-28.

THRIFT N. et FRENCH S., 2002, « The automatic production of space », Transactions, vol. 27, no 3, p. 309-335.

VAN DIJCK J., 2014, « Datafication, dataism and dataveillance : Big Data between scientific paradigm and ideology », Surveillance & Society, vol. 12, no 2, p. 197-208.

VENTRE D., 2012, « Le cyberespace : définitions, représentations », Revue de défense nationale, no 751, p. 33-38.

WARF B., 2013, Global geographies of the Internet, Springer.

La conflictualité numérique et la conflictualité internationale

Stéphane TAILLAT

Le développement du cyberespace est inséparable de son usage stratégique comme enjeu, théâtre ou vecteur des conflits et de la violence politique. D’une part, la numérisation croissante des activités économiques, culturelles, politiques et sociales fait disparaître la frontière entre le monde physique et le monde numérique ; d’autre part, les modes d’action et les stratégies des acteurs, étatiques comme non étatiques, ne cessent d’évoluer de façon dynamique par un processus d’émulation, de prolifération et d’expansion de l’espace de manœuvre. Enfin, l’écosystème conflictuel qui découle des interactions stratégiques et opérationnelles présente des enjeux de sécurité à de multiples échelles et dimensions (environnementales, humaines, économiques, sociales, politiques).

Ces processus présentent deux défis à l’analyse de la conflictualité numérique. Le premier concerne la manière d’appréhender cet objet au regard des catégories et des méthodes existant dans le champ de la recherche et de l’analyse, mais aussi de la prise de décision. Le second porte sur les adaptations organisationnelles, opérationnelles et stratégiques opérées par les différents acteurs du champ international, ainsi que sur leurs implications politiques et sociales. Plus largement, il s’agit de répondre à la question de la place et de l’impact des technologies numériques en matière de conflictualité. Cela revient à s’interroger sur les principales composantes de l’étude des conflits, de la guerre, de la stratégie et de la violence politique : la place centrale de l’État, les distinctions entre les seuils de la conflictualité, l’instrumentalité des moyens stratégiques, les implications sécuritaires.

Cette question nécessite d’analyser les acteurs et leurs pratiques à différentes échelles. Dans le cadre de ce chapitre, sera mis en lumière le fait que l’on peut y répondre à partir de l’analyse des opérations dans le cyberespace, des logiques qui les sous-tendent aux effets qu’elles produisent. Trois thèmes seront donc successivement analysés : l’utilité et l’efficacité des opérations dans le cyberespace, le renouvellement de la grammaire stratégique qu’elles accompagnent et les dynamiques qu’elles imposent à la sécurité internationale.

Les cyberopérations : utilité et efficacité

L’inscription du domaine numérique dans le champ de la conflictualité demeure conceptuellement problématique. Une attaque numérique ne cadre que partiellement avec les critères de violence, d’instrumentalité et de finalité politique définis par Clausewitz (Rid, 2012, p. 6). D’une part, les effets physiques et létaux qui en découlent sont indirects ; d’autre part, elle peut s’inscrire dans des logiques et des objectifs difficiles à déterminer et dont l’origine reste souvent ambiguë. Néanmoins, il est possible d’atténuer ces obstacles conceptuels en s’intéressant au cadre opérationnel dans lequel elle se déploie.

Cyberopérations et capacités cyberoffensives

Le domaine numérique est un espace opérationnel, c’est-à-dire qu’il permet de manœuvrer et de produire des effets, soit directement sur les systèmes et les réseaux qui en forment l’ossature, soit indirectement en agissant sur les activités qui en dépendent. Par conséquent, les « cyberattaques » s’inscrivent dans des opérations ou des campagnes, planifiées et conduites dans une temporalité qui dépasse le seul moment de production des effets observables ou subis. Les cyberopérations consistent ainsi en la manipulation, le détournement, l’endommagement, la perturbation, l’interruption ou la destruction d’un réseau ou d’un système d’information à des fins politiques et stratégiques.

Opérer dans le cyberespace nécessite de générer et de déployer un ensemble de ressources techniques, humaines, organisationnelles et politiques. Les capacités cyber – offensives ou défensives – ne se réduisent donc pas à la possession d’outils informatiques. Elles incluent les individus capables de les développer, de les tester et de les mettre en œuvre. Mais elles supposent aussi des organisations susceptibles d’administrer ces ressources techniques et humaines, d’obtenir les autorisations légales et bureaucratiques d’y recourir et de gérer des assemblages et des chaînes d’acteurs souvent complexes (Smeets, 2018 ; Healey, 2011).

Par conséquent, les cyberopérations offensives ou défensives s’inscrivent dans une échelle de sophistication qui permet d’évaluer partiellement la nature et les capacités de leurs auteurs.

L’efficacité : la grammaire des cyberopérations

Cette infrastructure capacitaire doit toutefois être évaluée et analysée à l’aune des compromis opérationnels, toujours contingents, qui conditionnent son efficacité. À l’intersection des choix tactiques et stratégiques, ceux-ci dépendent des contraintes et opportunités propres à cet espace, dont les caractéristiques sociotechniques en dessinent les contours.

Il s’agit premièrement de découvrir et d’exploiter les vulnérabilités du système visé. Si celles-ci sont omniprésentes dans l’espace numérique – des fragilités de l’infrastructure aux biais cognitifs et organisationnels en passant par les failles logicielles –, il n’en demeure pas moins la nécessité d’éviter la détection et l’identification afin de manœuvrer de manière persistante. Cette contrainte opérationnelle du secret et de la discrétion s’applique aussi bien pour les opérations d’espionnage que pour les opérations de destruction, d’influence ou de perturbation. En effet, pour ces dernières, l’efficacité de l’opération dépend de la capacité à s’établir dans la durée au sein du système, ce qui nécessite une longue phase de préparation et de positionnement aux points clés. Deuxièmement, les effets sont étroitement dépendants de la capacité des opérateurs à établir le contrôle à la fois sur la cible initiale et sur les éléments du système qui permettront de les produire. À la discrétion opérationnelle s’ajoute la nécessité d’une connaissance approfondie de l’architecture sociotechnique ou sociopolitique de l’espace de manœuvre ou de la cible.

De ce fait, accomplir les objectifs opérationnels (et les traduire politiquement) est déterminé par la capacité à établir un équilibre entre trois paramètres (Maschmeyer, 2021). D’une part, la vitesse de l’opération est limitée par les phases d’acquisition de renseignements (en amont ou au cours de l’action), par la patience nécessaire à la discrétion, ainsi que par le rythme de maturation de certains effets (notamment dans les opérations d’influence). D’autre part, l’intensité des effets – leur ampleur et leur échelle – est encadrée par les contraintes de sécurité opérationnelle (maintenir profil bas le temps nécessaire), ainsi que par la capacité à atteindre et manipuler les processus techniques ou sociaux qui en sont la condition sine qua non. Enfin, la maîtrise des effets dépend de la capacité à garder le contrôle sur la cible et sur les moyens logiciels, psychologiques ou organisationnels mis en œuvre. Ces trois éléments seraient négativement corrélés, dans le sens où insister sur l’un obligerait de limiter les deux autres.

Cette grammaire opérationnelle marquée par des équilibres complexes, fluides et contingents invite à penser l’efficacité des cyberopérations en termes relatifs. Sur le plan analytique, cela permet de nuancer la vision d’un espace où l’attaquant aurait systématiquement l’avantage (Slayton, 2017) en insistant sur les moyens de gêner, de ralentir ou de contrer une attaque (Gartzke et Lindsay, 2015). Sur le plan empirique, cela permet d’interpréter la rareté des campagnes numériques ayant produit des effets opérationnels significatifs (l’utilisation du malware Stuxnet par les États-Unis ayant permis de saboter les centrifugeuses d’enrichissement d’uranium de Natanz, en Iran, en 2010-2011, et ayant probablement réfréné les volontés d’Israël de recourir à la force contre le programme nucléaire iranien, mais sans avoir démontré d’effets politiques dénués d’ambiguïté sur les dirigeants iraniens eux-mêmes). Sur le plan prospectif, cela invite à penser les ruptures technologiques, sociales ou géopolitiques susceptibles d’en modifier les critères (diminution de l’interopérabilité par multiplication des systèmes propriétaires, segmentation des réseaux sociaux en sphères de plus en plus isolées les unes des autres, etc.).

Cette efficacité relative présente plusieurs enjeux. Premièrement, l’action ciblée et calibrée pour produire les effets voulus est fonction du temps de préparation et d’exécution, de la sophistication opérationnelle et organisationnelle de l’acteur, de la chance et de la friction (Buchanan, 2017). Deuxièmement, les effets sont ambigus, particulièrement les conséquences indirectes, secondaires ou politiques des cyberopérations. Enfin, troisièmement, cela rend difficile la capacité à inférer les intentions d’un acteur à partir des effets, ce qui nécessite une approche prudente de la part du chercheur comme des décideurs. Notamment, la détection d’une intrusion sur un système complique son interprétation, soit comme un acte d’espionnage ou de reconnaissance, soit comme un positionnement préalable à une autre action (Buchanan, 2016).

L’utilité des cyberopérations : signalement ou modelage ?

L’efficacité limitée des opérations numériques questionne leur utilité stratégique, c’est-à-dire la manière dont elles permettent d’atteindre des objectifs spécifiques : maximisation des actions militaires, crédibilité des menaces coercitives ou dissuasives, efficience des actions subversives. Deux thèses s’opposent. La première voit l’émergence d’une révolution stratégique dans la mesure où les technologies numériques augmenteraient la vitesse, l’échelle et l’anonymat relatif des opérations sous le seuil de la guerre. Les cyberopérations joueraient ainsi un rôle autonome sur le plan politico-stratégique (Fischerkeller et Harknett, 2020 ; Harknett et Smeets, 2020). La seconde y voit plutôt une évolution des pratiques traditionnelles du renseignement et des opérations clandestines, en augmentant leur portée et leurs effets, mais sans pouvoir se substituer totalement à d’autres moyens, militaires ou non militaires : l’utilité stratégique des opérations numériques devrait être évaluée à l’aune de sa capacité à les appuyer (Warner, 2019 ; Lindsay, 2020 ; Rovner, 2019).

Les études empiriques, qualitatives aussi bien que quantitatives, montrent que les opérations menées dans le cadre des conflits armés ne semblent pas avoir d’effets significatifs sur les rapports de force entre les belligérants, principalement du fait de difficultés de coordination (Kostyuk et Zhukov, 2017 ; Maschmeyer, 2021). Conceptuellement comme empiriquement, la nécessité de conserver l’ambiguïté sur les capacités, l’identité et les intentions d’un acteur complique l’articulation de signaux coercitifs clairs susceptibles d’influencer directement le comportement de la cible (Borghard et Lonergan, 2017 ; Valeriano, Jensen et Maness, 2018 ; pour une approche plus nuancée voir Brown et Fazal, 2021). Le recours stratégique à l’espace numérique serait donc plus adapté à des stratégies indirectes s’appuyant sur le modelage des capacités adversaires ou de l’environnement stratégique (Buchanan, 2020).

De fait, les cyberopérations semblent particulièrement avantageuses sur le plan de l’efficience. D’une part, la diversité, la disponibilité et l’exposition des cibles ou de la surface d’attaque permettent des économies d’échelle substantielles ; d’autre part, l’ambiguïté des moyens et des vecteurs de production des effets est particulièrement adaptée à la réduction des coûts politiques encourus par l’attaquant puisqu’elle permet à celui-ci de pouvoir démentir son implication, diminuant les dommages réputationnels ou les risques d’escalade (Cormac et Aldrich, 2018). Cela explique en partie pourquoi la catégorie la plus répandue d’opérations menées dans le cyberespace par des États relève de l’espionnage : selon la base de données maintenue par Ryan Maness, Brandon Valeriano et Benjamin Jensen jusqu’en 2019, près de 54,4 % des incidents – c’est-à-dire des opérations isolées – et près de 54,3 % des campagnes – en conjonction avec d’autres lignes d’opérations diplomatiques, économiques et militaires – conduites contre d’autres États entrent dans ce champ8. Néanmoins, d’autres aspects de la conflictualité numérique montrent comment les opérations dans le cyberespace sont un levier pour d’autres objectifs politiques ou prédateurs à travers les actions de perturbation visant les réseaux organisationnels, les systèmes opérationnels (notamment de contrôle industriel) ou encore les processus politiques et sociaux (électoraux, par exemple).

L’inscription stratégique de la conflictualité numérique

La conflictualité numérique est ce que les acteurs en font. Dans le contexte d’un retour aux politiques de puissance et de remise en question de l’ordre international, le cyberespace est non seulement un enjeu mais également un théâtre majeur de la compétition et du conflit. Son instrumentalisation participe au renouvellement de la grammaire stratégique héritée de la guerre froide en augmentant la marge de manœuvre des acteurs sous les seuils de la guerre et du recours à la force. De ce fait, les opérations numériques sont devenues un outil central dans le répertoire de gestion des conflits et des crises internationales. Néanmoins, il semble exister une tension entre les logiques politiques qui y voient un moyen de limiter l’escalade et l’intensité croissante des compétitions géopolitiques qui incitent à y recourir davantage en augmentant la prise de risques.

La subversion en « zone grise »

Le jeu des menaces coercitives demeure le moyen principal de gestion de la compétition et du conflit. Néanmoins, la variété des outils stratégiques disponibles, la convergence dans l’exploitation des différents milieux et capacités technologiques et l’utilisation de moyens non militaires afin de contraindre ou d’influencer la cible ont élargi le panel d’options des acteurs. Or, le caractère global de l’interconnexion des réseaux, l’aspect dual de l’espace numérique et la centralité de la confiance au cœur de son fonctionnement orientent cet espace de choix. Plus particulièrement, l’omniprésence des vulnérabilités et la place croissante prise par la numérisation permettent la subversion des systèmes sociotechniques légitimes d’information et de communication sur lesquels repose le fonctionnement du système global.

Ainsi, le théâtre de contestation qu’est le cyberespace participe à renouveler la grammaire stratégique en exploitant les ressources et les faiblesses d’un système sociotechnique ou sociopolitique contre lui-même (Mashmeyer, 2021). Les cyberopérations s’inscrivent donc dans les stratégies indirectes. Dans un premier temps, parce qu’elles agissent la plupart du temps sur les dimensions sociales, psychologiques, politiques ou économiques de la cible, plus que sur ses capacités militaires directes, et qu’elles tendent à viser les individus et les acteurs sociaux les plus vulnérables et dont le rôle stratégique se révèle en tant que maillon faible d’un système (Deibert, 2020). Dans la mesure où elles permettent notamment d’infléchir les rapports de force ou l’équilibre stratégique entre des acteurs à la marge, par des moyens clandestins tels que l’espionnage persistant, la subversion informationnelle ou la perturbation des activités économiques, politiques et sociales, les cyberopérations contribuent à renouveler le registre de la subversion dans les relations internationales.

Dans un second temps, les opérations numériques apparaissent mieux adaptées à la gestion de l’escalade propre aux actions dites de « zone grise » (Kello, 2017). Manipulant la distinction entre paix et guerre, ces dernières permettent en effet d’atteindre des objectifs politiques en évitant une réponse militaire ou coercitive trop forte. À rebours des menaces d’escalade asymétrique tendant vers la guerre, il s’agit ici d’instrumentaliser la difficulté à mettre en équivalence les cyberopérations et le recours à la force. En demeurant sous ce seuil, un acteur peut donc harceler, perturber, subvertir, manipuler ou espionner en limitant les risques et les coûts. L’incertitude est donc une ressource que ce dernier mobilise aussi bien pour réaliser l’opération que pour en maximiser les effets politiques. Ce mode stratégique fonctionne essentiellement par la manipulation des représentations, des normes, des pratiques et des croyances relatives au recours à la force et aux modalités du conflit. Plus globalement, les cyberopérations contribuent à subvertir la signification de l’action politique violente et, ce faisant, à déséquilibrer une grammaire stratégique fondée sur la légitimité de la réponse à lui apporter en fonction des seuils qu’elle franchit. Elles traduisent ainsi le principal dilemme des actions en « zone grise » : conçues comme un moyen d’évacuer la pression politique en phase de compétition ou de contestation, elles peuvent entraîner une plus grande instabilité au fur et à mesure des résistances de la cible (Gannon et al., 2022).

De la compétition aux crises

La recherche de l’effet de levier par les cyberopérations s’observe dans les pratiques internationales. Un nombre croissant d’acteurs politiques étatiques comme non étatiques conduisent des campagnes d’espionnage, d’influence, voire de perturbation. C’est le cas notamment dans le contexte de rivalités interétatiques régionales, comme entre le Qatar et les Émirats arabes unis en 2017 (Shires, 2020) ou entre Israël et l’Iran particulièrement depuis 2020 (Harknett et Work, 2020).

Des puissances installées dans le cyberespace depuis plusieurs décennies tendent aussi à faire évoluer leurs pratiques. Les campagnes stratégiques d’espionnage économique menées par les hackers de l’Armée populaire de libération (APL), puis du ministère de la Sécurité d’État (depuis 2015) semblent complétées par des opérations d’influence (Taïwan, Belt and Road Initiative, etc.), ainsi que par des actions plus ciblées d’espionnage ou de prépositionnement dans le contexte des tensions frontalières avec l’Inde (Insikt, 2021a ; Insikt 2021b). Ces opérations suggèrent que le cyberespace et les opportunités qu’il permet soient intégrés dans les stratégies des acteurs, dans une logique de maintien sous le seuil du recours à la force.

Néanmoins, les représentations des menaces et des opportunités diffèrent. Pour les États-Unis ou les Européens, le cyberespace est avant tout un domaine technique caractérisé par les risques que posent les attaques sur les infrastructures permettant le fonctionnement des activités financières, économiques et sociétales. Pour la Russie ou la Chine, le cyberespace est une partie de la sphère informationnelle et les principales menaces pèsent sur la stabilité politique et sociale des régimes et des sociétés qu’ils organisent. Le domaine numérique est un outil de puissance dans le cadre des disputes sur la forme future de l’ordre international, mais également un moyen d’intimidation et de désinformation. En outre, les dirigeants russes et chinois tendent à voir l’information comme une arme permettant de rétablir le déséquilibre qu’ils perçoivent avec les États « occidentaux » et en premier chef les États-Unis (Klimburg, 2017). Les discours politiques des uns et des autres tendent par conséquent à construire des menaces incarnées par l’une ou l’autre des puissances. Si les dirigeants russes et chinois voient en Internet un outil des États-Unis afin de pousser à la démocratisation et la déstabilisation des régimes politiques, les dirigeants américains ont successivement érigé l’espionnage économique chinois, la « guerre de l’information » russe et la tolérance supposée de Moscou envers les acteurs responsables de l’épidémie de rançongiciels aux États-Unis comme des menaces sur l’équilibre des puissances, la stabilité des États démocratiques et la sécurité internationale.

Perceptions divergentes et compétition géopolitique compliquent le fait de s’entendre sur des normes communes, comme l’illustre la fragmentation du processus intergouvernemental depuis 2019 entre deux mécanismes respectivement menés par les États-Unis et la Russie. Les principales divergences portent sur l’application du droit international, sur la prise en compte commune de la cybercriminalité, sur la rédaction d’accords contraignants portant sur les arsenaux numériques et la détention de vulnérabilités et sur la qualification d’une attaque numérique et du droit conséquent à la légitime défense. Or, les menaces liées au cyberespace ont été progressivement érigées au titre de la sécurité nationale comme des enjeux vitaux. Dans ce cadre, les doctrines héritées de la guerre froide – au premier chef celle de la dissuasion – tendent à reproduire des logiques de confrontation et d’instabilité. À la conception du cyberespace comme un espace commun succède une vision de jeu à somme nulle susceptible d’aggraver les tensions. Cette représentation géopolitique alimente en effet un dilemme de sécurité caractérisé par la tendance à interpréter négativement le comportement des rivaux. Cela est renforcé par l’ambiguïté des cyberopérations et de l’espace numérique (Buchanan, 2016). Le processus serait renforcé dès lors que la menace que représentent les autres deviendrait prioritaire par rapport au risque systémique de la déstabilisation du cyberespace (Douzet et Géry, 2020).

De la retenue à l’ère de la « cyberperturbation »

Si les cyberopérations semblent caractérisées par la tendance à la retenue (Valeriano et Maness, 2011) ; il faut noter une évolution inquiétante vers leur intensification et la prise de risques de la part des acteurs. Une ère de « cyberperturbation » aurait-elle émergé depuis 2015-2017 ? La forme prise par les cyberattaques s’est durcie, avec des effets perturbateurs ou plus destructeurs notables : opérations de sabotage sur les centrales électriques ukrainiennes (2015 et 2016), interférence dans les élections américaines (2016), campagnes Wannacry et NotPetya (2017), etc. On observerait un changement d’échelle et d’ampleur des opérations, qu’il s’agisse de l’épidémie de rançongiciels qui frappe les sociétés industrialisées, des campagnes massives d’espionnage ou des opérations de déstabilisation s’appuyant sur les réseaux sociaux.

Désormais, les infrastructures de service public font l’objet de tentatives de piratage ou d’intrusion dont les effets pourraient éventuellement être dévastateurs, cela en dépit de la formulation en 2015 d’une norme prohibant leur prise pour cible. Les opérations s’accroissent également contre les systèmes de contrôle industriels qui forment l’interface avec le domaine physique. Outre l’extension de la surface d’attaque – accélérée par la pandémie de la Covid-19 – émergent des modes hybrides dans lesquels la cybercriminalité et les opérations étatiques sont indiscernables. Les campagnes de rançongiciels illustrent la perméabilité des modes d’action entre ces acteurs, mais aussi l’opportunité pour chacun d’eux d’emprunter les tactiques et les outils de l’autre, notamment comme moyen de coercition. Enfin, les chaînes logistiques cruciales pour le fonctionnement de la plupart des organisations sont les cibles d’opérations visant à les compromettre, notamment dans le secteur des services logiciels (administration des réseaux, systèmes d’exploitation, outils bureautiques, etc.). Cette prise de risque croissante illustre la tension entre le primat des préoccupations géopolitiques et l’importance de garantir la stabilité du cyberespace (Douzet et Géry, 2020).

Un écosystème conflictuel complexe

Ce panorama est cependant soumis à des évolutions résultant de dynamiques complexes. Celles-ci tendent à augmenter l’incertitude et l’imprévisibilité et donc à peser sur la stabilité de la sécurité internationale comme du cyberespace. Trois dimensions intéressent particulièrement l’étude de la conflictualité numérique : les processus « d’arsenalisation » (weaponization), voire de militarisation du cyberespace, les équilibres internes et externes des acteurs et la signification variable des effets des cyberopérations sur la sécurité.

Les dynamiques : prolifération et hybridation

Les capacités cyberoffensives ne sont plus uniquement l’apanage de certains acteurs. En effet, dans un premier temps, le champ des armes numériques est structuré par une césure fondamentale entre le petit nombre de codes militarisés spécifiques développés par des États et le très grand nombre d’armes génériques à fort potentiel de nuisance (Kello, 2017 ; Rid et McBurney, 2015). Par ailleurs, la capacité d’action des acteurs dépend étroitement de leurs ressources et de leur sophistication organisationnelle. Toutefois, on observe une importante prolifération horizontale des ressources techniques et humaines. Sur le premier point, l’avantage dissymétrique des États-Unis ou de leurs alliés des « Five Eyes » – parfois illustré par le recours à l’acronyme NOBUS pour Nobody But Us – tend à s’éroder. Premièrement, parce que l’arsenal patiemment constitué par ces derniers a fuité en 2016 et en 2017 lorsque les outils respectifs de la NSA et de la Central Intelligence Agency (CIA) ont été divulgués en ligne (par les Shadow Brokers pour l’un et par WikiLeaks pour l’autre) (Greenberg, 2019). Cette perte de capacités a révélé l’existence de failles de sécurité au sein de ces organisations, mais a également confirmé les enjeux politiques et sécuritaires du processus de rétention ou de révélation des vulnérabilités (Healey, 2016). Deuxièmement, le secteur privé a pris un rôle croissant dans le développement des capacités offensives sur l’ensemble de la chaîne allant de la recherche des vulnérabilités au soutien et au renforcement des acteurs. Ainsi, de nombreux États ont pu se doter de ressources, d’organisations et d’outils leur permettant de mener des opérations offensives en s’offrant les services de ces entreprises qui vendent leurs solutions de surveillance, à l’instar de l’israélien NSO, du russe ENFER ou de l’émirati DarkMatter (DeSombre, Campobasso et al., 2021a ; DeSombre, Shires et al., 2021b ; DeSombre, Gjesvik et al., 2021c). Sur le point des ressources humaines, les opérateurs expérimentés d’agences de renseignement technique comme la NSA ou leurs équivalents ont pu contribuer à transférer des savoirs et des savoir-faire à des États désireux de bâtir des capacités stratégiques en matière d’opérations dans le cyberespace, ce qui a pu susciter des controverses dans la mesure où certains ont participé à des actions contre des concitoyens (Perlroth, 2021). Enfin, le cas des rançongiciels illustre aussi le processus d’émulation et de fertilisation croisée qui structure l’évolution des modes tactiques dans l’espace numérique. Le paysage des capacités cyberoffensives s’est donc largement nivelé.

Dans un second temps, on observe une convergence croissante des outils et des procédés entre les agences gouvernementales, les organisations militaires et les groupes non étatiques motivés politiquement ou non : c’est le cas notamment de la pratique du « hack-and-leak », qui consiste à exploiter des informations ou des données dérobées à une victime pour exercer une pression en les rendant publiques. Ces méthodes, d’ordinaire associées à des manœuvres d’intimidation ou de chantage par certains services de renseignement, sont imitées par certains groupes de cybercriminels dans l’écosystème des rançongiciels afin de maximiser la probabilité d’obtenir une rançon. Dans ce domaine, comme dans celui des opérations d’influence et de contre-influence menées sur les réseaux sociaux, la règle est donc de s’adapter rapidement aux contre-mesures. Toutefois, le principal effet est de changer la nature des enjeux en la transférant du domaine de la criminalité à celui de la menace à la sécurité nationale, voire d’enjeu diplomatique international.

Les acteurs : assemblage et renforcement

Les opérations numériques sont donc le fait d’acteurs aux statuts multiples. Le contrôle qu’y exercent les agences étatiques tend à diminuer. C’est le cas notamment du fait de la complexification croissante des assemblages d’acteurs qui interviennent dans la chaîne d’une opération (de sa planification à sa conduite en passant par la génération et la gestion des ressources). Les relations entre ces acteurs suivent plusieurs logiques de coopération, de coordination ou d’intégration. Premièrement, l’exploitation et la maintenance de la plupart des réseaux dépendent du secteur privé. L’intégration de ce dernier dans les dispositifs de cyberdéfense permettrait donc d’améliorer la défense en profondeur et d’avoir un meilleur partage de l’information. Deuxièmement, certains gouvernements usent des groupes de hackers afin d’augmenter la difficulté de l’attribution (Maurer, 2018). Néanmoins, la difficulté à estimer le degré d’intégration de ces acteurs au sein des organes de sécurité étatique a pour corollaire la difficulté à s’assurer du contrôle de leurs actions et de la convergence des objectifs. Le recours à des acteurs non étatiques permet d’ajouter à l’ambiguïté quant à l’origine de l’action et de profiter des savoir-faire et des ressources provenant du secteur privé légal ou criminel. Toutefois, cet élargissement de leur marge de manœuvre ne va pas sans compromis ni dilemme. D’un côté, une intégration plus importante de ces groupes garantit une exécution de l’opération conforme aux objectifs politiques mais entraîne un plus grand risque de dénonciation publique. De l’autre, favoriser des liens plus lâches à travers un simple soutien direct, voire indirect, permet de nier plus aisément l’implication mais pose le problème de l’autonomisation d’acteurs possédant des logiques propres, surtout lorsque leurs actions génèrent de l’insécurité à leur profit (Egloff, 2021). Ce dilemme agent-principal est un facteur d’imprévisibilité mais aussi d’instabilité.

Cependant, ces stratégies contribuent en réalité à réaffirmer la capacité des acteurs étatiques à jouer un rôle central dans la conflictualité numérique. Une forte hiérarchie se maintient entre eux en matière de « puissance cyber » (Voo et al., 2020 ; IISS, 2021). Mais il semble y avoir une montée en gamme de certains États (Iran et Corée du Nord notamment). Par ailleurs, entre 40 et 50 gouvernements se seraient dotés d’organisations militaires ou de renseignements capables de mener des actions offensives (Digital Watch, 2021), en dépit d’une barrière d’entrée élevée (Smeets, 2022). Les États ont donc augmenté leurs ressources techniques, politiques et stratégiques, leur permettant de renforcer leur contrôle ou d’affirmer leur souveraineté dans le cyberespace, tout en accroissant leur capacité à canaliser ou à capter les flux de données, voire à orienter les débats publics (Egloff et Shires, 2022).

Les effets : stabilité stratégique et violence

La littérature s’est principalement consacrée à l’implication des cyberopérations sur la stabilité stratégique. La question centrale – ces opérations risquent-elles d’enclencher une escalade ou sont-elles un moyen d’évacuer les tensions géopolitiques à moindre coût ? – s’est développée aux États-Unis, notamment après les dégâts commis par le ver NotPetya (2017), mais surtout après la publication par l’administration Trump d’une nouvelle stratégie militaire promouvant l’action préemptive, voire préventive dans le cyberespace (2018). Le consensus tend à converger vers un effet stabilisateur (ou vers l’absence d’effet déstabilisant), mais en soulignant l’importance du contexte géopolitique dans la mesure où la conflictualité numérique est un système chaotique complexe sensible aux conditions initiales et aux effets non linéaires (Healey et Jervis, 2020 ; Taillat, 2019). Le principal mécanisme explicatif ou interprétatif est celui de la tolérance dont semblent faire preuve les gouvernements des principales puissances lorsqu’ils sont victimes d’une cyberattaque. Premièrement, une étude menée sur les couples d’États rivaux montre que ces derniers tendent à répondre de manière proportionnelle plutôt qu’à escalader (Valeriano et Maness, 2015 ; Borghard et Lonergan, 2019). Deuxièmement, cette tolérance s’expliquerait par un ensemble de représentations, tantôt liées à la cyberdéfense comme gestion des risques en contexte d’incertitude (Kaminska, 2021), tantôt manifestées dans la perception du cyberespace comme moyen d’interrompre l’escalade (Kreps et Schneider, 2019 ; Valeriano et Jensen, 2019), tantôt recherchant les équivalences dans le domaine de l’espionnage classique (Devanny, Martin et Stevens, 2021). Une autre approche consisterait à postuler les risques d’escalade involontaire en fonction de la sensibilité des décideurs ou de l’opinion publique face aux crises déclenchées par les cyberattaques. Les enjeux de sécurité y deviennent cruciaux dans un contexte de publicisation (degré de pénétration des enjeux dans la sphère publique) et de politisation (degré de controverse qu’ils suscitent) croissantes. En contexte de crise aiguë, le sentiment de vulnérabilité éprouvé par les uns ou par les autres pourrait inciter à l’action offensive, par une réponse dans le cyberespace ou par une escalade dans les moyens conventionnels. En d’autres termes, les cyberopérations pourraient éroder, voire contredire les mécanismes dissuasifs classiques (Gartzke et Lindsay, 2017). Une conséquence plus insidieuse de la conflictualité numérique permet de dépasser l’interaction directe entre les crises cyber et les crises géopolitiques en s’intéressant à la manière dont elle sape la confiance placée dans les institutions politiques et sociales aux échelles nationale et internationale (Schneider, 2022). Ces analyses complètent l’approche en termes de dilemme de sécurité décrivant le mécanisme global par lequel le cyberespace est perçu comme un enjeu stratégique majeur et un théâtre croissant des rivalités de puissances.

Car les effets des cyberopérations nécessitent d’être analysés en profondeur en s’interrogeant sur leur violence. Une conception élargie dépassant le seul critère physique de la blessure, de la mort ou de la destruction permettrait, par exemple, d’inclure l’ensemble des préjudices directs et intentionnels d’une cyberattaque (Egloff et Shires, 2021). Sous cet angle, les dommages affectifs, psychologiques et communautaires concerneraient aussi bien les atteintes à la réputation, les angoisses découlant de la répression ou de la surveillance numérique grandissante, les aspects irréparables de la perte de données cruciales, que les conséquences d’une interruption longue de services essentiels. L’intensité de la violence des cyberopérations et des capacités cyberoffensives serait donc maximale contre les non-combattants et la société civile, qu’il s’agisse de l’échelle collective des attaques contre les infrastructures critiques ou de l’échelle individuelle ou communautaire de l’intimidation. À l’heure où ces lignes sont écrites, les opérations attribuées à Israël contre le système de paiement subventionné du carburant en Iran, de même que les réponses possibles des Iraniens par le vol et la divulgation des données privées des utilisateurs d’une application de rencontre LGBT, pourraient traduire ce changement de regard vers une « cybersécurité humaine » (Fassihi et Bergman, 2021).

Conclusion

La conflictualité numérique est une dimension structurante de la conflictualité internationale sur tout le spectre de la violence politique. La question centrale demeure celle de sa régulation, à la fois en raison de ses effets négatifs sur la stabilité internationale, mais aussi du fait de son élévation comme enjeu vital de sécurité nationale. D’un côté, le processus de formulation et de promotion de normes de comportement responsable ne s’adresse qu’aux gouvernements. Les consensus fragiles restent soumis aux aléas des politiques de puissance et de l’aggravation potentielle de la compétition entre les États-Unis et leurs rivaux. Par ailleurs, la grammaire et la logique spécifiques des cyberopérations introduisent un niveau élevé de complexité, nécessitant de penser la responsabilité et la retenue au niveau des opérateurs.

Sur le plan national, les stratégies de cyberdéfense ne doivent pas tromper : elles concernent surtout le développement et l’encadrement des capacités offensives, dans une logique dissuasive qui n’exclut pas la coopération en vue d’augmenter la stabilité stratégique. La focalisation médiatique et rhétorique dont elles font l’objet tend à occulter le développement des stratégies de sécurisation des infrastructures critiques mais également de l’ensemble des utilisateurs et opérateurs individuels et collectifs.

Structurellement donc, la conflictualité numérique reste marquée au sceau de l’incertitude et de l’ambiguïté : d’un côté, ses effets sur les différentes dimensions de la sécurité sont de plus en plus visibles et inquiétants, de l’autre, elle demeure un outil d’action clandestine dans une grammaire stratégique située sous les seuils de la conflictualité armée. Ainsi, deux impératifs semblent se dessiner pour les gouvernements et les acteurs impliqués : le développement de capacités offensives pour exploiter les opportunités offertes par l’espace numérique, d’une part, et la mise en œuvre de mesures destinées à augmenter la sécurité et la résilience tout en assurant une forme de stabilité stratégique, d’autre part.

Bibliographie

BORGHARD E. et LONERGAN S., 2019, « Cyber Operations as Imperfect Tools of Escalation », Strategic Studies Quarterly, vol. 13, no 3, p. 122-145.

BORGHARD E. et LONERGAN S., 2017, « The Logic of Coercion in Cyberspace », Security Studies, vol. 26, no 3, p. 425-481.

BROWN J. et FAZAL T., 2021, « #SorryNotSorry : Why States Neither Confirm nor Deny Responsibility for Cyber Operations », European Journal of International Security, vol. 6, no 4, p. 401-417.

BUCHANAN B., 2020, The Hacker and the State : Cyberattacks and the New Normal of Geopolitics, Yale University Press.

BUCHANAN B., 2017, The Legend of Sophistication in Cyber Operations, Harvard Belfer Center for Science and International Affairs.

BUCHANAN B., 2016, The Cybersecurity Dilemma : Hacking, Trust and Fear Between Nations, Hurst & Co.

CORMAC R. et ALDRICH R., 2018, « Grey is the new black : covert action and implausible deniability », International Affairs, vol. 94, no 3, p. 477-494.

DEIBERT R., 2020, Reset : Reclaiming the Internet for Civil Society, House of Anansi Press.

DESOMBRE W., CAMPOBASSO M. et al., 2021a, « A primer on the proliferation of offensive cyber capabilities », Issue Brief, Atlantic Council Cyber Statecraft Initiative.

DESOMBRE W., SHIRES J. et al., 2021b, « Countering cyber proliferation : Zeroing in on Access-as-a-Service », Issue Brief, Atlantic Council Cyber Statecraft Initiative.

DESOMBRE W., GJESVIK L. et al., 2021c, « Surveillance Technology at the Fair : Proliferation of Cyber Capabilities in International Arms Markets », Issue Brief, Atlantic Council Cyber Statecraft Initiative.

DEVANNY J., MARTIN C. et STEVENS T., 2021, « On the strategic consequences of digital espionage », Journal of Cyber Policy.

Digital Watch, 2021, « UN GGE and OEWG ». Disponible sur https://dig.watch/processes/un-gge/ (consulté le 26 octobre 2022).

DOUZET F. et GÉRY A., 2020, « Le cyberespace, ça sert d’abord à faire la guerre : Prolifération, sécurité et stabilité du Cyberespace », Hérodote, p. 177-178 et p. 329-350.

EGLOFF F. et SHIRES J., 2022, « Offensive Cyber Capabilities and State Violence : Three Logics of Integration », Journal of Global Security Studies, vol. 7, no 1.

EGLOFF F., 2021, Semi-State Actors in Cybersecurity, Oxford University Press.

EGLOFF F. et SHIRES J., 2021, « The better angels of our digital nature ? Offensive cyber capabilities and state violence », European Journal of International Security, vol. 7, no 1.

FASSIHI F. et BERGMAN R., 2021, « Israel and Iran Broaden Cyberwar to Attack Civilian Targets », The New York Times, 27 novembre.

FISCHERKELLER M. et HARKNETT R. 2020, Cyber Persistence Theory, Intelligence Contests, and Strategic Competition, National Defence Analysis.

GANNON J.A. et al, 2022, « Why Did Russia Escalate Its Gray Zone Conflict in Ukraine ? », Lawfare, 16 janvier. Disponible sur https://www.lawfareblog.com/why-did-russia-escalate-its-gray-zone-conflict-ukraine.

GARTZKE E. et LINDSAY J., 2017, « Thermonuclear Cyberwar », Journal of Cybersecurity, vol. 3, no 1, p. 37-48.

GARTZKE E. et LINDSAY J., 2015, « Weaving Tangled Webs : Offense, Defense and Deception in Cyberspace », Security Studies, vol. 24, no 2, p. 316-348.

GREENBERG A., 2019, Sandworm : A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers, Anchor.

HARKNETT R. et SMEETS M., 2020, « Cyber Campaigns and Strategic Outcomes », Journal of Strategic Studies.

HARKNETT R. et WORK J.D., 2020, « Troubled vision : Understanding recent Israeli – Iranian offensive cyber exchanges », Issue Brief, Atlantic Council Cyber Statecraft Initiative, 25 juillet.

HEALEY J. et JERVIS R., 2020, « The Escalation Inversion and Other Oddities of Situational Cyber Stability », Texas National Security Review, vol. 3, no 4, p. 30-53.

HEALEY J., 2011, « The Spectrum of National Responsibility for Cyberattacks », The Brown Journal of World Affairs, vol. 18, no 1, automne-hiver, p. 57-70.

HEALEY J., 2016, « The U.S. Government and Zero-Day Vulnerabilities : From Pre-Heartbleed to Shadow Brokers », Columbia Journal of International Affairs.

Insikt Group, 2021a, « China-linked Group RedEcho Targets the Indian Power Sector Amid Heightened Border Tensions », Recorded Future, 28 février.

Insikt Group, 2021b, « China-Linked Group TAG-28 Targets India’s “The Times Group” and UIDAI (Aadhaar) Government Agency With Winnti Malware », Recorded Future, 21 septembre.

International Institute for Strategic Studies, 2021, Cyber Capabilities and National Power : a Net Assessment.

KAMINSKA M., 2021, « Restraint under conditions of uncertainty : Why the United States tolerates cyberattacks », Journal of Cybersecurity, vol. 7, no 1.

KELLO L., 2017, The Virtual Weapon and International Order, Yale University Press.

KLIMBURG A., 2017, The Darkening Web : The War for Cyberspace, Penguin Press.

KOSTYUK N. et ZHUKOV Y., 2017, « Invisible Digital Front : Can Cyber Attacks Shape Battlefield Events ? », Journal of Conflict Resolution, vol. 63, no 2, p. 317-347.

KREPS S. et SCHNEIDER J., 2019, « Escalation firebreaks in the cyber, conventional, and nuclear domains : moving beyond effects-based logics », Journal of Cybersecurity, vol. 5, no 1.

MASCHMEYER L., 2021, « The Subversive Trilemma : Why Cyber Operations Fall Short of Expectations », International Security, vol. 46, no 2, p. 51-90.

MAURER T., 2018, Cyber Mercenaries : The State, Hackers and Power, Cambridge University Press.

PERLROTH N., 2021, This Is How They Tell Me the World Ends : The Cyberweapons Arms Race, Bloomsbury Publishing.

RID T., 2012, « Cyber War Will Not Take Place », Journal of Strategic Studies, vol. 35, no 1, p. 5-32.

RID T. et MCBURNEY P., 2015, « Cyber-Weapons », The RUSI Journal, vol. 157, no 1, p. 6-13.

ROVNER J., 2019, « Cyber War as an Intelligence Contest », War on the Rocks, 16 septembre. Disponible sur https://warontherocks.com/2019/09/cyber-war-as-an-intelligence-contest/.

SCHNEIDER J., 2022, « A World Without Trust : The Insidious Cyberthreat », Foreign Affairs, vol. 101, no 1, p. 22-31.

SHIRES J., 2020, « The Simulation of Scandal : Hack-and-Leak Operations, the Gulf States, and U.S. Politics », Texas National Security Review, vol. 3, no 4, p. 10-29.

SLAYTON R., 2017, « What is the Cyber Offense-Defense Balance ? Conceptions, Causes and Assessment », International Security, vol. 41, no 3, p. 72-109.

SMEETS M., 2022, No Shortcuts : Why States Struggle to Develop a Military Cyber-Force, Hurst Publishers.

SMEETS M., 2018, « Integrating Offensive Cyber Capabilities : Meaning, Dilemmas, and Assessment », Defence Studies, vol 18, no 4, p. 395-410.

TAILLAT S., 2019, « Disrupt and restraint : The evolution of cyber conflict and the implications for collective security », Contemporary Security Policy, vol. 40, no 3, p. 368-381.

VALERIANO B., JENSEN B. et MANESS R., 2018, Cyber Strategy : The Evolving Character of Power and Coercion, Oxford University Press.

VALERIANO B. et JENSEN B., 2019, « What Do We Know About Escalation ? Observations from Simulations and Surveys », Atlantic Council, novembre.

VALERIANO B. et MANESS R., 2015, Cyber War vs Cyber Realities : Cyber Conflict in the International System, Oxford University Press.

VOO J. et al., 2020, National Cyber Power Index 2020, Belfer Center for Science and International Affairs, septembre.

WARNER M., 2019, « A Matter of Trust : Covert Action Reconsidered », Studies in Intelligence, vol. 63, no 4, p. 33-41.

Notes

1. L’auteur souhaite indiquer que cette deuxième version, qui s’inspire de la proche science-fiction, doit être complétée par le suivi des scénarios du projet Red Team qui, lui ; se fonde sur la vraie et fondamentale science-fiction.

2. https://www.sec.gov/Archives/edgar/data/1018724/000101872417000011/amzn-20161231x10k.htm (consulté le 25 octobre 2022).

3. http://www.oreilly.com/pub/a/web2/archive/what-is-web-20.html (consulté le 25 octobre 2022).

4. https://kmitd.github.io/recoding-black-mirror/ (consulté le 25 octobre 2022).

5. http://www.mirror.co.uk/news/uk-news/terror-threat-heathrow-airport-security-11428132 (consulté le 25 octobre 2022).

6. https://www.gartner.com/newsroom/id/3598917 (consulté le 25 octobre 2022).

7. https://www.rts.ch/info/monde/9103928-un-court-metrage-choc-imagine-l-avenir-terrifiant-des-robots-tueurs.html (consulté le 25 octobre 2022).

8. La base de données est accessible à l’adresse https://drryanmaness.wixsite.com/cyberconflict/cyber-conflict-dataset (consulté le 27 novembre 2021).