Cybersécurité : Efforts européens visant à lutter contre les cyberattaques et remédier aux failles

Août 30, 2022 | Études

CFRP – La menace de cyberattaques demeure une préoccupation majeure pour l’Union européenne (UE). Dans sa résolution de mars 2021, le Conseil européen a mis l’accent sur l’importance d’un cadre de sécurité solide et cohérent pour protéger tous les employés, les données, les réseaux de communication, les systèmes d’information et les processus décisionnels de l’UE. Elle a souligné que cela ne peut être réalisé qu’en renforçant la flexibilité et en améliorant la culture de sécurité des institutions, organes, offices et agences de l’UE.

UE : mesures de cybersécurité

Le 22 mars 2022, la Commission européenne a proposé de nouvelles règles pour instaurer des mesures communes de cybersécurité et de sécurité de l’information dans les institutions, organes, offices et agences de l’UE. Les principaux éléments de la proposition de règlement sur la cybersécurité comprennent le renforcement du mandat de l’équipe CERT-UE et la mise à disposition des ressources dont elle a besoin, à savoir:
– Création d’un cadre de travail de gouvernance, de gestion des risques et de contrôle dans le domaine de la cybersécurité.
– Mettre en œuvre une base de mesures de cybersécurité qui traitent des risques identifiés.
– Mener des évaluations et des développements réguliers du travail.
– Élaborer un plan pour améliorer la cybersécurité.
– Mise en place d’un nouveau conseil inter institutionnel de cybersécurité pour piloter et suivre la mise en œuvre du règlement et guide «CERT-EU»
– Rebaptiser « CERT-EU » en « Centre de la cybersécurité », conformément aux développements dans les États membres et dans le monde, tout en conservant l’acronyme « CERT-EU » pour la reconnaissance du nom.

Le Conseil européen a décidé, le 16 mai 2022, de proroger le cadre des mesures restrictives contre les cyberattaques qui menacent l’Union européenne et ses États membres pour une nouvelle période de (3) ans, jusqu’au 18 mai 2025.
Ce cadre permet à l’UE d’imposer des mesures restrictives ciblées sur les personnes ou entités impliquées dans des cyberattaques qui ont un impact significatif et constituent une menace extérieure pour l’Union européenne ou ses États membres.

Des mesures peuvent également être prises en réponse à des cyberattaques contre des pays tiers ou des organisations internationales lorsque ces mesures sont jugées nécessaires pour atteindre les objectifs de la politique étrangère et de sécurité commune (PESC).

Les sanctions s’appliquent à (8) individus et (4) entités, et comprennent le gel des avoirs et les interdictions de voyager. En outre, il est interdit aux personnes et entités de l’Union européenne de mettre des fonds à la disposition des personnes figurant sur la liste. Ces listes individuelles sont actualisées tous les (12) mois.

Le rôle de l’équipe d’appel d’urgence de cybersécurité de l’UE est très important car elle comprend environ (10) responsables locaux de la cybersécurité de (6) pays européens – Croatie, Estonie, Lituanie, Pays-Bas, Pologne et Roumanie – qui peuvent fournir une assistance aux pays exposés aux cyberattaques. L’équipe fait partie du programme de coopération de défense de l’UE « PESCO ».

Cyber armées-cybersécurité

En Allemagne : Le 15 août 2022, la ministre allemande de l’Intérieur, Nancy Weser, a mis en garde contre les attaques visant les infrastructures énergétiques de son pays. « Nous devons être prêts à répondre à d’éventuelles attaques contre des stations-service et d’autres infrastructures vitales », a-t-elle souligné.

À cet égard, elle a évoqué la protection contre les cyberattaques à la lumière de la guerre russe contre l’Ukraine, relevant l’émergence de nouvelles missions, « où nous devons surveiller les mouvements des navires russes dans la mer du Nord et en mer Baltique et garder les nouveaux terminaux méthaniers. »

Il existe des lieux hautement secrets en Allemagne, affiliés à l’armée allemande, et leur mission est de gérer les opérations cybernétiques dont l’acronyme « ZCO ».

ZCO fait partie de commandement cyber et informations, réorganisé en 2017 avec une vingtaine de sites à travers l’Allemagne. Équipés à l’intérieur d’ordinateurs modernes, ils sont formés pour pirater des réseaux informatiques étrangers, extraire des informations et manipuler des données à leur profit ou fermer des réseaux informatiques entiers.
Le centre comprend environ (200) spécialistes de l’information, travaillant à la recherche de failles et faiblesses dans les systèmes ennemis ou tentant d’attaquer l’infrastructure informatique de l’armée allemande et des services de sécurité en Allemagne, dans le but de trouver des failles dans leur propre défense, et de les alerter .

En France : La Commission nationale de l’informatique et des libertés (CNIL) a condamné la société « Free Mobile » à une amende de (300) milliers d’euros car l’opérateur français ne leur a pas permis « d’accéder aux données liées aux clients » ni de « s’opposer à recevoir des messages de suivi ». La CNIL a relevé une faille de protection des données dès la conception et une faille de sécurité des données. De manière générale, la CNIL a retenu (4) violations du « RGPD » (Règlement Européen sur la Protection des Données).

Les autorités françaises ont inauguré, le 16 février 2022, un nouveau campus universitaire électronique qui s’inscrit dans une initiative de cybersécurité d’un milliard d’euros, dont (720) millions d’euros de fonds publics. Le pôle rassemble des professionnels des secteurs public et privé pour développer une nouvelle sécurité et défendre la France et les entreprises françaises contre les cyberattaques. «Campus Cyber» rassemble (1 700) personnes issues de milieux militaires et autres, qui partagent leurs expériences dans un effort commun pour lutter contre la cybercriminalité. Il existe (7 500) personnes qui travaillent pour assurer la cybersécurité en France. Avec le campus, ce nombre sera de 10 000 d’ici 2023.

Le commandant de gendarmerie responsable de la cybersécurité au Campus Cyber, Marc Puget a déclaré, le 16 février 2022 : «Nous avons observé un doublement du nombre d’attaques contre les Jeux olympiques d’hiver de Pékin par 9, et nous nous attendons à une situation similaire à Paris en 2024. Nous nous préparons à faire face à ces attaques. 25% des entreprises françaises ont été touchées par des ransomwares en 2020.

En 2021, la France a lancé Vegenome, un organisme gouvernemental chargé de traquer les interférences numériques étrangères, sous l’autorité du secrétariat général de la défense et de la sécurité nationale. L’organe est chargé du renforcement de la coopération entre départements et ministères sur cette question, dans le but de surveiller l’activité des réseaux sociaux et de découvrir « les donneurs d’ordres de l’étranger ciblant des intérêts » français, selon un responsable du renseignement.

Le spectre des menaces potentielles n’a cessé de s’élargir depuis 2017. On s’attend à ce que « Vegenome » joue le rôle de rapporteur des menaces en cas de mouvement suspect sur les sites de médias sociaux. L’organisme en question œuvre à le renvoyer ultérieurement aux ministères et organismes compétents, afin qu’une bonne coordination ait lieu.
Coopération en matière de cybersécurité

Un rapport spécial publié par la Cour des comptes européenne, le 29 mars 2022, indique que les institutions de l’UE ne sont pas suffisamment préparées au nombre croissant de cyberattaques.

Dans leur rapport, les auditeurs recommandent d’établir des règles plus contraignantes, d’améliorer les ressources des équipes d’urgence informatique et d’accroître la collaboration inter-organisationnelle intensive.

Les organisations ont développé leurs cyberdéfenses à des degrés divers et ne sont fondamentalement pas préparées à d’éventuelles cyberattaques. Étant donné que les institutions de l’Union européenne sont étroitement liées, une attaque réussie visant une institution peut entraîner un effet domino et se propager à d’autres institutions.

Evaluation :

Les cyberattaques dangereuses contre les institutions de l’UE ont été multipliées par plus de (10) entre 2018 et 2021. Avec une formation dispensée au personnel sur les cybermenaces, l’UE a encore besoin de plus de travail. Seuls (29 %) des cadres supérieurs des institutions de l’UE responsables des données sensibles reçoivent une formation dans ce sens.
Les mesures et actions prises par l’UE et les États membres visent à renforcer leur résilience et leur réaction face aux cybermenaces, aux cyberattaques et à commander le cyberespace et l’espace d’information, ainsi qu’à garantir une administration publique résiliente et sûre dans l’UE, dans un contexte de cyberactivités sur les pays du bloc.

Besoins de l’UE:

– Former de nouveaux cadres sur les technologies de l’information les plus importantes et œuvrer à la protection des systèmes de sécurité de l’information.
– Renforcer les règles et les normes de sécurité de l’information pour toutes les institutions, organes, offices et agences de l’UE afin d’assurer une protection renforcée et cohérente contre les menaces.
– Promouvoir un échange sécurisé d’informations entre les institutions, organes, offices et agences de l’Union européenne et avec les États membres sur la base de pratiques et de mesures standardisées pour protéger le flux d’informations.

Share This