Anssi : « Nous pourrons demander aux FAI de bloquer du trafic »

Un décret publié le 11 février dernier renforce les pouvoirs de l’Agence nationale de la sécurité des systèmes d’information (Anssi), instance dont la mission est de « défendre la France dans le cyberespace ». Elle pourrait désormais demander aux FAI de bloquer une partie du trafic Internet. De quoi attiser les craintes d’une partie de l’opinion. Son directeur général, Patrick Pailloux, répond aux questions de 01net. (1).

01net. : Pourquoi était-il nécessaire de renforcer les pouvoirs de l’Anssi ?
Patrick Pailloux : Nous réalisons régulièrement des exercices de simulation afin d’organiser la riposte à une cyberattaque de grande ampleur en France. Nous avons constaté deux problèmes. Le premier est que le temps de réaction est trop long. Pour le réduire, il fallait identifier une autorité chargée de coordonner la riposte, afin d’écourter si nécessaire le processus de concertation interministérielle. L’Anssi est désormais l’instance référente pour conduire ces opérations de défense au niveau national.
Le deuxième problème constaté est que chacune des différentes instances concernées par une telle attaque a potentiellement ses propres règles de sécurité et ses propres mesures de riposte. Il faut uniformiser ces règles et dresser une liste claire des mesures à prendre. L’Anssi est désormais également chargée d’édicter les règles et mesures de réaction pour l’ensemble des acteurs en cas de crise.

De quels nouveaux pouvoirs dispose l’Anssi ? Pouvez-vous désormais ordonner à un FAI de bloquer par exemple le trafic en provenance de machines infectées ?
Pour l’instant, nous avons surtout un nouveau rôle à jouer qui est, comme je le disais, d’organiser et de coordonner la défense française face à une cyberattaque de grande ampleur. Une prochaine ordonnance, qui sera prise d’ici à l’été, précisera les prérogatives dont nous disposerons pour assurer cette nouvelle charge vis-à-vis des opérateurs de communications électroniques.
Ce qui est certain, c’est que nous devrons être en mesure de donner des instructions aux acteurs concernés, dont les opérateurs de communications électroniques. Il pourra s’agir effectivement de leur demander de bloquer du trafic en provenance de machines utilisées pour mener des attaques. Mais ce n’est qu’un exemple. D’autres instructions pourront être données, comme d’interdire l’utilisation de clés USB dans les administrations, afin de limiter la propagation d’une infection.

« Personne ne s’étonne que des pompiers bloquent une rue »

Quelles conditions doivent être réunies pour exercer ces pouvoirs, et à quels contrôles sont-ils soumis ?
Nous parlons ici d’attaques de grande ampleur portant atteinte à la sécurité nationale et qui prendraient pour cibles des systèmes d’importance vitale pour la nation. Les cibles sont, par exemple, les systèmes d’information critiques de l’Etat mais aussi ceux d’opérateurs privés dont le rôle est déterminant dans le domaine de l’énergie, des transports ou de la santé, par exemple. La décision revient au Premier ministre, qui décide que la situation est suffisamment préoccupante pour que nous activions le dispositif de crise. Toutes nos actions sont bien entendu menées sous son contrôle.

Comprenez-vous les inquiétudes d’une partie de l’opinion publique quant au pouvoir que vous avez d’ordonner aux FAI de bloquer une partie du trafic Internet ?
Je comprends que cela puisse susciter quelques interrogations, mais il ne faut pas se tromper de sujet. Nous parlons ici de contenir des attaques menaçant la sécurité de la nation. L’Anssi n’exercera cette autorité que de manière exceptionnelle, pour une courte durée et en temps de crise. Personne ne s’étonne que des pompiers bloquent une rue pour contenir un feu. Nous appliquons le même principe.

« Nous sommes confrontés principalement à de l’espionnage »

Ce renforcement des pouvoirs de l’agence répond-il à une augmentation des cybermenaces contre la France ?
Il y a une évolution des menaces, qui sont surtout de plus en plus élaborées. Nous en distinguons plusieurs types : l’espionnage, la perturbation de systèmes et leur destruction. Nous sommes confrontés principalement à de l’espionnage, sous la forme de tentatives d’intrusion à distance dans les systèmes. Cela notamment par des courriels piégés dont l’objectif est de faire télécharger un code malveillant sur des machines pour en prendre le contrôle. Les attaques de perturbation ou de destruction, comme le déni de service, sont plus rares, mais tout aussi dangereuses. C’est d’ailleurs pour faire face à des crises causées par de telles attaques que l’Anssi a été créée.

Outre des mesures de riposte, interviendrez-vous de manière préventive ? Allez-vous donc mettre en place de nouveaux systèmes de surveillance ?
Le décret nous conférant le rôle d’autorité nationale de défense des systèmes d’information porte sur les réactions à une attaque de grande ampleur. Il s’agit de mesures à 100 % réactives. Nous n’allons pas – et ne pouvons pas – instaurer de mesure de surveillance. Le rôle préventif de l’Anssi est tout autre. Il est d’accompagner les acteurs concernés dans leur démarche de sécurité. Nous conseillons ainsi d’utiliser des produits labellisés et de réaliser des analyses de risques régulières.
Cela est inscrit dans le référentiel général de sécurité (RGS) que nous avons élaboré conjointement avec la direction générale de la modernisation de l’Etat (DGME) et dont la première version a été rendue officielle par arrêté du Premier ministre le 6 mai 2010. Toutes les autorités administratives doivent s’y soumettre, et nous allons continuer à le faire évoluer.

(1) Interview réalisée dans le cadre d’une conférence téléphonique commune avec nos confrères de PC Inpact.