Naissance de la gestion de crise cyber en France

En octobre 2014, Guillaume Chéreau, ingénieur spécialisé dans la gestion des risques et la gestion de crise, rejoint l'ANSSI. L'agence, créée en 2009, n'a que cinq ans et compte environ 200 agents. Il intègre la sous-direction stratégie, au sein du bureau chargé des exercices et des plans de crise, dont le plan PIRANET, la réponse de l'État en cas de crise cyber majeure. La gestion de crise cyber, telle qu'on la connaît aujourd'hui, n'existe pas encore.

Janvier 2015 : le baptême du feu. Trois mois après son arrivée, les attentats contre Charlie Hebdo s'accompagnent d'un volet numérique que personne n'avait anticipé. En réaction au mouvement « Je suis Charlie », des militants mènent une vague d'attaques peu sophistiquées mais très visibles : défigurations de sites web et dénis de service. Pour la première fois, une crise qui n'a rien de cyber comporte un pan cyber. L'ANSSI est convoquée, pour la première fois, à la cellule interministérielle de crise (CIC), dans les sous-sols de la place Beauvau, sous le pilotage du ministère de l'Intérieur. Guillaume Chéreau y siège comme officier de liaison de l'agence.

Comment fonctionne la cellule :

• la salle « situation » réunit les officiers de liaison de chaque ministère, qui décrivent la crise vue de leur ministère et les actions qu'ils portent ;
• la salle « décision » est celle où les ministres arbitrent sur proposition du ministère de l'Intérieur ;
• les décisions redescendent ensuite vers chaque ministère par ses officiers de liaison.

Avril 2015 : TV5 Monde. La chaîne cesse d'émettre après une cyberattaque. Des agents de l'ANSSI interviennent dans ses locaux pour collecter les traces, comprendre l'attaque et remettre les systèmes en service. C'est la première victime française de grande ampleur, visible de tous. L'État français a depuis attribué l'attaque au renseignement russe.

2017, l'année du tournant. WannaCry et NotPetya frappent des milliers d'organisations, la France se prépare à protéger l'élection présidentielle (les MacronLeaks en seront la tentative), et la revue stratégique de cyberdéfense crée le C4, centre de coordination des crises cyber, qui réunit l'ANSSI, le ministère des Affaires étrangères et les services de renseignement. La même année, Guillaume Chéreau devient le premier chef du bureau management des crises cyber de l'ANSSI, dont les méthodes s'inspirent de la planification militaire. L'agence compte environ 600 agents quand il la quitte en 2021.

S'entraîner en masse. En 2019, l'équipe se rend au Japon pour étudier l'organisation de la Coupe du monde de rugby. De ce retour d'expérience naît l'idée d'entraîner beaucoup d'organisations en même temps, à partir d'OpenEx, une plateforme d'exercice développée au sein du bureau par Samuel Hassine, aujourd'hui à la tête de Filigran. Le bureau publie en 2020 le guide Organiser un exercice de gestion de crise cyber. Ses successeurs lancent les exercices nationaux REMPAR22 puis REMPAR25.

En une dizaine d'années, la gestion de crise cyber est passée d'un sujet technique à un sujet stratégique, puis politique. Avec la transposition de la directive NIS2, les entités essentielles auront l'obligation de s'entraîner, une exigence que seul le secteur financier connaissait jusqu'ici (DORA).