Gestion de crise cyber : la France a appris dans l'urgence, avec Guillaume Chéreau (43 min)

Transcription

Transcription automatique de l'entretien, horodatée toutes les cinq minutes. Chaque horodatage ouvre la vidéo au bon moment.

▶ 00:00

Guillaume, bonjour. Bonjour. Très content que tu sois parmi nous aujourd'hui. Il y a énormément d'histoires bien croustillantes à raconter sur l'histoire de la cyber. Pour rappel, l'histoire de la cyber française, c'est un podcast qui a pour intérêt de montrer et de raconter surtout l'histoire de la cybersécurité française à travers des personnes qui en ont témoigné. aujourd'hui on va parler essentiellement de l'apparition de la gestion de crise cyber tu as des anecdotes mais tu as aussi certaines je dirais peut-être lignes directrices de la gestion de crise qu'on ne connait pas forcément quand on n'en a pas fait tu pourras nous expliquer un petit peu plus dans le détail comment ça se passe mais avant tout ça, avant cette belle liste de choses à dire est-ce que tu pourrais te présenter d'où viens-tu comment tu es arrivé dans la cybersécurité alors qu'à l'époque on n'appelait pas ça la cyber d'ailleurs on ne l'appelle pas cyber partout dédicace à tous ceux qui utilisent SSI déjà merci pour l'invitation alors effectivement moi je suis un ingénieur et j'ai commencé ma carrière par me spécialiser dans la question de la gestion des risques et la gestion de crise mais là à l'époque puisque c'était au début des années 2000 c'était plutôt on va dire un peu tout risque et en vrai à l'époque la cyber n'en faisait pas vraiment partie c'était plutôt les sujets de post-11 septembre donc sûreté, terrorisme etc et puis à l'occasion j'ai fini par attirer dans un cabinet de conseil et ce cabinet a fermé je ne vais pas raconter l'histoire mais bref et à l'époque, ça c'était vers 2012-2013 et j'avais commencé quelques premières missions qui commençaient à parler de cyber-risques etc et ça m'intéressait parce que j'étais un peu geek et donc j'avais entendu parler de l'ANSSI et c'est comme ça qu'en 2014 j'ai switché, je suis arrivé à l'ANSSI et comme j'avais cette expertise de la gestion de crise mais pas cyber à l'époque puisque ça n'existait pas vraiment j'ai été recruté pour un peu développer avec d'autres collègues, j'étais pas tout seul cette partie gestion de crise cyber D'accord donc là je situe bien, t'arrives à l'ANSSI en octobre 2014 pour être précis, octobre 2014 ça ressemble à quoi l'ANSSI à l'époque en octobre 2014 ?

En octobre 2014 il faut savoir que l'ANSSI déjà elle était née entre guillemets en 2009 c'est une entité qui a 5 ans donc qui est encore assez jeune et qui a été vraiment constituée autour de son coeur du réacteur qui est la direction technique ce qu'on appelle aujourd'hui le CERT-FR à l'époque on appelait ça le COSSI le Centre Opérationnel de la Sécurité des Systèmes d'Information qui sont vraiment les personnes qui œuvrent à la réponse à un incident. Et moi, j'étais dans la sous-direction stratégie. Donc, je n'étais pas dans cette sous-direction opération.

J'étais dans la sous-direction stratégie qui, elle, avait plutôt une vision un peu plus haut niveau, entre guillemets. Et j'étais... Enfin, le bureau exercice dans lequel j'étais avait pour objet de rédiger des plans. Voilà, les fameux plans de crise. Donc, il y a un plan, par exemple, étatique qui s'appelle le plan PIRANET qui est finalement la réponse de l'État en cas de crise cyber majeure. Et donc il fallait un peu réécrire tout ça à l'époque et puis il fallait un peu s'organiser. Et comme c'était aussi une entité jeune, il y avait aussi tout un tas de procédures internes, de process internes à créer et puis à formaliser et à développer.

Et donc si je comprends bien, le bureau de gestion de crise de l'ANSSI, il ouvre vraiment quand à peu près ? Parce que j'imagine qu'il y a eu du travail en amont pour le... Tout à fait, parce que ce qui s'est passé c'est que la sous-direction stratégie, Alors ça ne plaît pas comme ça quand je suis arrivé, mais ça c'est un détail. Et elle a grossi un peu au fil de l'eau parce qu'on était à peu près 200 à l'ANSSI en 2014 quand je suis arrivé. Et quand j'en suis sorti en 2021, on était 600. Et la direction dans laquelle j'étais au début, on devait être une trentaine et on faisait plus d'une centaine quand je suis.

Donc en fait, les bureaux sont devenus des divisions. Et au sein des divisions, en fait, il y a eu des bureaux qui ont été créés. Donc moi, en 2017, je deviens le premier chef du bureau management des crises cyber qui a été créé à cette occasion. Incroyable. D'accord, c'est dingue. Mais donc du coup, vous êtes inspiré de quoi en fait pour la gestion de crise ? Parce que comme tu l'as dit tout à l'heure, toi tu viens à la base des risques, plutôt de la sûreté. Là, il a fallu penser à quelque chose où il n'y a pas trop de matière. J'imagine que certains pays étrangers avaient peut-être un peu d'avance ou pas.

Vous avez constitué ça comment ? C'était quoi votre méthodologie ? Oui et non si je puis dire. Déjà au niveau de la doctrine de l'État il y avait déjà plein de plans. Donc en fait on avait des méthodes de construction des plans. Plutôt de la sûreté du coup ? Très varié. Il y avait le plan, oui bien sûr sûreté et Vigipirate par exemple. Si il y a un plan, alors effectivement tout le monde connaît Vigipirate mais derrière en fait il y a un gros pavé de 200 pages auxquels j'ai contribué. Il y avait les plans pandémie grippale, le plan… voilà donc il y a différents scénarios. Donc ça c'est l'architecture de planification de défense nationale et il y avait ce plan PIRANET et puis c'est vrai qu'au sein de l'ANSSI même je dirais qu'il y a un fort tropisme on va dire une forte culture inspirée du monde militaire dans lequel il y a les plans, enfin voilà la notion d'entraînement, de gestion de crise et de plan c'est une des branches des états majors militaires voilà et donc il y a j'allais dire il y a des méthodes on s'est notamment inspiré des méthodes de construction de plan militaire. D'accord, c'est comme ça que vous avez construit, puisque maintenant on connaît bien évidemment les livrables de l'ANSSI là-dessus, ils sont très connus, mais vous vous êtes vraiment inspiré de ça.

▶ 05:48

Comment concrètement ça fonctionne aujourd'hui ? On sait que l'ANSSI intervient sur des crises, mais comment ça se passe ? On a une organisation, une société qui est en pleine crise, elle vous appelle, qu'est-ce que vous faites juste après ? Est-ce qu'on peut démystifier un petit peu ? Tout à fait. Alors effectivement, on dit souvent dans les exercices de crise, par exemple, il faut appeler l'ANSSI. Donc, qu'est-ce qui se passe derrière ? C'est un peu ça la question. Alors déjà, ce qu'il faut savoir, c'est que ça a effectivement évolué dans le temps.

Mais pour résumer, l'ANSSI a différents modes d'assistance vis-à-vis des victimes, en fonction de la nature des victimes. Parce qu'il y a aussi une question de compétence et de non-concurrence vis-à-vis aussi du secteur privé. Donc quand c'est une entreprise privée un peu normale, l'ANSSI peut collecter effectivement la notification, l'incident, mais ne va pas forcément aller aider en direct la victime, mais va plutôt l'orienter vers des prestataires spécialisés. par contre quand ça touche des ministères quand ça touche des opérateurs sensibles là effectivement l'ANSSI peut déployer des petites ce qu'on appelait des FIR des petites brigades de taux de 3 bonhommes qui ont pour première mission d'aller collecter ça c'est la première grande action du CERT c'est plutôt au niveau des opérations la gestion de crise c'est un niveau un peu plus haut c'est-à-dire que nous on assistait plutôt les victimes autour de la question de la communication, comment communiquer, etc.

Donc là toujours aussi, il n'est pas tout seul, il y avait aussi une division communication au sein de l'ANSSI. Mais c'est vrai que la gestion des opérations techniques, pour résumer, mais je pense qu'il faudrait que tu invites aussi un jour un spécialiste de ces questions qui est passé par le CERT-FR et qui pourra expliquer ça mieux que moi. Mais en résumé, il y a une première phase d'investigation qui commence par la collecte des logs, des journaux de comprendre ce qui se passe. Et puis c'est souvent sur deux pieds, il y a le pied un peu de la menace, donc comprendre ce qui s'est passé, puis il y a le pied de la victime du terrain, dans quel terrain finalement cette attaque s'insère, est-ce que la victime elle est par exemple mature, est-ce qu'elle a plein d'outils, est-ce qu'elle avait des process, etc. Et donc là, et surtout est-ce que ces systèmes d'information étaient bien protégés à jour, etc. Et donc en général quand on fait une opération cyber défense, on s'appuie un peu sur ces deux pieds, le pied de la menace, comprendre quel est l'attaquant, quels sont ses objectifs, comment il opère et puis le pied finalement de la victime, du terrain quel niveau de cybersécurité a cette victime et ce qui fait que le niveau d'accompagnement de l'ANSSI peut être très variable c'est à dire que pour une victime qui serait particulièrement désemparée, pas préparée on peut être très directif, c'est à dire que l'ANSSI peut prendre quasiment un peu la main sur la gestion technique de la remédiation et puis à l'inverse plus la victime elle est C'est parti.

mature, a des bons process et est assez à l'aise, assez agile. Là, le mode d'accompagnement de l'ANSSI s'adapte et peut être beaucoup plus léger. Et vous, au bureau de gestion de crise, j'imagine qu'il y a le travail sur les processus, etc. Mais concrètement, quand une victime a besoin de vous, donc si j'ai bien compris c'est gérer la com il y a autre chose ? alors ce qu'il faut avoir en tête c'est que moi j'étais pas dans cette sous-direction opération donc moi j'étais pas en lien direct avec les victimes j'étais plus on va dire en support un peu de second rideau et d'ailleurs c'est aussi pour ça qu'après dans mes expériences après l'ANSSI j'ai voulu justement me rapprocher du terrain, aider des victimes un peu en direct donc c'est ce que j'ai fait après l'ANSSI mais c'est vrai que moi dans mes fonctions à l'ANSSI En tout cas, je n'étais pas en direct auprès des victimes.

J'étais plutôt en support. Et puis aussi dans certains process, notamment quand il y a des cellules de crise gouvernementales qui se développent. Donc moi, je pouvais aller dans les cellules de crise, au centre de crise à Beauvau, dans les sous-sols de Beauvau. C'est là où je voulais en venir. Une première vraie crise, vu de l'intérieur, c'est pour toi le baptême du feu, c'est quoi ?

▶ 10:03

C'est pour ça, c'est trois mois après mon arrivée, donc j'arrive en octobre 2014 et donc finalement il y a deux événements majeurs qui arrivent assez rapidement. Il y a donc tout d'abord le Charlie Hebdo, les attentats Charlie Hebdo, donc attentats terroristes. Donc effectivement là on pourrait se dire mais il n'y a rien de cyber là-dedans. Mais en fait alors il y a eu finalement une version, on va dire, une partie cyber à ces attentats terroristes. C'est qu'à la suite donc de ce mouvement pro Charlie, donc tu devais totalement te souvenir là, les Je suis Charlie sur les réseaux sociaux, etc.

En fait, il y a eu un mouvement un peu inverse qui était les anti-Charlie et qui étaient plutôt des sympathisants de la cause musulmane et qui ont essayé de faire tout un tas d'attaques peu sophistiquées, mais sur des bibliothèques. En gros, ils ont défacé des sites web et fait un peu des attaques en déni de service. Vu de l'ANSSI, ce n'était pas des attaques très sophistiquées, loin de là. mais comme ils ont fait beaucoup de bruit ça a généré beaucoup de visibilité et que c'était surtout la première fois je pense que c'est ça qui a vraiment un peu marqué les esprits à l'époque c'était que pour la première fois on voyait finalement au sein d'une crise qui n'a rien à voir avec le cyber finalement un pan cyber associé à une crise terroriste quoi, donc ça ça a vraiment marqué les esprits à l'époque et c'est pour ça que l'ANSSI a été convoqué à la cellule de crise interministérielle qui s'occupait pour le coup de la crise principale qui était la crise terroriste. Et donc c'est aussi la première fois que l'ANSSI était convoquée à Beauvau. Et comme on était au bureau crise, ils ont dit « c'est pour vous les gars, il faut y aller ». Et donc on est allé à Beauvau. Et ce qui fait que derrière par la suite il y a eu des travaux autour de comment intégrer la cyber dans la gestion de crise de l'État, ce qui n'existait pas à l'époque quand on est arrivé. Et ce sur quoi on a travaillé sur ces fameux plans pour mieux intégrer finalement, la cybersécurité ou cette dimension de cybersécurité dans les crises de l'État.

Et ça se passe comment, une cellule de crise interministérielle ? Ça doit être impressionnant, j'imagine, d'avoir c'est quoi, c'est qui qui est convoqué ? C'est les ministères. En fait, le principe de la cellule de crise interministérielle, c'est que quand une crise a une dimension qui est au-delà d'un seul ministère, par exemple, si on a une grève des routiers, c'est que le ministère des Transports qui est concerné, donc il gère sa petite crise dans son coin. Par contre, dès qu'on a une crise qui dépasse un certain niveau, un seuil, qui nécessite finalement une coordination de plusieurs ministères, comme on a pu avoir pour la canicule cet été, parce qu'il faut s'occuper des réfugiés, des gens qui sont évacués de leur maison. On coupe les routes, il y a des problèmes d'électricité.

Là, il n'y avait pas l'école, mais imaginons que c'était pendant la période scolaire, donc il faudrait gérer aussi les écoliers. À partir du moment où une crise a une dimension interministérielle, c'est-à-dire avec plusieurs ministères, on convoque une cellule interministérielle qui est généralement pilotée soit en direct par le Premier ministre. Et plus généralement, c'est le ministère de l'Intérieur qui pilote puisque c'est un peu sa fonction au sein de piloter finalement les crises. Et en plus, c'est lui qui héberge finalement la cellule. donc c'est dans les sous-sols dans les sous-sols de Beauvau donc il y a 3 grandes salles une seule situation où là on fait le point sur la situation donc on a des officiers de liaison de chacun des ministères et donc moi j'étais l'officier de liaison de l'ANSSI c'est à dire que finalement chaque ministère décrivait finalement la crise vue de sa fenêtre de son ministère et les actions que le ministère portait pour contribuer à l'effort gouvernemental et c'est comme ça qu'on constituait une situation gouvernementale complète avec l'ensemble des contributions des ministères concernés.

Et donc ça, c'est la salle situation. Et puis il y avait une autre salle qui était très importante, donc la CIC décision, où là, en fait, c'est la salle qu'on voit souvent à la télé quand on voit le président, le premier, qui sont avec une salle un peu bleutée avec des CIC. Donc ça, c'est la salle décision dans laquelle, il y a un ordre du jour. Souvent, le ministère de l'Intérieur, toujours qui est le pilote un peu de cette cellule, fait le point de la situation, sur la base de la CIC situation qui est à côté. Et proposent des arbitrages au niveau politique pour dire par rapport à la situation qu'on observe, on vous propose telles et telles actions.

Et donc c'est les ministres qui décident ou qui valident les opérations. Et après plan d'action pour chacun des ministères, j'imagine. Exactement. Et après, effectivement, ça redescend vers la situation où là, du coup, une fois que les actions sont validées, les officiers de liaison informent leur propre ministère. et donc dans mon cas j'ai informé l'ANSSI des actions qui avaient été décidées en CIC et que sur lesquelles on était attendu. Effectivement l'officier de liaison a juste un rôle un peu de porte-parole et puis il répond aussi aux questions parce qu'effectivement entre les différents représentants des ministères, c'est pas un ministère, je ne suis pas le ministère des affaires étrangères, il y avait une question autour de la cyber, de qu'est-ce qui se passe etc.

Effectivement on pouvait avoir des échanges en direct. Et à Beauvau on parle de l'ANSSI à l'époque ou on parlait du SGDSN ?

▶ 15:05

Sur les sujets cyber, c'est vrai que c'était quand même l'ANSSI qui était déjà identifié. Par contre, c'était un sujet nouveau, je pense qui a probablement un peu « perturbé les sachants du ministère de l'Intérieur à l'époque. C'est vrai que c'est ce champ un peu nouveau de crise d'origine cyber. On y reviendra peut-être. Effectivement, pour eux, il y avait un caractère de nouveauté. Ils n'avaient jamais vu ça. et donc ils étaient un petit peu à la fois étonnés, surpris, aussi assez curieux. Donc on discutait aussi beaucoup avec, je me rappelle avoir des discussions avec des commissaires de police qui effectivement s'intéressaient à ces crises d'origine numérique qui à l'époque étaient quand même assez nouvelles.

Ils étaient conscients de l'impact du cyberespace, des cyberattaques, etc. à l'époque ? Ils prenaient ça au sérieux en général ? Je pense qu'ils prenaient ça vraiment très au sérieux. Après, je pense que la conscience s'est faite par couches successives d'incidents. Et là où je pense que l'ANSSI, au début, on a eu un peu de mal, mais c'est normal. Il fallait vraiment expliciter les différentes catégories d'attaques, ce qui est dangereux, pas dangereux, ce qui est grave, pas grave. Et donc faire cet effort de sensibilisation. Par exemple, ces histoires d'attaques, de défiguration.

C'était des sites qui n'étaient pas très bien sécurisés, parce qu'à l'époque, ce n'était vraiment pas bien sécurisé. donc c'était des attaques qui n'étaient pas très sophistiquées qui n'étaient pas très graves mais c'était très visible il y avait cette notion de visibilité donc vu de la fenêtre du ministère de l'Intérieur il y avait une sorte de trouble dans leur façon de voir les choses il y avait une sorte de trouble à l'ordre public du fait de ces défigurations de ces messages en plus les messages n'étaient pas très polis ça troublait un peu l'ordre public et comme c'était nouveau ils étaient un peu perturbés par cette nouveauté.

Et tu aurais quelques anecdotes, quelques incidents qui ont vraiment encore enfoncé le clou sur les besoins en gestion de crise cyber. En France, on a des études de cas, des cas d'école plutôt. Il y a TV5 Monde, il y a... Voilà, effectivement, c'est la première, je pense, cyberattaque. Alors si on met à part, effectivement, et d'ailleurs, quand on reparle, puisque c'est Bercy récemment, donc l'attaque de 2011, mais qui était plus de l'espionnage, donc ça s'est joué plutôt, j'allais dire, un peu en mode un peu plutôt cloisonné. Mais effectivement, la première attaque qui a eu, par exemple, cette dimension de communication très importante, c'est TV5 Monde, donc en avril 2015, où la chaîne a arrêté d'émettre.

et moi je me souviens très bien qu'il y avait donc trois ministres à l'époque, alors ça ne nous rajeunit pas mais il y avait donc Bernard Cazeneuve, ministre de l'Intérieur Laurent Fabius, ministre des Affaires étrangères et Fleur Pellerin, secrétaire d'état au numérique je crois donc qui était un peu au chevet de TV5MONDE et donc là effectivement on était typiquement dans le cas où on a effectivement des agents de l'ANSSI qui sont allés dans les locaux de TV5MONDE pour effectivement comprendre faire cette fameuse opération de cyber défense donc collecte d'informations, compréhension et puis remédiation c'est-à-dire finalement remettre en service les systèmes d'information une fois qu'on a un peu éjecté l'attaquant.

Je pense que cet événement était assez puissant pour différentes raisons. Il y a d'une part par le fait que c'était un média qui était attaqué, et donc un média attaqué et qui arrête d'émettre, ça se voit. La science-fiction. Oui, voilà. Effectivement, je pense que quelques mois avant, personne n'aurait imaginé un tel événement. et que c'était finalement la première victime française vraiment de grande ampleur, très visible. En plus, une victime, on peut dire, les pauvres, ils étaient pour rien dans cette histoire. Ils se sont retrouvés attaqués par un acteur étatique.

Aujourd'hui, on peut le dire, puisque l'État français a attribué cette attaque au service de renseignement russe. Donc, ils ont été la victime collatérale d'une bataille qui les échappaient. J'imagine aussi que l'ANSSI grandit, qu'il y a aussi des questions de budget. On a vu récemment encore, il n'y a pas longtemps, après l'attaque des impôts, puisque là on est en 2026, et la DGFIP, etc., des budgets ont été attribués de nouveau. Il y a quand même des choses qui font un peu polémique. Est-ce que toi, tu as senti au fur et à mesure du temps et au fur et à mesure de ces grosses APT, de ces grosses attaques, la prise en considération de l'État, de mettre en place la gestion de crise, de la rendre vraiment plus accessible au grand public, parce qu'on sait que l'ANSSI a sorti énormément de référentiels là-dessus.

Est-ce que tu aurais en tête comme ça d'autres grosses attaques qui ont vraiment contribué à la maturité, je dirais, cyber ? Les attaques vraiment qui ont marqué, c'est effectivement WannaCry et NotPetya en 2017, Donc cette fameuse vulnérabilité EternalBlue, voilà.

▶ 20:04

Et surtout, clairement, WannaCry qui est un mode opératoire, je pense qu'on n'a jamais revu depuis, où on a quand même un malware qui se déplaçait, était wormable, donc c'était un ver, c'est-à-dire qui se déplaçait de victime en victime de manière automatique. Donc là, vraiment, ça a fait des milliers, voire des millions de victimes. Donc c'est vraiment quelque chose d'assez incroyable. et NotPetya qui était basé sur la même vulnérabilité et lui pour le coup NotPetya c'est assez intéressant parce que c'était vraiment avec le recul maintenant quasiment 10 ans après on voit que c'est en fait l'état russe qui attaque l'Ukraine donc c'est un missile téléguidé sur l'Ukraine par les russes c'est quand même 10 ans après on voit qu'effectivement ils avaient un plan depuis quelques années peut-être un peu d'avance aussi sur le sujet Oui effectivement les acteurs les acteurs russes l'autre événement qui a aussi marqué l'époque mais qui n'a pas concerné directement la France c'est bien sûr la compromission du parti démocrate américain en 2016 et l'élection de Donald Trump alors est-ce que c'est lié ou pas lié l'histoire le dit mais en tout cas effectivement ça a beaucoup interpellé à l'époque la France et puis effectivement on s'est aussi préparé en 2017 à l'ANSSI à comment protéger finalement les élections françaises et d'ailleurs il y a eu une opération cyber à cette occasion puisque le fameux hack and leak, les MacronLeaks de l'époque ont été également une opération cyber je crois que c'était officiellement attribué mais en tout cas on a un petit on n'a pas trop de doute sur la provenance et mais bon disons qu'il y avait quand même l'effet de surprise en moi puisque quand même on est C'était en 2017, c'était un an après 2016.

Et donc, on s'attendait à avoir des problèmes et ils ont eu lieu. Mais l'attaque a été ratée en plus. Donc, ça a eu beaucoup moins d'impact que l'attaque de 2016. On peut faire une petite digression sur la gestion crise, mais ces attributions à l'ANSSI, elles sont faites par qui et comment ? Parce que ça, c'est une question que beaucoup de personnes se posent. Oui, alors justement, l'attribution n'est pas faite à l'ANSSI. Elle n'est pas faite à l'ANSSI. Là c'est plutôt, il faut en 2017, un document assez structurant sort, c'est la revue stratégique de cyber défense qui crée le C4 dont on en parle encore aujourd'hui, le centre de coordination des crises cyber qui est composé de l'ANSSI, du ministère des affaires étrangères et des services de renseignement et en premier lieu la DGSE.

je ne vais pas pouvoir aller trop dans le détail parce que c'est des sujets qui sont couverts par le secret de la défense mais ce que je peux dire aujourd'hui c'est que à l'époque déjà les anglo-saxons attribuaient très facilement et d'ailleurs enjoignaient la France a attribué avec eux d'ailleurs les anglais et les américains ont attribué l'attaque contre TV5 Monde à la Russie très rapidement mais la France n'a pas suivi parce que la politique de la France c'est d'avoir finalement une attribution qui est souveraine c'est pas juste les américains nous filent un tuyau et on leur dit on vous croit sur parole et puis je pense que la relation avec la Russie a un tout petit peu évolué entre 2017 et aujourd'hui je pense qu'aujourd'hui on a moins de scrupules à dire qu'on est pas très content vis-à-vis des actions malveillantes des russes Ce qui était peut-être moins vrai à l'époque.

Mais ce que je peux dire, c'est qu'en gros, il y a une sorte de chorégraphie de l'attribution. Il y a effectivement l'ANSSI qui, de par ses opérations techniques, peut récolter des informations et avec de la CTI, pouvoir attribuer un mode opératoire. Mais voilà, on attribue un mode opératoire, on n'attribue pas un état. Et en fait, l'attribution est plutôt portée par les services de renseignement. moi je me rappelle à l'époque avoir discuté avec quelqu'un et juste pour dire aussi que finalement ce qu'il faut avoir en tête c'est que l'attribution ne résulte pas simplement d'une analyse technique de manière très caricaturale si par exemple c'est un exemple complètement bidon mais c'est juste pour bien faire comprendre les choses, si la DGSE intercepte une communication de Vladimir Poutine qui dit s'il vous plaît service de renseignement acquis pour moi telle industrie militaire en France, en fait, on n'a pas besoin de l'analyse technique.

En fait, on peut attribuer directement par d'autres moyens que simplement l'analyse technique. Alors, en pratique, c'est un peu plus complexe, c'est-à-dire que les services de renseignement, ils ont d'autres cas, d'autres renseignements et donc, en fait, ils corrèlent finalement l'information qui provient des analyses techniques avec d'autres informations qui produisent du renseignement et peuvent produire de l'attribution, ce qui fait qu'aujourd'hui, j'en arrive à ma conclusion, que l'attribution, aujourd'hui, la France attribue.

▶ 25:07

Je crois, il me semble que c'est depuis quelques mois, justement, la France a attribué au service de renseignement russe l'attaque contre TV5 Monde. Et puis, plus récemment, à l'été, en mois de juillet, il y a tout un papier qui est sorti, d'ailleurs, qui est signé du C4. Je ne sais pas si tu l'as vu. Sur l'ensemble des opérations qui a mené le mode opératoire Turla, qui est en fait le SVR, et qui a très vu un nombre d'attaques assez impressionnant d'ailleurs, d'attaques contre les intérêts français des ambassades, des services d'État, etc. Avec toute une synthèse autour de quel bureau, c'est-à-dire que là il y a même, je t'arrive vraiment à lire cette note qui est sur le site de l'ANSSI où on dit voilà ils ont des bureaux dans telle ville.

C'est l'unité, etc. On le mettra dans la description du podcast. Ce que je peux dire en conclusion, c'est que si aujourd'hui on attribue, c'est qu'il y a du travail en amont pour monter en compétence, monter en puissance sur ces sujets. et puis je pense aussi à un moment politique c'est à dire qu'aujourd'hui je pense que la France et ses relations notamment avec la Russie il faut qu'on s'autorise à attribuer ce qu'on faisait peut-être pas avant parce qu'on avait d'autres d'autres façons d'essayer de gérer cette relation du one to one où en gros on leur montrait les yeux dans les yeux en disant regarde t'as vu la coco arrête tes bêtises avec à l'époque c'est assez intéressant des réflexions autour de finalement qu'est-ce qui est le plus efficace est-ce que c'est de les dénoncer, de leur dire regardez c'est des méchants ils nous attaquent ou plutôt finalement de ne pas le faire ça et de les regarder droit dans les yeux, entre quatre yeux en disant maintenant t'arrêtes tes bêtises on t'a vu force est de constater que aucune des deux n'a vraiment marché c'est clair en 2026 je crois que on peut le stipuler il y a Alors, quand je pense à gestion de crise, je pense évidemment aux Jeux Olympiques.

Je sais qu'à l'époque, on se préparait à des attaques cyber qui allaient venir de tous bords. Et j'imagine que vous avez sûrement dû être hyper sollicité à l'époque. Je ne sais pas, tu vas nous dire. Moi, j'ai quitté l'ANSSI en 2021. Mais ce que je peux dire, c'est qu'on s'est préparé vraiment assez longtemps en avance. En fait, on a suivi les Japonais. c'est assez drôle parce qu'en fait les japonais ont organisé la coupe du monde de rugby en 2019 et les jeux olympiques en 2020 et donc en fait comme c'est des partenaires avec qui on a des très bonnes relations donc moi même d'ailleurs j'étais au Japon en 2019 pour aller finalement faire un peu le RETEX de l'organisation à l'époque de la coupe du monde de rugby sachant que les jeux olympiques en 2020 ont été reportés pour cause de Covid ils ont eu lieu un an après et donc effectivement il y a eu un gros travail et de manière générale c'est vrai que le bureau management de crise cyber a beaucoup oeuvré pour ça de préparation donc on fait aussi beaucoup d'exercices d'entraînement un de nos j'allais dire des choses dont on est assez fier dans le bureau c'est le fameux guide d'organisation d'un exercice de crise cyber qui a été publié en 2020 et qui je crois a eu un beau succès et qui a permis un peu de finalement de propager à tout le monde finalement comment s'entraîner, comment se préparer à une crise cyber.

Donc ça c'est effectivement une production du bureau que je dirigeais à l'époque. Et il y a eu par la suite du coup également un guide pour s'organiser, comment s'organiser sur la gestion de crise cyber. Donc là c'est mes successeurs qui ont fait tout ça. Et c'est vrai que moi au Japon pour finir avec cette histoire de benchmark en fait On avait vu que les Japonais avaient réuni toutes les organisations qui étaient impliquées de près ou de loin dans la réalisation de la gestion des Jeux Olympiques. Ils avaient fait ça à la japonaise. Ils étaient tous regroupés dans un même bâtiment, dans des petits cubicules.

Ils étaient tous les uns alignés à côté des autres. Ça m'avait assez impressionné à l'époque. On avait trouvé que c'était une très bonne idée. et donc on s'était dit, mais nous on s'était dit on le fera à la française, on le fera un peu différemment parce qu'on avait une plateforme d'entraînement, on pouvait faire des exercices un peu distribués avec un outil qui s'appelait OpenEx. Là aussi il y a la question de l'outillage, c'est assez important, c'est qu'en fait il n'y avait pas aussi de plateforme pour s'entraîner donc en fait à l'ANSSI comme dans d'autres bureaux et notamment la sous-direction opération, ils ont créé carrément des outils pour mener leurs opérations, par exemple typiquement collecter des logs en masse, en quantité.

C'est un outil que tu as peut-être déjà entendu parler qui s'appelle ORC. ORC a été créé finalement en 2011 avec cette histoire de Bercy parce qu'en fait ils se sont rendu compte qu'ils avaient besoin de connecter beaucoup d'informations, ils n'avaient pas d'outils. Donc ils ont décidé tout simplement de le créer.

▶ 30:02

C'est là qu'il est arrivé. Tout à fait. Et c'est un peu la même chose pour l'entraînement. Il y avait cette plateforme qui a été créée, OpenEx, qui est aujourd'hui Samuel Hassine, qui était dans mon bureau, était un peu le geek il y a toujours un geek dans le bureau qui va développer l'outil qui a développé l'outil et qui aujourd'hui il est à la tête de Filigran alors c'est plus connu pour OpenCTI mais il y a une partie entraînement aussi dans les outils qu'il avait développé à l'ANSSI et ce qui nous permettait du coup de faire de l'exercice un peu en masse c'est à dire que grâce à ces outils en fait on pouvait délivrer ce qui a permis par la suite de faire les exercices REMPARs dont tu as peut-être entendu parler de l'ANSSI REMPAR22 et REMPAR25.

Tu peux nous expliquer, je pense. Oui, alors effectivement, ça, c'est issu de ce fameux benchmark japonais où on s'était dit, on va faire un peu la même idée. On trouvait que c'était une très bonne idée d'entraîner un peu en masse. Et donc là, par rapport à la façon de faire japonais, on met tout le monde dans une même salle. En randonnée, on s'est dit, bon, ça va peut-être pas trop marcher. Ça va pas trop marcher. Donc on s'est dit, on va le faire à notre sauce. Et notre sauce, c'était effectivement basé sur OpenEx, c'est-à-dire sur cette plateforme de distribution où on peut en fait distribuer un même scénario en fait via tout simplement une plateforme qui envoie des mails, c'est assez simple.

Et donc une cellule d'animation, donc on pouvait envoyer un scénario à plein d'organisations, qu'elles soient publiques ou privées. Et donc voilà, on a travaillé autour de ce concept. Et c'est comme ça que REMPAR22, donc là c'est pareil, c'est mes successeurs qui ont fait ce travail, qui ont je pense d'ailleurs vraiment bien réussi parce que ça a eu un beau succès. Alors après effectivement ils ont arrêté, ils ont fait plutôt de l'entraînement des entités autour des Jeux Olympiques 2024 et c'est pour ça que je crois que ils ont fait qu'un rempart en 2025 parce que l'année 2024 était un peu occupée, un peu chargée par rapport au jeu Tu penses que on est assez mature du coup de maintenant dans la gestion de crise cyber en termes de référentiel pour citer ceux de l'ANSSI est-ce qu'il y a des pays qui sont un exemple qui ont montré qu'ils avaient un peu d'avance comment on se situe ?

il y a des normes dessus ? non alors effectivement ça reste quand même assez de la j'allais dire la documentation ou la doctrine autour de la gestion de crise ou même la gestion opérationnelle technique elle est peu développée et plus on va dire standardisée, il y a ma connaissance il n'y a pas de norme ISO par exemple de la gestion de crise alors il existe une norme ISO mais qui est assez ancienne autour des exercices de crise mais pas spécialement cyber c'est la norme ISO 22398 pour les puristes D'cool des 22 300 tout ce qui est PRA, PCA C'est ça exactement mais il n'existe pas de normes mais par contre je pense que la France a quand même un temps d'avance et je pense que l'ANSSI alors nous on a fait le guide méthodologique des exercices de crise mais je pense au guide plus récent justement de la sous-direction opération qui explique comment faire une opération de cyber défense comment voilà investigation endiguement, containment Donc tout ça est quand même assez bien documenté aujourd'hui, mais ce n'est pas normé.

Et je crois qu'il me semble d'ailleurs que l'ANSSI a encore ressorti un nouveau petit guide encore autour de ça sur les stratégies finalement de comment on gère finalement sa posture par rapport à un attaquant. Est-ce qu'on est discret vis-à-vis de lui ? Est-ce qu'on attaque, etc. Enfin, on n'attaque pas, est-ce qu'on le bloque et du coup, il se rend compte qu'il est découvert, etc. Et donc, je pense qu'en termes de doctrine, c'est assez avancé, mais ça reste plus ou moins, entre guillemets, informel dans le sens où c'est des guides. Et c'est parce qu'en fait, c'est beaucoup de l'empirisme.

C'est-à-dire qu'en fait, malheureusement, il y a eu beaucoup d'incidents. Donc, on a expérimenté pas mal de façons de traiter des incidents. Et puis, ça en est dégagé quand même un certain nombre. À un moment, on s'est dit qu'il y a des trucs qui marchent, des trucs qui ne marchent pas. Et donc ce qui marche, il faut peut-être le doctrinaliser. C'est ce qui a conduit aujourd'hui le référentiel prise, on peut dire, de réponse à l'incident. Prise de l'ANSSI, la qualification. Voilà, le référentiel prise de l'ANSSI décrit un peu toute cette doctrine.

Et puis elle est un peu plus opérationnalisée par ces guides qui sont à côté. Bien sûr. C'est accessible à tout le monde la gestion de crise, à toute organisation ? J'imagine que tu es freelance, tu ne vas pas faire de la gestion de crise. quand tu l'as fait un... On va dire indirectement. Tu as vu des PME avoir des connaissances en gestion de crise cyber ? Ou c'est vraiment que pour les grosses organisations ? Alors on va effectivement pas se mentir, c'est quand même les entités les plus matures sont plutôt les entreprises de taille importante.

Mais après ça dépend vraiment, j'ai envie de dire, de la nature bien sûr de l'entité. si vous êtes une entreprise qui vend des yaourts vous n'êtes pas forcément spécialiste de la gestion de crise cyber et on ne vous en voudra pas par contre il peut y avoir des entités qui ne sont pas forcément de très grande taille mais qui ont quand même un besoin d'avoir des capacités de résilience importantes et aujourd'hui c'est vrai qu'en plus avec NIS2 je pense qu'on est à un pas où on va un peu changer de paradigme quand cette directive sera transposé. Il y a des obligations d'entraînement, comme c'est un peu nouveau.

▶ 35:27

Aujourd'hui, si je peux donner un exemple, à ma connaissance, il n'y a quasiment qu'un seul secteur pour lequel l'entraînement, faire des exercices est obligatoire. C'est le secteur financier. Ça existe depuis très longtemps. Ça ne va pas encore nous rajeunir, mais le fameux incendie de la salle de marché du Crédit Lyonnais dans les années 90, qui a conduit à la création d'un règlement assez célèbre dans notre petit milieu, donc un règlement de la COB 9702 qui imposait d'avoir des PCA, etc., des PRA, et aussi d'avoir, de faire un peu des exercices.

Donc ça, c'était quand même assez ancien. Mais c'était très PCA, PRA, quand même, l'approche. Et là, avec DORA, effectivement, les entités qui sont soumises à DORA ont l'obligation, et DORA est déjà en vigueur aujourd'hui. Donc aujourd'hui, c'est vraiment le seul secteur, c'est le secteur financier qui a des obligations de faire des exercices et de se préparer également. Et aujourd'hui, et dans quelques mois, enfin quelques semaines, quelques mois, en fonction de quand est-ce que sera transposée cette fameuse directive NIS2 en France, les entités essentielles auront l'obligation de faire des exercices. Les entités importantes n'auront pas cette obligation, mais ça ne concernera que les entités essentielles. Il y a des formations en gestion de crise, comment ça marche ? Est-ce qu'on s'enseigne dans les universités, les écoles ?

Oui, alors déjà ce qu'il faut dire c'est que ça repose aussi sur un corpus qui est assez ancien et qui était plutôt lié aux accidents industriels. Dans les années 70 il y a eu des accidents assez célèbres, le Seveso qui est un accident en Italie qui a derrière généré un règlement aussi européen autour de la partie de la sécurité industrielle contre les accidents. et j'allais dire en France on a un peu un pape de la gestion de crise qui s'appelle Patrick Lagadec qui est un chercheur polytechnicien qui a fait beaucoup de recherches autour de la gestion de crise mais effectivement à l'époque c'était très orienté quand même plutôt fonctionnement des cellules de crise et très orienté techno accident industriel porté vraiment par ces sujets de risque industriel, d'explosion etc. Puis il y a bien sûr Tchernobyl en 86 etc.

Donc à l'époque c'était plutôt ça le focus et la partie cyber finalement est apparue un peu après ou à partir du moment où finalement les systèmes d'information se sont déployés dans les organisations et où là on s'est dit bah oui tiens si on n'a plus de système d'information ça va plus très bien marcher quoi. Et c'est vrai que la formation et la gestion de crise est dans beaucoup de modules maintenant je pense dans les écoles on peut s'y former et faire des exercices c'est devenu un vrai pendant de la cyber résilience c'est plus quelque chose d'oublié comme à 10 ans on n'en parlait pas beaucoup 10-15 ans est-ce que tu aurais toi si on changeait en switcher de place tu me poserais quoi comme question qu'est-ce que tu aurais envie de te poser comme question qui pourrait intéresser les auditeurs quelque chose qu'on n'aurait pas dans l'histoire de la cyber et de la gestion de crise en France qu'on n'aurait pas abordé ?

Je ne sais pas si c'est une question, mais effectivement, ce que je pense qui est assez intéressant, c'est que cette gestion de crise cyber, elle est bien au cœur, finalement, moi je trouve au cœur de la place de la cyber dans la société. Dans les années 2010, en fait, on était sur un sujet qui était très technique, et les incidents étaient quand même très liés à l'espionnage entre États, etc. Donc c'était très stratégique, donc peu médiatisé, effectivement peu à partir de 2015, 2016, 2017, WannaCry tout ça donc là on s'aperçoit que la cyber devient un sujet quand même stratégique, on a quand même des entreprises qui subissent des incidents vraiment colossaux, moi j'ai le souvenir de Saint-Gobain qui se prend en NotPetya, c'est vraiment catastrophique, ils ont vraiment été traumatisés à l'époque par ces incidents et puis effectivement quand même toute cette vague de ransomware qui qui a quand même impacté des hôpitaux, tout un tas d'entreprises, etc. Donc ça a quand même beaucoup chahuté. Donc ça effectivement on est passé voilà d'un sujet qui est devenu technique à un sujet qui aujourd'hui, enfin qui était quelque part jusqu'en 2025 stratégique et effectivement aujourd'hui avec la DGFIP, on peut dire quasiment Chorise c'est un sujet politique quoi. C'est à dire qu'aujourd'hui on a des parlementaires par exemple qui proposent de faire des, ils ont le pouvoir de faire des enquêtes parlementaires sur différents en sujet, il y a des parlementaires qui proposent de faire des enquêtes autour du niveau de sécurisation des systèmes d'information des services de l'État du fait de ces incidents.

▶ 40:12

C'est vrai que je ne sais pas si tu l'as vu, mais les différentes prises de parole de la directrice générale des finances publiques, je pense que vraiment, elle n'était pas préparée à une telle déferlante. Et effectivement, je pense qu'il y a une prise de conscience. Je pense que les services de l'État n'étaient pas mauvais, il ne faut pas dire ça. Je pense qu'il ne faut pas se flageller. Il y a différentes difficultés. D'une part, il y a eu une très forte numérisation aussi. Il ne faut pas oublier qu'en fait, on n'était pas sur un système à plat.

C'est-à-dire qu'on avait un système d'information et puis il fallait le sécuriser. Il y avait eu, on va dire quelque part entre 2010 et aujourd'hui, une très forte numérisation dans tous les sens de plein de métiers. Ce qui fait que la pente, voilà, elle était comme ça. mais il fallait associer la sécurité à la même pente que le niveau de numérisation et je pense que c'est là où ça a un peu péché comme très souvent c'est pas pour tirer sur une ambulance mais quand ça va très vite c'est difficile et nous on le sait parce que c'est notre métier, c'est notre métier de la super sécurité mais c'est pas le cas forcément des organisations et des entreprises juste pour répondre à ta question, ce qui m'interpelle aujourd'hui c'est de me dire que j'aurais pas franchement même il y a un an cette histoire de DGFIP en plus la nature de l'incident lui même c'est pas une attaque étatique c'est là qu'on peut discuter quand même voilà en Vienne à cette situation ben voilà je l'aurais pas imaginé est-ce que tu peux nous parler un peu de ce que tu fais maintenant c'est important quand même Effectivement, je fais toujours de la gestion de crise cyber.

Je travaille chez Alcyconie qui a un cabinet spécialisé en gestion de crise cyber. Je suis dans ma niche, dans mon périmètre. Et effectivement, c'est un cabinet qui a été fondé par Stéphanie Ledoux en 2018. Ce qui est avec le recul, on se dit qu'elle a eu du nez parce qu'à l'époque, ce n'était pas quelque chose de très mainstream, si on peut dire. et donc mon métier aujourd'hui c'est d'accompagner les entreprises les administrations à la gestion de crise donc plus en préparation donc on fait beaucoup d'exercices on documente aussi des dispositifs de crise tu vous les formes j'imagine on les forme voilà tout à fait et puis on accompagne aussi à chaud c'est à dire en cas de crise on accompagne des entreprises alors un peu moins le service public mais plutôt des entreprises quand ils subissent des cyberattaques d'accord bon bah très bien Guillaume merci beaucoup d'être intervenu merci à toi la gestion de crise, élément essentiel pour l'histoire de la cybersécurité française on mettra ça dans la frise historique avec tout le monde et je suis sûr que ça va intéresser beaucoup de monde pour ce podcast merci à toi merci