Cyberpuissance : les pays montrent leurs muscles

« La première règle de la guerre hors limite est qu’il n’y a pas de règles, rien n’est interdit […]. Il n’y a rien dans le monde aujourd’hui qui ne puisse devenir une arme ». 21 ans après sa publication, le livre Unrestricted Warfare de deux anciens colonels de l’Armée de libération populaire, Qiao Liang et Wang Xiangsui, reste une référence en matière de cyber.

Cet ouvrage (traduit en français, La Guerre hors limites, Ed. Rivages) explique comment vaincre un adversaire technologiquement supérieur (en l’occurrence, les États-Unis) en s’appuyant sur divers moyens autres que la confrontation militaire directe.

Mais ce livre ne permet pas pour autant de définir ce qu’est une cyberpuissance. C’est en étudiant le National Cyber Power Index (NCPI) que l’on peut mieux appréhender ce terme. Selon les auteurs de ce rapport de 84 pages, « la cyberpuissance est composée de multiples éléments et doit être considérée dans le contexte des objectifs nationaux d’un pays. Nous adoptons une approche nationale pour la mesurer ».

Contrairement à une idée reçue, la cyberpuissance ne se limite donc pas à la destruction ou la mise hors service de l’infrastructure d’un adversaire. L’offensive n’est que l’un des sept objectifs que les pays poursuivent en utilisant des moyens cyber.

Pour mesurer les capacités cyber de 30 pays, le NCPI a en effet identifié sept objectifs nationaux que les pays poursuivent en utilisant des moyens cybernétiques :

1. surveiller et contrôler les groupes nationaux ;
2. renforcer et améliorer les cyberdéfenses nationales ;
3. contrôler et manipuler l’information ;
4. collecter des renseignements à l’étranger pour la sécurité nationale ;
5. accroître les compétences nationales en matière de cyber et de technologie ;
6. détruire ou désactiver l’infrastructure et les capacités d’un adversaire ;
7. définir des normes internationales en matière de cybernétique et des normes techniques.

En s’appuyant sur des bases de données publiques, le NCPI a établi 32 indicateurs d’intention et 27 indicateurs de capacité. Si les États-Unis et la Chine sont respectivement à la première et à la seconde place, il est peut-être plus étonnant pour le grand public de trouver dans ce Top 10 des pays comme la France et les Pays-Bas.

En lisant ce rapport, on constate que les États-Unis sont réellement une cyberpuissance. Ils obtiennent les meilleurs résultats dans cinq des sept objectifs. La Russie est en tête de liste pour l’objectif 6 (Détruire ou désactiver l’infrastructure et les capacités d’un adversaire).

De son côté, la Chine est en tête du classement des capacités de cyberdéfense. Là aussi, ce résultat peut être une surprise pour le grand public, car les médias relatent régulièrement des cyberattaques (supposées ou réelles) orchestrées par les Chinois.

De façon globale, ce pays se trouve dans le Top 5 pour chaque objectif. « Ces dernières années, la Chine a investi massivement dans la recherche et le développement de technologies qui permettent d’atteindre de multiples objectifs dans le cyberespace », notent les auteurs de ce rapport.

« Depuis le début des années 90, la Chine développe ses capacités en cyberguerre. La doctrine militaire chinoise intègre la cyberattaque comme une composante de sa stratégie visant à défaire un ennemi mieux équipé ou supérieur en nombre. L’Armée de Libération Populaire a bien compris la dépendance sans cesse croissante des armées modernes vis-à-vis de l’informatique et de leurs besoins permanents de communiquer », nous explique sous couvert d’anonymat un expert militaire français.

Paradoxalement, les États-Unis concentrent les pouvoirs entre les mains de quelques personnes. Ainsi, le général Keith Alexander a été à la fois le directeur du U.S. Cyber Command, l’unité militaire de cyberopérations, et de la NSA, l’agence responsable du renseignement électronique et de la sécurité des systèmes informatiques du gouvernement.

« À l’inverse, en Chine, les rôles sont éparpillés. La cybersécurité civile implique à la fois le Parti communiste, plusieurs agences gouvernementales (ministère de la Sécurité publique, bureau d’État du chiffrement, bureau des secrets d’État…), l’Armée populaire de libération, le monde universitaire, les opérateurs d’infrastructures critiques ou encore les industriels des technologies de l’information », explique Frédérick Douzet, Professeure à l’Institut français de géopolitique de l’université Paris-VIII.