II. DE NOUVEAUX OUTILS POUR DÉVELOPPER UN ÉCOSYSTÈME DE CYBERSÉCURITÉ ET COMBLER CERTAINS ANGLES MORTS
L'année 2023 se caractérisera par la montée en puissance de deux nouveaux dispositifs dont la création est issue de l'impulsion du Président de la République : VIGINUM dans le domaine de la lutte informationnelle et le Campus Cyber pour la création d'un écosystème public-privé de cybersécurité. À l'inverse, les projets issus du plan de relance 2021-2022, notamment pour la sécurisation numérique des collectivités territoriales et des établissements de santé, devront continuer à fonctionner et se développer par d'autres moyens budgétaires. La fin du plan de relance pose en particulier la question de la pérennité des centres de réponse à incidents (CSIRT) régionaux et sectoriels et de la nécessaire prise en compte des enjeux cybersécuritaires spécifiques aux Outre-mer.
A. VIGINUM : UN SERVICE QUI RESTE À ÉVALUER À L'AUNE DE LA FONCTION STRATÉGIQUE CONFÉRÉE AU DOMAINE DE L'INFLUENCE
Dès après sa création en juillet 2021, vos rapporteurs avaient relevé l'étroitesse du champ des compétences attribuées à VIGINUM dont le rôle devait se limiter à deux fonctions : la détection de « situations inauthentiques » et la caractérisation de critères d'implication et d'ingérence numériques étrangères. La réponse à apporter dans la lutte informationnelle ne relève pas de ce service, lequel « se contente » de signaler des faits caractérisés au SGDSN dont le comité interministériel examine et transmet une réponse éventuelle. A ce stade, on est très loin de l'intégration à laquelle est parvenue Taïwan dans le traitement à la fois des faits de désinformation et de réponse par le National security council dont l'objectif est de répondre en moins de 2 heures et 200 mots à toute menace informationnelle.
Les missions de VIGINUM
Trois rôles :
- Détecter par le constat d'une agitation numérique et la recherche de traces de manipulation étrangère ;
- Caractériser par l'analyse des modes opératoires utilisés et l'attribution de la menace ;
- Prévenir en informant les autorités compétentes, en l'occurrence le SGDSN, chargées de la coordination et de préparation d'une réponse adéquate.
Quatre critères d'intervention :
1) Atteinte aux intérêts fondamentaux de la nation (critère principal et nécessaire) ;
2) Données et contenus inauthentiques ;
3) Diffusion artificielle, automatisée, massive et délibérée ;
4) Caractère étranger de la source.
À la décharge de VIGINUM, la première année de mise en oeuvre a été essentiellement consacrée à la consolidation des conditions juridiques de fonctionnement, au recrutement et à l'installation technique des équipes. Doté de 42 effectifs en septembre 2022 (la cible étant de 65 personnels), l'enjeu sera pour le service de fidéliser et de développer son activité malgré le cadre juridique très contraint et des objectifs opérationnels qui semblent très éloignés des capacités massives de vérification de l'information mises en oeuvre par Google ou d'autres consortium de médias.
Il en ressort que le champ d'intervention de VIGINUM se limite à un rôle de « bouclier » défensif (détection, caractérisation et information des autorités) sans compétence sur la suite, c'est-à-dire la coordination et le volet offensif de la réponse à apporter. À cet égard, si l'encadrement par un comité d'éthique et scientifique est de nature à garantir le cadre d'emploi de VIGINUM, on peut s'interroger d'une part sur sa composition (membres du CSA, deux représentants de la presse, un diplomate, un chercheur), d'autre part sur la démultiplication des délais qu'il peut occasionner sur l'activité de détection et d'imputation de l'opération.
Préconisation de vos rapporteurs :
Un suivi étroit de l'activité de VIGINUM sera d'autant plus nécessaire qu'il permettra d'identifier des synergies avec le ComCyber ou l'écosystème médiatique, ou des axes d'amélioration de certaines méthodes de travail, comme l'automatisation de l'analyse des données de certains « petits » réseaux sociaux qui véhiculent potentiellement dans le débat public des contenus inauthentiques d'origine étrangère touchant aux intérêts fondamentaux de la Nation.