Le Livre blanc sur la défense et la sécurité nationale, publié il y a maintenant plus d’un an, a mis en exergue l’importance d’une menace nouvelle : la cyber-menace. Nos sociétés technologiques et mondialisées sont en effet devenues étroitement dépendantes du bon fonctionnement des systèmes d’information. Or l’usage généralisé des technologies de l’information et de la communication et l’essor de l’Internet sont porteurs de risques que l’Etat doit prendre en compte. Tous les secteurs d’activités, étatiques, industriels, financiers ou commerciaux, pourraient être très fortement affectés en cas de dysfonctionnements graves. Les attaques informatiques menées en 2007 contre l’Estonie ont bien illustré ce qui peut être fait dans ce domaine pour désorganiser une nation.

Les chiffres parlent d’eux-mêmes. En 2008, près d’un million de sites Internet ont été défigurés dans le monde, c’est-à-dire que des attaquants en ont pris le contrôle et en ont changé l’apparence. Le filoutage, plus communément appelé « phishing », qui consiste à jouer de la crédulité des internautes pour dérober des informations confidentielles ou sensibles, a explosé depuis 2005. Le centre opérationnel de la sécurité des systèmes d’information du secrétariat général de la défense nationale (SGDN) a ainsi fait fermer plus de 2 200 sites de filoutage en 2008, contre 400 en 2006. De nombreuses attaques furtives ont visé les réseaux de l’Etat pour tenter d’y dérober des informations sensibles.

Face à des menaces toujours plus nombreuses et plus insidieuses, une mobilisation accrue de l’État est nécessaire. Le sénateur Romani avait souligné dans son rapport de juillet 2008 la nécessité d’un effort significatif pour que la France se porte au niveau de ses principaux partenaires. Cet effort est désormais bien engagé.

Le Livre blanc a retenu que notre pays devait se doter d’une capacité de défense informatique active. Il a recommandé que soit mise en place une Agence nationale de la sécurité des systèmes d’information (ANSSI). Cette agence a été créée par un décret du Premier ministre le 7 juillet dernier. Elle se substitue à la direction centrale de la sécurité des systèmes d’information du SGDN et en renforce les attributions, les effectifs et les moyens.

L’ANSSI est dotée d’une autonomie manifestée par son statut de service à compétence nationale. Elle est placée sous l’autorité du Premier ministre et rattachée au SGDN, ce qui lui assure une autorité interministérielle essentielle pour assurer ses missions.

L’ANSSI connaîtra une montée en puissance progressive mais rapide et ses moyens seront notablement renforcés au cours des prochaines années. A l’horizon 2012, l’agence devrait compter 250 personnes, soit un doublement des effectifs actuels.

L’objectif est de donner plus de moyens et de visibilité à une agence dont les missions principales sont de prévenir la menace et de détecter et de réagir au plus tôt en cas d’attaque informatique. Pour cela, elle met en œuvre un centre de détection chargé de la surveillance permanente des réseaux sensibles et de la mise en œuvre de mécanismes de défense adaptés aux attaques. Elle développe également une offre de produits de très haute sécurité et de produits et de services de confiance pour les administrations et les acteurs économiques.

L’agence joue également un rôle de conseil et de soutien aux administrations et au secteur privé, en particulier aux opérateurs d’importance vitale. Enfin, elle a une mission de communication et de sensibilisation active du grand public sur les menaces pesant sur les systèmes d’information. Conformément aux recommandations énoncées par le député Pierre Lasbordes dès 2006 dans son rapport sur la sécurité des systèmes d’informations, un portail Internet a déjà été mis à la disposition des particuliers et des entreprises pour les sensibiliser aux enjeux et les initier aux pratiques de la sécurité informatique. Il sera développé pour devenir le portail Internet de référence en matière de sécurité des systèmes d’informations.

La création d’une Agence de la sécurité des systèmes d’information constitue une étape marquante dans le renforcement de la cohérence et de la capacité propre de l’État en matière de sécurité des systèmes d’information. Cette agence sera l’instrument de la mise en œuvre d’une véritable politique de défense contre les attaques informatiques.