Le futur ex-directeur de l’ANSSI, Guillaume Poupard, a tracé les directions à suivre dans les prochains mois et prochaines années et rêvé d’une grande campagne de sensibilisation des Français aux risques cyber…

À l’occasion du FIC 2022, Guillaume Poupard a confirmé qu’il quitterait ses fonctions de directeur de l’ANSSI durant l’été, sans pour autant préciser sa nouvelle destination : « Je ne la connais pas moi-même », a-t-il d’ailleurs affirmé aux journalistes lors d’une conférence de presse.

En 8 ans, Guillaume Poupard aura fait de l’ANSSI une entité de référence en Europe et l’institution vers laquelle tout le monde se tourne en France pour toutes les questions de cybersécurité. Ses efforts auront notamment conduit à l’adoption en Europe de la norme NIS (et NIS 2), à l’élaboration du label SecNumCloud (dont la version 3.2 vient définir le cadre du « cloud de confiance » à la française), à la sensibilisation des hautes sphères de l’état aux problèmes cyber (même si de son côté il remercie plutôt avec humour le travail de sensibilisation réalisé par les cyberattaquants) et à la création du Cyber Campus français unissant forces privées et publiques.

Mais plutôt que de se tourner vers le passé et l’héritage qu’il laisse, Guillaume Poupard a ouvert le FIC 2022 en se tournant vers l’avenir et les efforts qu’il reste à réaliser.

Selon lui, il est essentiel de poursuivre nos efforts en regardant simultanément dans trois directions : nationale, territoriale, européenne.

Au niveau national :

Le directeur de l’ANSSI a rappelé que l’espionnage étatique est aujourd’hui la principale menace, et représente 80% du travail de l’agence. « La pire des menaces, c’est celle dont on parle le moins finalement : c’est la pression d’un espionnage étatique incroyable que l’on subit et qui a de graves impacts sur notre économie et notre sécurité nationale… Nous luttons quotidiennement contre des campagnes d’espionnage de long terme particulièrement évoluées, difficiles à détecter. Le jour où cette capacité d’espionnage sera transformée en capacité offensive, la situation sera extrêmement grave », alerte-t-il.

Néanmoins, il estime aujourd’hui « qu’au niveau national, on peut être satisfait de ce qu’on a construit avec les OIV (Opérateurs d’Infrastructures Vitales) ». Le niveau de sécurité de ces infrastructures ayant progressé, la menace affecte désormais l’ensemble des acteurs : PME, ETI, grands groupes, institutions, organisations publiques ou privées. Mais selon lui, l’écosystème français est riche et vibrant. « L’écosystème va nous sauver », ajoute-t-il.

Au niveau territorial :

Aussi, la priorité de l’ANSSI doit désormais davantage se focaliser sur les territoires. Notamment sur les DOM-TOM qui posent des problèmes particuliers en raison de l’éloignement et du manque de résilience des capacités qui en résulte. Mais, de par la nature même du tissu économique et social français, tous les territoires de France doivent être davantage sensibilisés et mieux organisés face aux risques Cyber. L’ANSSI rappelle qu’afin de protéger les entreprises de tailles intermédiaires et les collectivités territoriales particulièrement ciblées, elle a œuvré au déploiement de divers parcours de cybersécurité ainsi qu’à la création de centres régionaux de réponse aux incidents cyber (CERTs régionaux). L’agence soutient également l’acquisition de produits et licences mutualisés de cybersécurité afin d’ancrer dans la durée les niveaux de sécurité. Plus de 600 organisations avaient déjà bénéficié d’un accompagnement à la fin de l’année 2021, prouvant un besoin prégnant de soutien. « Au niveau local comme national, l’écosystème cyber doit se mobiliser afin de rehausser l’exigence générale de sécurité » martèle Guillaume Poupard.

Au niveau européen :

« NIS, Cyber Act, Enisa, traduisent une évolution positive des mentalités à l’échelon européen » reconnaît Guillaume Pourpard qui regrette toutefois « un manque de solidarité. Quand il s’agit d’aider et être aidé, entre pays européens, nous ne sommes pas prêts ».
L’agence se congratule cependant d’avoir pu saisir l’opportunité de la Présidence française du Conseil de l’Union européenne pour promouvoir et défendre la souveraineté de l’espace numérique : « De belles réussites sont à souligner, avec notamment un accord provisoire sur la révision de la directive NIS. Extrêmement ambitieux, ce texte réhausse rigoureusement les exigences européennes en matière de cybersécurité. Par ailleurs, les réseaux de coopération européens – CSIRTs Network, CyCLONe et Groupe de Coopération NIS – ont renforcé leurs dynamiques lors de plusieurs exercices et d’une semaine technique organisée par l’ANSSI au Campus Cyber au mois de mai. Enfin, la publication par la Commission européenne d’un rapport sur la sécurité d’OpenRAN a également contribué à la mise à jour continue de la stratégie européenne face aux nouvelles technologies ».
Pour Guillaume Poupard, la crise en Ukraine doit alimenter cette dynamique positive : « Il faut que l’on se fasse respecter. Il faut que nous portions une parole forte. Et pour cela, il nous faut aussi des moyens offensifs ». Il rappelle cependant qu’il est attaché à la vision française qui sépare la défense cyber (ANSSI) de l’attaque cyber (COMCyber).

Sensibiliser les Français

Au-delà de ces grandes directions, Guillaume Poupard a également formulé quelques priorités qui devront attirer l’attention de son successeur qui n’est par ailleurs pas encore connu. Selon lui, l’ANSSI va devoir encore un peu plus développer une « cybersécurité de services » et mettre à disposition des services permettant aux organisations privées et publiques de toutes tailles de lutter de façon factuelle ou ponctuelle face aux menaces : services de DNS, services d’analyses de binaires, etc.

Guillaume Poupard s’inquiète également de la difficulté de recrutement : « on va être limité par le manque de talents. Il faut former davantage. Ça doit être une priorité » affirme-t-il.

Enfin, il rêve d’une vraie campagne nationale de sensibilisation des Français, « qui monopoliserait à peu près en même temps 5 minutes de temps de cerveau de chaque français, depuis le primaire jusqu’aux EHPADs ».

Un rêve qu’il n’a pu concrétiser en 8 ans de direction de l’ANSSI mais qu’il espère voir son successeur pouvoir un jour réaliser…

À lire également :

Guerre en Ukraine : L’ANSSI invite les entreprises à prendre des cybermesures préventives prioritaires.

L’ANSSI crée un Observatoire des métiers de la cybersécurité.

Les 7 principaux risques cyber de 2022 selon Gartner

L’ANSSI évoque Kaspersky dans sa dernière communication autour de la guerre en Ukraine