L'OTAN réfléchit à viser militairement les auteurs de cyberattaques

Les auteurs de cyberattaques pourraient devenir des cibles militaires légitimes dans le cadre d'un conflit armé entre deux États. Même s'ils sont civils. C'est en tout cas la piste que suit un manuel rédigé par un centre d'excellence de l'OTAN, qui propose des recommandations à suivre dans le cadre d'une cyberguerre.

Apparu il y a quelques années, le terme de "cyberguerre" désigne au sens large l'emploi d'ordinateurs et d'Internet pour mener des actions de sabotage ou d'espionnage en direction d'une puissance étrangère. Le concept est toutefois controversé, en particulier parce qu'aucune cyberguerre n'a – jusqu'à preuve du contraire – tué ou conduit deux États a signé une paix cybernétique.

Il n'en demeure pas moins que plusieurs cas d'attaque mobilisant des moyens informatiques ont été enregistrés depuis 2007, date à laquelle les infrastructures estoniennes ont été ciblées par des agresseurs a priori situées en Russie. Cet évènement est considéré comme la première cyberguerre de l'Histoire, même si l'origine exacte de l'agression et le rôle de l’État russe demeurent obscurs.

Depuis, quelques attaques ont eu des conséquences réelles. Le fameux ver informatique Stuxnet, probablement mis au point par Israël et les USA, a endommagé une partie des centrifugeuses iraniennes afin de ralentir le programme nucléaire du pays. Or, avec l'informatisation croissante de la société, une attaque informatique réussie peut avoir des effets très concrets et potentiellement graves.

Dès lors, faut-il appeler à adapter le droit des conflits armés afin de prendre en compte les possibilités nouvelles offertes par les technologies de l'information et de la communication ? Dans certains pays, la doctrine est en train d'évoluer. En France, la prochaine version du livre blanc sur la défense et la sécurité nationale devrait faire de la cyberdéfense une priorité.

À l'international, des réflexions ont également lieu. Ainsi, le centre d'excellence de l'OTAN chargé des questions de cyberdéfense (Cooperative Cyber Defence Centre of Excellence – CCDCE) a publié au début du mois un manuel sur le droit applicable à la cyberguerre. Ce document est le fruit de 3 ans de travail afin de déterminer comment les normes du droit international s'appliquent à cette nouvelle forme de conflit.

Le travail, réalisé à Tallinn, capitale de l'Estonie, a impliqué vingt des plus éminents juristes et universitaires dans le monde, ainsi que le Comité international de la Croix-Rouge et l'United States Cyber Command, le sous-commandement américain en charge de ces questions. Ce manuel n'a pas vocation à être la doctrine officielle de l'OTAN. Il se contente surtout de proposer une série de recommandations.

"Le manuel de Tallinn n'est pas un document officiel, mais plutôt l'expression d'opinions d'un groupe d'experts indépendants agissant à titre personnel. Il ne représente pas la position du centre, des nations-partenaires ou de l'OTAN. Il n'a pas non plus pour but de refléter la doctrine de l'OTAN pas plus qu'il ne reflète la position d'aucune organisation ou État représenté par ses observateurs", est-il écrit, pour se prémunir de toute critique.

Le Guardian, qui a remarqué la publication d'une nouvelle version du document, note ainsi que les cyber-attaques conduites par les États doivent éviter les cibles civiles sensibles comme les hôpitaux, les barrages, les digues ou encore les centrales nucléaires. Au total, 95 règles réparties en 7 grandes sections sont proposées. Certaines paraissent d'ores et déjà radicales.

Si le manuel invite un État à riposter proportionnellement à l'attaque subie, il n'interdit pas à un État de s'en prendre à des civils qui, au cours d'une guerre, participeraient à des attaques informatiques. Ces civils, par leurs actions dans le cadre d'un conflit armé entre deux États, deviendraient alors des cibles légitimes, à en croire le document de réflexion.

Cependant, il ne s'agit pas de riposter à chaque attaque par une volée de missiles Exocet. Dans l'extrême majorité des cas, il faut s'attendre à une riposte limitée au cyberespace. C'est en tout cas l'opinion de Michael Schmitt, en charge du droit international au sein du Naval War College, une institution de recherche et d'enseignement de la marine américaine.

"Les pays ne peuvent utiliser la force que lorsque vous atteignez le niveau d'un conflit armé. Tout le monde parle du cyberespace comme si c'était le far west. Mais nous découvrons qu'il y a beaucoup de lois qui s'appliquent au cyberespace", a-t-il expliqué.