Le cyberespace, le nouveau Far-West

NEW-YORK - Durant la Guerre froide, les sommets diplomatiques USA-URSS étaient surtout consacrés à des discussions visant à limiter l'armement nucléaire et leurs vecteurs - et aujourd'hui encore, les USA et la Russie discutent de ces sujets. Mais lors de leur récente rencontre à Genève, Biden et Poutine se sont penchés sur un autre domaine en vue de son éventuelle réglementation : le cyberespace qui constitue un enjeu tout aussi important.C'est parce qu'un peu partout dans le monde Internet occupe une place centrale dans l'économie, au sein des systèmes politiques et militaires et dans beaucoup d'autres domaines. Les infrastructures numériques sont donc une cible de choix pour ceux qui cherchent à semer le chaos et créer des dégâts en utilisant un minimum de moyens.
Il est facile tant aux Etats qu'aux acteurs non étatiques de mener des cyberattaques et de nier ensuite en être à l'origine, ce qui rend ces attaques et le développement des moyens appropriés d'autant plus tentants. Nous savons quand et d'où un missile a été lancé ; mais il est plus long et plus difficile de découvrir qu'une cyberattaque a eu lieu et d'en identifier le responsable. De ce fait, la menace de représailles est problématique - alors qu'elle est au coeur de la dissuasion.
Cette question a été à l'ordre du jour de la rencontre Biden-Poutine parce que la Russie est de plus en plus agressive dans le cyberespace, que ce soit en créant de faux comptes sur les médias sociaux pour influencer la politique américaine ou en pénétrant dans des infrastructures critiques telles que des centrales électriques. La Russie n'est pas seule à agir dans ce domaine, ce qui renforce l'importance du problème : en 2015 la Chine aurait eu accès à des fichiers concernant 22 millions de personnes travaillant directement ou indirectement pour le gouvernement américain. Ils contenaient des informations pouvant aider à déterminer qui a travaillé ou qui travaille pour la communauté du renseignement américain.
De même, la Corée du Nord a attaqué Sony (accédant ainsi à toutes sortes de communications privées) pour empêcher la distribution d'un film satirique décrivant l'assassinat du dirigeant du pays. Tout cela ressemble à un Far West des temps modernes, avec beaucoup de gens armés agissant dans un espace en manque de lois et de shérifs pour faire respecter celles qui existent.
Traditionnellement, les USA sont partisans d'un Internet largement déstructuré («ouvert, interopérable, sécurisé et fiable», selon une politique définie il y a dix ans), afin de promouvoir la libre circulation des idées et des informations. Mais leur enthousiasme s'estompe à mesure que leurs ennemis exploitent cette ouverture pour saper leur démocratie et voler des savoirs cruciaux pour le fonctionnement de leur économie et l'avantage comparatif dont ils disposent.
La question, plus facile à poser qu'à résoudre, est de determiner des limites et comment les faire accepter. Les USA ont leurs propres contradictions. Ils pratiquent eux aussi l'espionnage dans le cyberespace (l'équivalent moderne de l'ouverture d'enveloppes à la vapeur pour lire une lettre dont on n'est pas destinataire) et ils auraient installé avec Israël des logiciels malveillants destinés à saboter le programme d'armement nucléaire iranien. Aussi, toute interdiction d'actions dans le cyberespace serait probablement partielle.
On peut espérer que la rencontre entre Biden et Poutine conduise à un accord sur les cyberattaques qui interdise de s'en prendre aux infrastructures cruciales comme les barrages, les installations de production de pétrole et de gaz, les réseaux électriques, les établissements de soins, les centrales nucléaires et les systèmes de commande et de contrôle des armes nucléaires, les aéroports et les grandes usines. La force cybernétique peut devenir une arme de destruction massive si elle s'attaque à des sites d'une telle importance.
Néanmoins, la vérification du respect du respect d'un tel accord pourrait s'avérer impossible, aussi les USA voudraient y introduire un certain degré de dissuasion pour veiller à ce que les signataires le respectent. Il pourrait s'agir de la volonté affirmée de mener des réponses symétriques : si vous attaquez nos infrastructures vitales, nous ferons de même. La dissuasion pourrait également être asymétrique : si vous attaquez nos installations, nous vous sanctionnerons ou nous frapperons vos intérêts ailleurs.
A examiner le passé (par exemple l'accord par lequel la Chine s'était engagée en 2015 à respecter la propriété intellectuelle) et compte tenu des enjeux actuels, un accord sur le cyberespace devrait également laisser une place à l'action unilatérale. Ainsi, les USA pourraient réduire la vulnérabilité de leurs systèmes cruciaux.
Les affirmations d'ignorance ou les dénégations de l'implication des différents gouvernements dans les cyberattaques (par exemple lorsque Poutine a déclaré que son gouvernement n'avait rien à voir avec l'utilisation de ransomwares) devront être rejetées ou faire l'objet de discussions. On peut faire une analogie avec le terrorisme : après le 11 septembre, les USA ont dit qu'ils ne feront pas de différence entre les groupes terroristes et les gouvernements qui les soutiennent ou leur offrent un sanctuaire. Dans ce cadre, la Russie aurait à rendre des comptes pour les cyberattaques menées par des groupes à partir de son territoire. Insister sur ce point devrait pousser les autorités russes à lutter contre ce type d'activité.
Finalement, l'Europe et d'autres pays pourraient se joindre à un accord russo-américain. Et si la Chine devenait elle aussi signataire, on pourrait y ajouter l'interdiction du vol de la propriété intellectuelle (et des sanctions en cas de non-respect). Un accord de ce type serait l'équivalent numérique du contrôle de l'armement nucléaire, et il est tout aussi souhaitable.
Traduit de l'anglais par Patrice Horovitz
*Préside le Council on Foreign Relations. Il a écrit récemment un livre intitulé The World: A Brief Introduction