La crainte d’une forme « d’état de nature » Hobbesien qui serait marqué par la guerre de tous contre tous a fait émerger, en vis-à-vis des notions de cyberdéfense et cybersécurité, la question de la cyberpaix. Parallèlement aux réflexions portées sur le sujet depuis années au sein des instances internationales telles que l’ONU et l’UNESCO, trois dimensions paraissent structurantes.
Par Edouard Geffray, haut fonctionnaire, membre de l’Agora41 de l’ANSSI
Une approche par les risques
Si l’univers de la « cyber » n’a cessé de gagner en notoriété ces dernières années, c’est essentiellement en accolant ce préfixe à deux radicaux : la défense et la sécurité, chacune de ces deux notions étant, en
l’espèce, développée sous l’angle des menaces auxquels le cyberespace est confronté. Cette affirmation de la dimension conflictuelle du cyberespace n’est guère étonnante : espace en grande partie déterritorialisé, terre de progrès insoupçonnés, donc lieu de conquêtes technologiques, il constitue un champ d’intervention des Etats, d’acteurs non étatiques et d’individus. Dans cet univers où chaque port constitue un point de vulnérabilité potentielle en même temps qu’une source d’attaque potentielle, et où le deep ou dark web abrite des activités criminelles, la prise de conscience vient donc d’abord de la menace. Cette prise de conscience est collective, comme en cas d’attaques massives, ou individuelle, comme dans le cas de rançongiciels. Cette réalité n’est pas sans incidence sur l’ensemble de l’édifice de construction et de régulation du numérique : au-delà du caractère défensif des mesures juridiques ou techniques, ont émergé ce qu’il est convenu d’appeler des « approches par le risque » comme en matière de protection des données personnelles. Autrement dit, c’est en partant d’une analyse des risques et des contremesures mises en place qu’est en partie appréciée la possibilité de traiter des données personnelles.
Pacifier le cyberespace
A partir du moment où, structurellement, un espace non territorial apparaît comme un enjeu de sécurité collective, il génère automatiquement un besoin de régulation. Nous avons déjà, dans d’autres lieux, évoqué le parallèle à notre sens fructueux entre le numérique et la mer, et leurs modèles de régulation respectifs. Une nouvelle fois, de même que la mer a fait très tôt l’objet d’une forme de régulation juridique (de la Lex Gabinia au droit de la mer contemporain) destinée notamment à opposer une réponse unanime des Etats à la piraterie, l’espace numérique ne peut être un espace, non du « seul contre tous », mais du « seul à la merci de tous ». Dès lors que les actes de cybercriminalité commis par des individus font peser une menace ciblée ou plus souvent indistincte sur chacun, au risque de disqualifier les pouvoirs de protection des Etats, ceux-ci sont nécessairement conduits à coopérer pour rendre le cyberespace « viable » pour leurs membres. C’est donc d’abord la nécessité de contrôler les comportements criminels individuels qui conduit à « pacifier » le cyberespace, soit par l’application « mitoyenne » des droits nationaux, notamment pénaux, soit par l’émergence d’une régulation internationale.
Des relations inter-étatiques centrales
La question se pose bien sûr d’une régulation, non plus seulement des comportements individuels, mais des actions menées par des Etats. Le numérique constitue de fait, aujourd’hui, une infrastructure vitale dont dépendent en partie les capacités de défense d’un pays, le bon fonctionnement de son système de santé, la production de son énergie ou encore le fonctionnement normal de ses transports ou des flux financiers de son économie. Or, cette infrastructure a aujourd’hui une double caractéristique : d’une part, elle est en grande partie le fait ou la propriété d’acteurs privés ; d’autre part, les éléments physiques sur lesquels elle repose relèvent d’espaces, à savoir la mer et le domaine spatial, eux-mêmes soumis à des exigences internationales. Le développement réel ou supposé de capacités de cyberguerre pose donc la question de l’extension au cyberespace de règles historiquement applicables à l’univers physique. Cela suppose un consensus assez large sur la définition des infractions et des interdits, qu’il s’agisse du type de moyens employés ou du type de cible, c’est-à-dire un intérêt collectif suffisamment partagé pour faire du cyberespace un espace aussi pacifié que possible. Mais parce qu’il est générateur d’interdépendances étroites, lesquelles sont toujours facteurs de paix comme l’avait pressenti Robert Schuman avec la communauté économique européenne ; et parce que l’intérêt des Etats à en réguler les excès est probablement supérieur à celui de les exploiter individuellement, la perspective d’une régulation internationale du cyberespace est objectivement crédible.
Un espace universel
Enfin, et peut-être surtout, l’observateur optimiste verra dans le cyberespace un espace « faiseur de paix ». Le cyberespace constitue en effet, avec sans doute le domaine spatial, le premier espace immédiatement universel. En moins de vingt ans, la majeure partie de la population mondiale s’est trouvée à la fois membre de cet espace et dépendante du numérique pour la plupart de ses services quotidiens. Elle fait également, dans le même temps, l’expérience de la simultanéité et de l’immédiateté : lorsqu’un internaute procède à un achat en ligne, effectue une recherche ou lit un article de presse, il le fait en même temps que des centaines de millions d’autres, sans que l’expérience de ces autres ne contraigne sa propre expérience utilisateur. S’il n’est pas uniforme dans ses modalités d’accès et ses règles, le numérique apparaît ainsi comme le premier espace de libre communication immédiatement universel et animé d’un rêve égalitaire. Sauf à sombrer dans une forme d’insupportable néant anonyme – qu’il combat d’ailleurs par un savant marketing de soi sur les réseaux sociaux – l’individu est donc voué à partager cet espace, à en faire un espace de dialogue, de débats, de confrontation, de condensation des opinions, mais aussi un espace de droit, notamment quant à sa vie privée ou au devenir de ses données. Autrement dit, la cyberpaix pourrait ne pas naître tant de l’usage ou du mésusage du numérique ou des outils qui lui sont associés, que des caractéristiques intrinsèques d’un espace qui rend instantanément chacun accessible à l’autre.
Qu’est-ce que la paix ? Un Etat de tranquillité et d’absences de menaces sérieuses dans un espace donné et pour un temps aussi long que possible, fondé sur la stabilité des relations interpersonnelles et inter-étatiques. Que devrait être la cyberpaix ? L’émergence d’un espace numérique stable, où les attaques seraient contrées dans le cadre d’une coopération inter-étatique, selon des règles du jeu déterminées à l’avance et connues de tous. Gageons qu’il s’agit, à long terme, d’une opportunité d’explorer les voies, chères aux philosophes des Lumières, d’un nouvel espace de paix universelle.