La nouvelle stratégie japonaise en termes de cybersécurité

Les grandes lignes de la nouvelle stratégie

En ce qui concerne la nouvelle stratégie, le premier point à retenir est le renforcement des capacités de l’équipe de la Coordination des opérations publiques de sécurité (GSOC, Government Security Operation Coordination). Partie intégrante du Centre national pour la préparation aux incidents et la stratégie de cybersécurité (NISC, National Center of Incident Readiness and Strategy for Cybersecurity), la GSOC est au premier chef responsable de la surveillance des systèmes et réseaux informatiques des différents ministères du gouvernement central. C’est la GSOC qui eu vent du piratage de la caisse de retraite et l’en a informée en premier, malgré l’impossibilité d’apporter une réponse rapide au problème qu’il posait. Suite à cela, le gouvernement a élargi le domaine de surveillance de la GSOC aux organisations proches des pouvoirs publics, y compris les agences administratives constituées en sociétés et les entreprises publiques spéciales (la caisse japonaise de retraite entrant dans cette dernière catégorie). Une augmentation du budget et des effectifs de la GSOC et du NISC est également prévue pour leur permettre de jouer pleinement leur rôle de tours de contrôle de la cybersécurité.

Le second point important de la stratégie réside dans la volonté du gouvernement d’améliorer non seulement la gestion de la situation après les incidents mais aussi la prévention en amont. La stratégie vise à convaincre toutes les parties prenantes que la protection contre les attaques informatiques de grande ampleur exige que les moindres dysfonctionnements et signes d’activité suspecte fassent l’objet d’un rapport. Elle insiste aussi sur le renforcement des systèmes internes et externes de coopération et de partage de l’information. Il va sans dire qu’après une attaque informatique il est impératif de réagir et de remédier rapidement aux dégâts, mais il doit également être possible de prévenir les incidents grâce à la surveillance des réseaux et des systèmes et au partage, par les différentes agences et l’ensemble des partenaires, des informations concernant les cas de piratage.

Une contribution dynamique

En troisième lieu, la stratégie vise à trouver un équilibre entre sécurité et liberté d’accès. Elle souligne qu’il serait impossible, dans la pratique, de confier au gouvernement la charge de maintenir l’ordre dans le cyberespace. Dans les pourparlers sur la cybersécurité, la Chine et la Russie ont appelé les États et les gouvernements à s’investir davantage dans la lutte contre les activités illégales en renforçant les mesures de surveillance et de contrôle. Le Japon, les États-Unis et les pays européens soulignent quant à eux la nécessité de garantir la liberté d’expression et la libre circulation de l’information. En faisant de l’État l’unique garant de la cybersécurité, on risque de favoriser la généralisation du modèle de société de surveillance qu’on peut observer en Chine et en Russie. Le Japon a ouvertement exprimé son opposition à ce genre de scénario. La stratégie japonaise exprime clairement l’opposition résolue du gouvernement tant à l’utilisation du cyberespace par l’État à des fins de contrôle, de censure, de vol ou de destruction d’informations qu’à son usage illicite par des terroristes et autres acteurs non étatiques. Elle affirme aussi la résolution du gouvernement à tout mettre en œuvre pour réserver le cyberespace à des usages pacifiques tout en assurant la sécurité nationale.

La cybersécurité ne se réduit pas à ériger des remparts et à se cacher derrière. La valeur d’une société interconnectée tient à la libre circulation de l’information. Nous devons bien comprendre qu’il ne peut pas y avoir de système de défense parfait, dans la mesure où les pirates mettront toujours à profit le moindre trou et la plus petite fissure des remparts pour s’infiltrer et voler des informations.

Si l’on veut se protéger des attaques informatiques, la stratégie nous rappelle que le premier pas consiste à développer des ressources humaines d’une compétence élevée pour le secteur public comme pour le secteur privé, et à dépasser le sectarisme pour « partager » l’information et promouvoir la « coopération » tant au niveau individuel qu’organisationnel. Tel va être, à mesure que nous allons de l’avant, le fondement de la ligne de conduite du Japon en matière de sécurité.