Tour de France
Cybersécurité des collectivités : sortir de la logique technique
De la réponse à incident à la continuité du service public, retour sur une journée qui rappelle que la cybersécurité est l'affaire de tous.
Messagerie, cloud, outils collaboratifs : le quotidien numérique des entreprises européennes repose largement sur des fournisseurs américains. Longtemps jugés lointains, les risques de cette dépendance (accès étranger aux données, coupure de service, flambée des prix) inquiètent désormais les comités de direction. Raphaël Auphan observe ce basculement aux premières loges : directeur des opérations de Proton, entreprise suisse connue notamment pour sa messagerie chiffrée Proton Mail, il y pilote l'offre destinée aux entreprises. Il explique pourquoi héberger ses données en France ou en Europe ne suffit pas et comment réduire ses dépendances sans tout basculer d'un coup.
Pendant vingt ans, entreprises et administrations européennes se sont enfermées dans un « non-choix », selon l'expression de Raphaël Auphan. Leurs fournisseurs numériques ne s'imposaient pas au terme d'un appel d'offres, mais par habitude, au fil de la croissance du cloud . Le recours à trois acteurs américains est ainsi devenu une règle tacite des directions informatiques.
« Personne dans le département informatique peut se faire virer pour avoir choisi AWS, Microsoft ou Google Cloud », rappelle Raphaël Auphan.
Entretenu par le lobbying et le marketing des géants américains, ce réflexe a relégué au second plan des alternatives européennes pourtant disponibles, comme OVH, Scaleway et autres.
Ces choix successifs ont abouti à une concentration massive : les acteurs non européens, principalement Google, Microsoft et Amazon Web Services, captent 80 % de la consommation de cloud des entreprises en Europe. Selon les chiffres du CIGREF, l'Europe consacre plus de 100 milliards de dépenses cloud et numériques aux entreprises américaines. D'après l'Observatoire de la souveraineté technologique lancé par Proton, 74 % des sociétés cotées en Europe s'appuient aussi sur une messagerie américaine.
Le problème n'est pourtant pas ignoré : selon une autre étude de Proton, 85 % des Français interrogés se disent préoccupés par la dépendance de l'Europe aux technologies américaines. Cette inquiétude n'empêche pas l'usage massif de Gmail, Outlook, Google Drive ou WhatsApp.
Le rapport de force est déséquilibré : les États-Unis pèsent environ la moitié du marché mondial de l'informatique, l'Europe un quart seulement. Les géants américains apprécient ce débouché, qui soutient leur cours de bourse, mais n'en ont pas besoin pour développer leurs solutions. L'Europe ne peut plus se passer de ses fournisseurs américains, qui pourraient pourtant se passer d'elle.
« On s'est retrouvés aujourd'hui dépendants d'acteurs non-européens qui peuvent abuser de cette dépendance », constate Raphaël Auphan.
Il va jusqu'à parler de « colonie numérique » : le sort des données européennes et la continuité des services se décident ailleurs, sous des lois qui ne sont pas européennes.
La localisation des données compte, mais elle ne suffit pas. En cause, le Cloud Act : cette loi permet aux autorités américaines de contraindre toute entreprise contrôlée par une entité américaine, y compris sa filiale française, à leur donner accès aux données qu'elle détient, même sur des serveurs situés en France, et sans que les clients en soient informés.
Le risque n'a rien de théorique. Lors d'une audition récente devant des parlementaires français, un responsable juridique de Microsoft n'a pas pu garantir que les données hébergées par Microsoft France sur des serveurs français resteraient hors de portée des autorités américaines. Pour Raphaël Auphan, on peut alors parler de « sovereignty-washing » dans les offres de cloud dit de confiance ou souverain, mises en avant surtout par des acteurs américains : elles se présentent comme sans risque, « alors qu'en réalité, les clients sont exposés à ce risque ».
Perdre la maîtrise de ses données n'est pas le seul danger : une décision prise aux États-Unis peut aussi priver une organisation européenne de ses outils. C'est le kill switch, l'arrêt d'un service imposé à un fournisseur américain par ses propres autorités, sans panne ni cyberattaque.
La Cour pénale internationale en a fait l'expérience : à la suite d'une requête des autorités américaines, certains de ses utilisateurs ont été coupés de services fournis par un acteur américain. Si une juridiction internationale peut en être privée, aucune entreprise européenne n'est à l'abri. L'enjeu dépasse d'ailleurs chaque organisation, car le numérique est devenu aussi vital que l'énergie. Si le cloud américain s'arrêtait, de nombreuses entreprises et institutions européennes cesseraient tout simplement de fonctionner.
Ces scénarios ont longtemps semblé lointains, mais le changement est net depuis douze mois. Une étude de Proton a été menée auprès de 1 500 dirigeants d'entreprises en Allemagne, en Angleterre et en France. Près de 75 % d'entre eux jugent le risque de kill switch aussi important que celui du rançongiciel, une menace dont beaucoup ont déjà été victimes. S'y ajoute la crainte d'une hausse drastique des prix, nourrie par les augmentations imposées aux clients de VMware après son rachat par Broadcom.
La dépendance numérique devient ainsi une question de continuité d'activité, donc de gouvernance. Des comités de direction et des conseils d'administration demandent désormais à leurs équipes informatiques une feuille de route pour réduire leurs dépendances critiques, souvent sur 12 à 18 mois.
Encore faut-il disposer d'alternatives crédibles. Proton a construit la sienne autour du chiffrement de bout en bout : les données sont chiffrées de façon que seul le client puisse y accéder, sans que Proton lui-même puisse les lire. Si une fuite venait à survenir, les données seraient inexploitables. Le code des applications est publié en open source, si bien que tout client peut le faire auditer pour vérifier comment les clés sont utilisées.
« Ce n'est pas seulement la promesse du chiffrement de bout en bout, mais c'est la preuve du chiffrement de bout en bout », résume Raphaël Auphan.
Implantés en Suisse, en Allemagne et en Norvège, les centres de données de Proton tiennent le service à l'écart des pressions politiques qui chercheraient à l'interrompre. Quant à la Fondation Proton, association à but non lucratif sans actionnaires qui gouverne la société, elle empêche tout rachat par un acteur qui voudrait exploiter les données.
« Le frein principal, ça va être un frein de résistance au changement », reconnaît Raphaël Auphan.
Cette résistance se comprend : changer d’outil bouscule des habitudes de travail parfois installées depuis des années. Si le service informatique mène seul le projet, il risque de s’y heurter. La migration gagne donc à être portée par le comité de direction, en partenariat avec l’informatique et la cybersécurité. Elle se mène ensuite par étapes, pour laisser aux salariés le temps de s’adapter :
👉 Découvrez les services de Proton !
D'ici cinq ans, Raphaël Auphan espère un équilibre entre solutions américaines et européennes. Il ne prône pas pour autant une autarcie où les Européens n'achèteraient qu'européen : « Ça ne serait pas intelligent. » Selon lui, la règle tacite des directions informatiques s'efface peu à peu depuis un an : « on est sortis de l'ère du non-choix, du non-choix par défaut ».
Être souverain, c'est avoir le choix : disposer d'alternatives crédibles pour les services dont dépend l'activité. Pour une entreprise, la première question n'est donc pas de savoir par quoi remplacer ses outils. Il s'agit d'abord d'identifier ceux qu'elle serait incapable de remplacer si l'accès lui était coupé demain.
Merci à Raphaël Auphan pour cet échange, enregistré en partenariat avec Proton.
Le monde de la cyber est disponible sur toutes les plateformes d'écoute.
Le podcast qui vous emmène à la découverte du monde de la cybersécurité.
