Cybersécurité

 A l’ère du numérique, la cybercriminalité est devenue un véritable fléau mondial, on estime que sept entreprises sur dix sont victimes chaque année d’une tentative de fraude informatique. Quelles infractions englobe-t-elle en particulier ? Parvient-on à les réprimer de manière satisfaisante, avec l’arsenal juridique et les moyens de police dont on dispose ?

A cette question, j’en envie de répondre à la fois par oui et par non, car oui, nous disposons d’un arsenal juridique qui permet de répondre à la plupart des attaques, mais non aussi, car le problème est souvent de pouvoir identifier les auteurs, qui opèrent par pseudonymes ainsi que la plupart du temps hors de notre territoire national et même européen. Or, comme l’a publié l’ANSSI[1] dans son panorama en 2021, on relève 37% d’attaques informatiques en plus au cours de l’année, avec un gain pour les cybercriminels d’un milliard d’euros, le risque cyber doit donc absolument devenir une priorité pour toutes les organisations, privées comme publiques.

Concrètement, aujourd’hui, on dispose de cinq sources de qualifications d’infractions, selon la nature des attaques :

– Les atteintes aux systèmes automatisés de données prévues dans le code pénal aux articles 323-1 à 323-8, lesquels sont issus de la loi de confiance en l’économie numérique[2] ;

– Le RGPD qui prévoit, notamment dans son article 65, les modalités face aux violations de données à caractère personnel ;

– Le code de la défense qui prévoit un certain nombre de dispositions (notamment les articles L.1332-6-1 là L.1332-6-6) en cas d’atteintes d’opérateurs publics comme privés qui seraient de nature à affecter la sécurité de la Nation ou pourraient présenter un danger grave pour la population ;

– La directive NIS (Network and Information System Security) adoptée en 2016 et transposée en droit français par la loi n°2018-133 du 26 février 2018 dite loi sur la cybersécurité  qui concerne les « opérateurs de sécurité essentiels » (OSE), privés comme publics, et les fournisseurs de sécurité numérique (FSN) et leur impose de respecter un certain nombre d’obligations, notamment auprès de l’ANSSI ;

– Les infractions classiques du code pénal, si je puis dire, relatives, notamment, aux escroqueries, falsifications, extorsions, contrefaçons, fraudes à la carte bancaire, vol d’informations, usurpations d’identité et de chantage.

Par ailleurs, il faut noter qu’en suite de la loi de confiance en l’économie numérique de 2004, l’autorité judiciaire peut requérir auprès des fournisseurs d’accès internet et des hébergeurs, la communication des données qu’elles détiennent pour permettre l’identification de créateurs de contenus, soit la levée de l’anonymat en cas d’infractions pénales et d’enquêtes de police judiciaires.

“La question n’est plus si cela va arriver, mais que faire quand cela va arriver”

Mais pour autant, ce n’est parce qu’on a des réponses qu’on a les solutions. La crise cyber est terrible car elle met en péril les organisations dont il faut prendre conscience qu’elles mettent beaucoup de temps à se remettre, la reprise d’activité normale est toujours lente. Depuis, en particulier la crise Covid, le phénomène de demandes de rançon s’est aggravé, les cryptolockers[3] se sont multipliés. Les magistrats du parquet et l’ANSSI se sont insurgés contre les paiements de rançons par les compagnies d’assurance intervenant dans ces situations parce que cela encourage de telles menaces, mais si la structure n’est pas préparée à l’attaque, le « ransom as a service », la rançon en tant que service, demeure souvent la seule solution si l’on veut refaire démarrer l’activité et sauver les emplois sans mettre la clé sous la porte.

Aujourd’hui, toute organisation doit se préparer à l’attaque qu’elle peut subir, insidieusement, l’avantage étant quasiment toujours à celui qui attaque. La question, ce n’est donc plus si cela va arriver, mais que faire quand cela va arriver ?