C’est à la question, technique et philosophique, de la protection des données numériques produites dans le cadre de la défense nationale, que s’attache Fabrice Lefebvre, ingénieur général de l’armement au ministère des Armées.

À l’heure où toute l’information produite ou reçue est à un moment ou à un autre numérique, et où celle-ci n’est pas forcément enregistrée sous la forme d’un fichier (importance de la messagerie instantanée, des bases de données, des vidéos), le choc des cultures est extrême entre des technologies qui ont été conçues pour faciliter au maximum la dissémination et l’échange d’informations et des milieux professionnels et politiques soucieux d’étanchéité et de préservation des données. L’accélération de l’ouverture des organes publics français à des partenaires étrangers et/ou provenant du monde privé a encore accru le problème. Des parades réglementaires ont été ménagées qui ont cependant abouti à un empilement normatif que l’IGI 1300 dans sa version de 2020 s’efforce de clarifier, en prenant en particulier en compte la multiplicité des chaînes de responsabilité – de pilotage, de sécurité, de contrôle, d’utilisation – afin de cerner les personnes à sanctionner. Cette actualisation et cette tendance à l’exhaustivité se font au prix d’une lourdeur (217 pages) ennemie de l’efficacité quotidienne.

La procédure d’homologation et son dossier, qui enregistre toutes les mesures d’organisation (physiques et d’environnement) et identifie les risques résiduels, deviennent désormais centraux dans la protection de l’information. L’un des paradoxes de la situation présente est que, alors même qu’on accepte de moins en moins de vulnérabilités, la technologie à laquelle on a recourt s’appuie sur des composants provenant de l’étranger, empêchant la maîtrise totale de l’ensemble d’une architecture matérielle et logicielle devenue très complexe. Alors que le risque zéro n’existe pas, et que les mesures prises doivent viser à minimiser les faiblesses, en prévenant les failles, en bloquant les attaques, en limitant les conséquences de celles qu’on ne peut parer, en sachant détecter et en sachant réparer., l’acceptation par principe des risques résiduels entre de facto en conflit avec la responsabilité attendue par l’administration qui ne les connaît pas ou ne veut pas les connaître.

Les dossiers d’homologation sont volumineux et lourds à instruire, même pour des spécialistes. L’évolution des méthodes de conception des systèmes et produits (méthodes agiles, développements itératifs, etc.) rend quelque peu irréaliste leur prise en compte dans le cadre de la documentation classifiée. Si le SGDSN est l’autorité d’homologation pour le TSD, c’est l’autorité qualifiée qui l’est pour le SD. Faute de connaissance des systèmes d’information et de leur sécurité, celle-ci recourt à des experts qui sont d’abord soucieux d’éliminer les risques, quels qu’en soient les coûts, ce qui entraîne mécaniquement une complexification.

L’identification de l’information numérique protégée se fait désormais dans un système protégé au moins au même niveau. C’est le système qui fait l’objet d’une homologation, rarement après exploration des traces laissées par ses composants. Dès lors, il n’y a plus de marquage à l’intérieur du système entièrement protégé et donc il devient difficile de déclassifier ce qui n’a pas été… classifié. Or, dans un système d’information, tout ce qui n’est pas explicitement marqué comme non classifié, doit être a priori considéré comme… classifié.

À cet égard, l’IGI 1300 n’a rien spécifié à propos du dossier d’homologation et de la manière dont on traite la fin de vie des informations : doit-on ainsi, dans une vue absurde des choses, imaginer de verser des serveurs ? Sans doute serait-il judicieux pour les pouvoirs publics de s’inspirer des pratiques des grandes entreprises (Microsoft) qui ont développé des capacités de lutte contre la cybercriminalité de première force, d’autant que le recours à des tiers certifiés semble la meilleure réponse aux risques actuels et futurs.

Fort de son expérience personnelle de plusieurs années au sein du service juridique de l’Institut géographique national, Guillaume Cayeux, actuellement en reprise d’études au sein du master Technologies numériques appliquées à l’histoire de l’École des chartes, revient à son tour, mais dans une autre logique, sur les ponts établis par le numérique entre la puissance publique et l’entreprise. Il s’attache à analyser les effets du numérique sur la protection du secret des affaires dans un environnement administratif où les liens sont de deux ordres : destinataire d’informations couvertes par le secret des affaires (missions de contrôle, situation financière, procédés de fabrication. marché public), l’administration est également productrice de secret d’affaires par le biais des opérateurs sur lesquelles elle assure sa tutelle.

Jusqu’à l’adoption d’une loi de 2018 (transposition d’une directive européenne inspirée par la loi américaine), le secret des affaires – savoir le secret de fabrique, le secret des informations économiques et financières ou encore le secret des stratégies commerciales – ne possédait pas de définition légale. Pour entrer dans le champ d’application de la loi, encore convient-il de mettre en place des mesures de protection (clauses de non-concurrence, de confidentialité et de sécurité, etc.). Les stratégies de protection contractuelle peuvent être totales (responsabilité du récepteur, mécanisme de compliance) ou seulement limitées aux documents (responsabilité de l’émetteur, mécanisme de sanction). Le droit de la concurrence entre en conflit évident avec la protection des affaires, ce qui amène les acteurs à contourner l’obstacle par des pratiques spéciales, mais surtout par l’auto-censure. Un exemple est présenté d’une négociation par un opérateur public avec une entreprise de type GAFAM où une partie des documents évoqués n’a possiblement jamais existé et où des délibérations annoncées n’ont pas été réellement prises.

Les conséquences documentaires ne sont pas minces puisque les textes juridiques sont fortement aseptisés et surtout la stratégie d’opportunité n’est pas documentée. L’historien potentiel doit être conscient de ces biais archivistiques et, pour faire l’histoire d’une négociation commerciale, y compris de l’administration, doit compenser en ayant recours aux archives des tutelles, des établissements de contrôles, des syndicats de cadres ou… du partenaire privé (GAFAM). En l’espèce, le secret des affaires s’accompagne d’un silence des sources qui sont d’autant moins à protéger qu’il n’y en a pas.

---

---