Droit de la sécurité des systèmes d'information, trois ans plus tard

Trois ans après la création de ce blog, où en sommes nous dans la prise en compte du droit de la sécurité des systèmes d'information (SSI)? Quelles sont les avancées pour ce droit si particulier ?

Dressons un rapide bilan des années 2013-2016 à ce sujet.

Le droit de SSI ou droit-cyber se divise en deux principales catégories qui sont les suivantes :

• la protection de la donnée ;
• la protection du système d'information.

Examinons dans chacune de ces catégories quelles ont été les progrès en matière réglementaire.

Le droit autorise-t-il les conflits dans le cyberespace ?

Lors du colloque international « CyberDéfense » qui a eu lieu le 24 septembre à Paris, le ministre de la Défense, Jean Yves Le Drian annonçait tout naturellement que « les effets opérationnels de la cyberdéfense peuvent largement se comparer à ceux de certaines armes conventionnelles ». La « lutte informatique offensive » est officiellement lancée !

Espace à la fois virtuel et support d'infrastructures physiques, espace clairement mondialisé mais dont l'affirmation des frontières est aujourd'hui un enjeu de souveraineté, le cyberespace est le lieu de nouvelles conflictualités.

Juridiquement, existe-il des règles pour régir les conflits dans le cyberespace ?

Au niveau national, pour prévenir les attaques et en cas d'attaque majeure, la loi de programmation militaire du 18 décembre 2013¹ oblige les opérateurs d'importance vitale notamment à mettre en place des mesures de sécurité édictées par l’État pour leurs systèmes d'information vitaux. Il est par exemple demandé à ces opérateurs de notifier leurs incidents qui affectent leurs systèmes d'information d'importance vitale.

Au niveau international, et pour l'Organisation du Traité de l'Atlantique Nord (OTAN), il a été clairement annoncé lors du sommet des 4 et 5 septembre 2014 aux Pays de Galle qu' « il reviendrait au Conseil de l'Atlantique Nord de décider, au cas par cas, des circonstances d'une invocation  de l’article 5 à la suite d'une cyberattaque ».

Pour rappel, l'article 5 du traité de l'OTAN énonce que face à une attaque armée dirigée contre un État membre de l'OTAN, il est possible de se prévaloir de l'exercice de son droit de légitime défense.

Toutefois, il faut rappeler qu'en droit national, pour se prévaloir de la légitime défense face à un attaquant identifié sur le territoire national, il faut respecter certaines conditions. La légitime défense est, selon l'article 122-5 du code pénal, un fait justificatif c'est à dire un fait qui permet d'éviter d'engager sa responsabilité pénale face à un acte qui en temps normal est pénalement répréhensible.

Pour être recevable par un juge français, la légitime défense doit réunir les conditions suivantes :

• l'atteinte doit être imminente ou concomitante à un acte contraire au droit, ici une attaque, l'acte de légitime défense ne peut pas réagir après coup, après analyse ou constatation des dégâts ;
• la riposte doit avoir pour seul but de faire cesser l'attaque et être nécessaire à ce but ;
• la riposte doit être proportionnée à l'attaque.

Au regard de ces différentes conditions, la pratique d'un telle légitime défense sera difficile à mettre en œuvre et les juges français pourraient se montrer réticents sur la question.

En plus, si la légitime défense n'est pas reconnue, il est possible que celui qui s'en prévaut face au hacker d'origine risque d'être condamné pour atteinte à un système de traitement automatisé de données, infraction pénale prévue par les articles 323-1 et suivants du code pénal. Mais cette situation implique que la personne auteur de la riposte soit poursuivie par le hacker d'origine ou par les autorités judiciaires qui en auraient eu connaissance. Si le hacker se fait connaître cela serait particulièrement de mauvaise foi mais c'est possible, on le voit avec les personnes auteurs de cambriolages qui portent plainte lorsque la victime a riposté, souvent en raison de la disproportion de la riposte.

Au niveau international, il n'existe pas encore de jurisprudence sur les cyber-agressions mais le manuel de Tallinn y expose certaines propositions en matière de cyber-conflits.

Ce document examine une portion du droit international relatif à ce que l'on appelle le droit des conflits armés ou encore droit de la guerre. Composé traditionnellement de deux grands domaines, le jus ad bellum  codifiant le recours par les États à la force et le jus in bello ayant trait à leur comportement et leurs actions durant les conflits. 

Pour le Manuel, une cyberattaque est une agression armée car il part du principe que l’effet d’un bombardement par avion détruit et peut causer des pertes humaines et donc qu’une telle attaque est comparable, en effet selon l'article 30 du Manuel « les attaques informatiques peuvent avoir les mêmes effets que des attaques physiques classiques et doivent donc être considérées comme tel ».

Cependant, ce manuel n’a pas force de loi, il s'agit uniquement de propositions issues de réflexions menées par des experts juridiques et ne représente pas le droit international coutumier.

Pour le droit des conflits armés, défini par la convention de Genève de 1949 et ses protocoles additionnels, la qualification du conflit armé n'est acquise uniquement en présence d'un incident d'une certaine intensité, qui s'inscrit dans la durée et dont les protagonistes sont clairement identifiés, caractéristique difficile à mettre en œuvre dans le cyberespace.

La « cyberguerre » est-elle déclarée ? Non, d'ailleurs le terme de« cyberguerre » n'a pas été intentionnellement utilisé dans les développements de ce billet car doctrinalement il semble opportun de rejoindre la thèse défendue notamment par Thomas Rid² qui « considère qu’il n’y a pas et il n’y aura pas de cyberguerre, même s’il reconnaît que se déroule une intense activité conflictuelle dans le cyberespace ».

Juridiquement, avant d'adapter les règles du droit des conflits armés au cyber-combat, ne faudrait-il pas réguler les réseaux au niveau international ? Pour démarrer la réflexion, l'ARCEP a publié un état des lieux du cadre de régulation  de la neutralité du net le mois dernier notamment sur la gestion du trafic, les pratiques commerciales, les services optimisés distincts de l'accès à internet et la qualité de l'accès à internet. 

 

1Article 22 de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.

2 http://politique-etrangere.com/2013/11/13/cyber-war-will-not-take-place/#more-4822

Lutte juridique contre le terrorisme sur Internet

 Matt Murphy - EI cyberwar -http://www.leblogducommunicant2-0.com/2014/09/27/terrorisme-reseaux-sociaux-nabandonnons-pas-le-terrain-de-linfluence-aux-integristes/

Le web, nouvel outil d’embrigadement pour les terroristes

Les attentats terroristes subis à Paris en ce début d’année ont mis en exergue l’utilisation du web comme outil et vecteur de la radicalisation terroriste.

En effet, le web est la meilleure vitrine que les djihadistes puissent rêver afin de diffuser leur propagande dans le monde entier et dans toutes les langues ainsi que de recruter le plus facilement possible les candidats au Djihad.

De plus, le web permet aux terroristes de récupérer des informations stratégiques mal protégées et de s’organiser à distance pour la préparation de leurs attentats ainsi que d’agir directement par de simples défigurations de sites Internet ou des dénis de service.

Face à ce phénomène de violence amplifié par la Toile, quelles sont les réponses juridiques existantes en France ?

Un arsenal juridique resserré sur le terrorisme et avec des contrôleurs multiples

En matière de lutte du terrorisme sur Internet, la principale mesure est la chasse aux connexions des internautes sur des sites de propagande terroriste.

Depuis la loi LOPPSI de 2011[1], il possible pour la police dans le cadre d’une procédure judiciaire de récupérer des données informatiques. Cela est permis par les articles 706-102-1 à 706-102-9 du code de procédure pénal qui autorisent la mise en place d’un dispositif technique au domicile de l’internaute à son insu ou par l’installation à distance de ce dispositif.

Depuis la loi de programmation militaire (LPM) du 18 décembre 2013[2], les services de renseignement français, en dehors de toute procédure judiciaire, peuvent collecter auprès de tous les fournisseurs d’accès à Internet n’importe quelle donnée de connexion technique d’une personne désignée.

Enfin, avec la loi du 13 novembre 2014 [3], l’autorité administrative soit les officiers de police judiciaire, a le pouvoir de faire retirer, en demandant directement à l’éditeur ou à l’hébergeur du site, les contenus de sites Internet provoquant directement à des actes de terrorisme ou faisant publiquement l’apologie de ces actes, ou d’en faire bloquer l’accès, à l’instar de ce qui a été prévu par la LOPPSI concernant les contenus à caractère pédopornographiques. A défaut du retrait des contenus illicites dans le délai de vingt-quatre heures, l’autorité administrative peut notifier aux fournisseurs d’accès à Internet la liste des sites Internet concernés afin qu’ils en bloquent l’accès sans délai.

Par ces trois lois, il apparaît clairement que le contrôle judiciaire s’écarte de plus en plus de l’action des autorités administratives. Le débat provoqué par l’adoption de ces textes et qui fut le même lors de l’adoption de la loi HADOPI[4] se situe sur la disparition du contrôle préalable de l’autorité judiciaire qui est supprimé au profit de l’autorité administrative.

Une solution pourrait résider dans le blocage hybride à savoir effectué par la l’autorité judiciaire mais à l’initiative d’une autorité administrative. Ce système existe déjà pour les sites proposant des jeux d’argent ou de hasard où les tribunaux donnent droit ou non à une demande de l’ARJEL[5] concernant le blocage de sites litigieux.

Ces demandes au tribunal pourraient d’ailleurs être facilement alimentées par le dispositif instauré par la loi pour la confiance dans l'économie numérique (LCEN) du 21 juin 2004[6] qui oblige les hébergeurs de mettre en place un mécanisme facilement accessible et visible permettant à toute personne de porter à leur connaissance des données répréhensibles, à l’image de la devenue célèbre plateforme Pharos[7].

Toutefois, au final et concrètement, il appartient de s’interroger sur l’efficacité de cet arsenal juridique. Il est certain qu’il ne sert à rien de se précipiter dans la volonté d’une surveillance généralisée du web car d’une part les contenus de la toile restent avant tout une source de renseignements très précieuse pour les services de renseignements[8] et d’autre part, l’utilisation du chiffrement ou de plateformes d’échanges alternatifs tels RuTube permettra toujours de contourner les mesures de contrôle imposées par la loi française.

Par contre, il est indéniable qu’il faille augmenter les moyens humains et financiers, autant du ministère de l’intérieur que du ministère de la justice ainsi que renforcer la coopération européenne voire internationale en cybercriminalité afin de pouvoir sanctionner les sites terroristes même quand le site se situe à l'étranger.

Le temps législatif ne doit pas être guidé par l’émotion, les meilleures lois ne sont pas celles rédigées dans l’urgence. Avant de se précipiter dans l'écriture de nouvelles législations, il est important dans un premier de réaffirmer simplement les infractions existantes en matière de censure des contenus illicites sur Internet[9] et leurs punitions. Ces dernières doivent être appliquées avec discernement et sans zèle[10] par la justice, première garante, avant la police, du bon équilibre entre les libertés individuelles et la sécurité de la nation.

Sources : « Le terrorisme et les libertés sur l’internet » par Philippe Ségur pp.160-165 ; AJDA  n°3 du 2 février 2015.

 "Loi du 13 novembre 2014 sur la lutte contre le terrorisme : sur le blocage des sites internet, la liberté d'expression et le risque d'abus de la notion de terrorisme" par Antoine Cheron, Avocat

---

[1] Loi n°2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI)

[2] Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale

[3] Loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme

[4] Loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet

[5] Autorité de régulation des jeux en ligne

[6] Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique

[7] Le portail officiel de signalement de contenus illicites de l’Internet (internet-signalement.gouv.fr) rattaché  à l’office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC)

[8] http://www.lexpress.fr/actualite/monde/proche-moyen-orient/un-djihadiste-oublie-de-desactiver-la-geolocalisation-et-se-fait-reperer-sur-twitter_1637021.html

[9] Il existe notamment les articles 227-23 et 227-24 du code pénal qui visent à protéger les mineurs contre la pédopornographie et les articles R624-3 et R625-7 et suivants du code pénal qui sanctionnent des diffamations et injures non publiques présentant un caractère raciste ou discriminatoire et des provocations non publiques à la discrimination, à la haine ou à la violence

[10] Article de Maître Eolas : http://www.dalloz-actualite.fr/chronique/juge-et-guepe#.VM6YFCyKKl7

Du Big à l’Open Data : aperçu des enjeux juridiques

Le Big Data consiste en la collecte, l’analyse et le traitement d’un ensemble de masses de données. Ces opérations de collecte, d’analyse et de traitement sont rendues possibles par un assortiment de technologies et d’algorithmes qui permettent de trier en temps réel une masse considérable de données sur le Web, et de cerner plus subtilement les comportements des internautes-consommateurs. En effet, les ordinateurs, ordiphones et tablettes génèrent une multitude de fichiers stockés, voire de cookies (témoins de connexion), et d'informations qui permettent de retracer les faits et gestes informatiques de chaque individu afin de recueillir les opérations comportementales et contextuelles de l'utilisateur.

L’analyse et le traitement d’autant de données a pour conséquence directe de s’interroger sur la protection de ces données comme le souligne la note d’analyse relative au Big Data du commissariat général à la stratégie et à la prospective [1]. La protection des données est un enjeu d’autant plus important qu’en novembre dernier, Vinton Cerf, l'un des précurseurs d'Internet et qui occupe le poste de Chief Internet Evangelist Chief (sic !) chez Google a déclaré que sur le web et dans un proche avenir  « la vie privé sera anormale » et qu'il y aura « une difficulté croissante pour y parvenir » du fait de l’évolution des nouvelles technologies.

Le droit de la SSI, quelles sanctions ?

Précédemment,  nous évoquions que le droit de la SSI n’existait pas en tant que tel mais qu’il existait plutôt une multitude de dispositions légales relatives à la SSI, éparpillées dans le vaste corpus juridique français[1].

Toutefois, peut importe de l’existence d’un droit sanctifié de la SSI tant que celui-ci arrive à s’imposer. Ainsi, il s’agit surtout de s‘interroger sur l’applicabilité réelle des aspects légaux de la SSI et, notamment, de l’efficacité des éventuelles sanctions existantes.

L’actualité des derniers mois souligne que certaines de ces sanctions SSI semblent un peu malmenées.

Tout d’abord, dans un arrêt du 5 juillet 2013, le Conseil Constitutionnel saisi d’une question prioritaire de constitutionnalité (QPC) a déclaré inconstitutionnels les 12 premiers alinéas de l’article L36-11 du code des postes et des communications électroniques (CPCE) relatifs aux modalités de sanction par l’ARCEP d’exploitants de réseaux ou de fournisseurs de services de communications électroniques en cas de manquements de ces derniers. Le Conseil Constitutionnel a déclaré que ces dispositions violaient le principe d’impartialité garanti par la Constitution en n’assurant pas « la séparation au sein de l’Autorité entre, d’une part, les fonctions de poursuite et d’instruction des éventuels manquements et, d’autre part, les fonctions de jugement des mêmes manquements »[2].

Cette décision est d’effet immédiat et est donc applicable à toutes les procédures en cours devant l'ARCEP ainsi qu'à toutes les instances non définitivement jugées à cette date. Ainsi, un vide juridique est apparu et l’ARCEP se retrouve, en partie, démunie pour sanctionner les opérateurs.  
Un autre exemple emblématique est la suppression de la sanction phare du dispositif HADOPI à savoir la coupure d’accès à Internet d’un abonné suite à des téléchargements illégaux réitérés. En cause, le décret du 8 juillet 2013[3] qui supprime la peine contraventionnelle complémentaire de suspension de l’accès Internet.  Le texte stipule donc que « seule une peine d'amende [...] pourra désormais être prononcée pour l'infraction de négligence caractérisée. » Officiellement, en quatre ans d’existence de la Haute autorité, seules quatre procédures ont fait l'objet de décisions judiciaires définitives dont une seule avait prononcé, en juin 2013, une suspension de 15 jours de la connexion internet[4].

L’HADOPI ne se retrouve pas, sans cette menace, désarmée dans sa lutte contre le téléchargement illégal mais le symbole de la suppression reste fort. D'autant plus que l’avenir de l’HADOPI apparaît de plus en plus incertain[5].

Ces deux exemples spécifiques ne font que souligner le constat évident que le droit de la SSI est difficilement applicable en raison du manque de sanctions efficaces.

Pourtant, les efforts en matière de cybersécurité sont de plus en plus mis en avant. En témoigne, entre autres, la montée en puissance de l’ANSSI. Sauf que, l’ANSSI, autorité nationale, ne dispose pas de pouvoir de sanction. Or, dans un domaine voisin, celui de la protection des données à caractère personnel, la CNIL, Autorité Administrative Indépendante (AAI) le possède.

En effet, la CNIL a, notamment, recours aux sanctions pécuniaires et pour des motifs de plus en plus large : par exemple, la délibération du 30 mai 2013, a sanctionné, en partie, la présence de mots de passe trop simples (suites de 5 caractères)[6].

Cependant, les contrôles de la CNIL, augmentent mais restent toujours une goutte d’eau dans un océan : 458 contrôles en 2012 soit une augmentation de 19 % par rapport à 2011 avec 173 contrôles relatif au dispositif de vidéosurveillance parmi 8946 déclarations relatives à ce même dispositif de vidéosurveillance soit un pourcentage de contrôle de 2%[7]. C’est déjà ça !

Le Livre blanc de la défense et de la sécurité nationale paru le 29 avril 2013 met en avant le renforcement législatif et réglementaire du domaine cyber et notamment concernant les opérateurs d’importance vitale (OIV) qui devront respecter des standards de sécurité mais surtout, prendre des mesures nécessaires pour détecter et traiter tout incident informatique touchant leurs systèmes d’information sensibles.

Les fondements de ce nouveau dispositif devraient être mis en place dans la prochaine loi de programmation militaire (LPM) dont le vote est prévu pour la fin de l’été. Souhaitons que ce dispositif prévoit des sanctions réalistes, justes et efficaces.

Enfin, dernière proposition : agir sur l’humain.

La bonne application de toute loi s’effectue par une bonne compréhension des dispositions législatives par les juges et avocats, premiers destinataires des lois. Or, force est de constater que les dispositions pénales relatives à la SSI[8] qui devraient être, par principe, assorties de sanctions efficaces sont rarement utilisées. Les jurisprudences sont quasiment absentes et les peines maximales indiquées ne sont que partiellement appliquées.

Ainsi, le levier de la formation et la sensibilisation des professions judicaires à la SSI et à ses problématiques doit être rapidement actionné. Dans un premier temps, la vulgarisation et une bonne pédagogie devront permettre une meilleure compréhension des enjeux stratégiques de la SSI.

---

[1]Cf article du 1^er juillet « le droit de la sécurité des systèmes d’information (SSI) n’existe pas »

[2]Décision n° 2013-331 QPC du 05 juillet 2013 Société Numéricâble SAS et autre-JORF du 7 juillet 2013 page 11356

[3]Décret n° 2013-596 du 8 juillet 2013 supprimant la peine contraventionnelle complémentaire de suspension de l'accès à un service de communication au public en ligne et relatif aux modalités de transmission des informations prévue à l'article L. 331-21 du code de la propriété intellectuelle.

[4]Les trois autres procédures ont abouti à une amende de 150 euros, une  relaxe et une condamnation, assortie d'une dispense de peine.

[5]Le 9 juillet 2013, Madame Fillippetti, ministre de la Culture et de la Communication, aurait déclaré que l’HADOPI allait être supprimée.

[6]Délibération de la formation restreinte n° 2013-139 du 30 mai 2013 SAS PROFESSIONAL SERVICE CONSULTING dite PS Consulting

[7]Rapport annuel 2012 de la CNIL.

[8]Articles 321-1 à 321-4 du code pénal