Compte tenu de l’ampleur prise par les cybermenaces de nos jours – qui dépassent les frontières internationales et s’infiltrent au-delà des services numériques des entreprises pour toucher les chaînes d’approvisionnement , les infrastructures publiques et privées et , ainsi que –, le modèle traditionnel reposant sur une autorité centrale unique chargée de gérer les cyberdéfenses ne suffit plus.
Découvrez le nouveau modèle de cyberdéfense qui s'impose de plus en plus au sein des gouvernements, agences et institutions européens depuis quelques années : un commandement centralisé pilotant l' , et une action décentralisée .
« Aucune autorité ne peut à elle seule avoir une vue d’ensemble ni exercer un contrôle sur l’ensemble des nœuds de ce vaste écosystème numérique », a déclaré Raymond Bierens, président de la fondation Connect2Trust , basée aux Pays-Bas, lors d’un entretien exclusif accordé à Focal Point .
La fondation partage des informations sur les menaces avec les centres SecOps d’ des grands organismes de service public de l’Union européenne. Leurs collaborations, ainsi que d'autres initiatives, témoignent de la prise de conscience croissante selon laquelle le cyberespace exige non seulement de meilleurs outils, mais aussi un modèle opérationnel plus intelligent et plus adaptatif.
Ce nouveau modèle est, pour l'essentiel, une version plus affinée du concept de commandement et de contrôle (C2), c'est-à-dire les processus et systèmes standard auxquels les chefs militaires ont recours pour prendre des décisions (commandement) et sur lesquels d'autres s'appuient pour les mettre en œuvre (contrôle). La solution pragmatique qui se dessine consiste en une approche où l'agilité, la collaboration et la résilience priment sur une hiérarchie rigide – inspirée par l'évolution de la défense militaire , et favorisée par le fait que de nombreux anciens militaires travaillent désormais dans le domaine de la cybersécurité.
Pourquoi passer à un modèle de commandement et de contrôle (au moins partiellement) décentralisé ?
Pour comprendre les avantages de la décentralisation, il est utile de remonter dans le temps – genre, waaaay – jusqu’au tournant historique qui a marqué le passage des modèles centralisés aux modèles décentralisés dans l’art de la guerre.
«Aucune autorité ne peut à elle seule avoir une visibilité ou un contrôle sur l’ensemble des nœuds de ce vaste écosystème numérique. »Raymond Bierens, président de la Fondation Connect2Trust
« Si l’on se penche sur l’époque napoléonienne, le commandement était fortement centralisé », a déclaré Dan Snape, ancien officier de la Royal Air Force et commandant chargé de la cyberdéfense au ministère britannique de la Défense, au site Focal Point. « On ne faisait pas confiance aux soldats pour réfléchir ; ils devaient obéir aux ordres d’un officier qui leur disait précisément quoi faire et quand. »
Au fil des siècles, à mesure que l'art de la guerre évoluait, passant des guerres mondiales aux conflits contemporains, le passage d'un commandement centralisé à une exécution décentralisée s'est imposé. « Les soldats étaient formés et chargés d’évaluer eux-mêmes la situation et d’agir dans le cadre de règles d’engagement prédéfinies par l’ », a poursuivi Snape. « Il s’agissait d’une forme de délégation de pouvoir en matière de recours à la force militaire. »
M. Snape, aujourd'hui directeur général du cabinet de conseil en cybersécurité Kaze, basé à Londres, met en avant les avantages dont les équipes de sécurité peuvent tirer parti en adoptant un cadre similaire.
« La lenteur, c'est la fluidité ; la fluidité, c'est la rapidité »
Dans le domaine de la cybersécurité, la décentralisation de la prise de décision et de l'exécution opérationnelles peut apporter agilité et rapidité, lorsqu'elle est mise en œuvre correctement.
«Si vous parvenez à constituer des équipes matures et hautement performantes, celles-ci se sentiront suffisamment en confiance pour accepter l’autonomie qui leur est proposée. »Dan Snape, ancien commandant de la cyberdéfense au ministère britannique de la Défense et aujourd'hui directeur général de Kaze
« Si vous parvenez à constituer des équipes matures et très performantes, celles-ci se sentiront suffisamment en confiance pour accepter l’autonomie qui leur est proposée », a déclaré Snape. « Les processus, la technologie et les données constituent les systèmes d'armes dont disposent ces équipes. » La rapidité résulte d'une prise de décision et d'une mise en œuvre réfléchies. « Cela peut paraître étrange, mais “lent, c’est fluide ; fluide, c’est rapide” », a-t-il ajouté, faisant référence à une devise des unités des Forces spéciales de l’armée qui souligne l’ e importance d’actions mûrement réfléchies et bien rodées.
A smooth process, in C2 cyberdefense terms, means intel from local entities getting collected and analyzed in a central SecOps center and immediately fed back to all other local entities, allowing for timely reaction to threats.
Cela dit, la décentralisation présente également ses propres défis et pourrait même entraîner des lacunes opérationnelles.
« Le fait que deux services procèdent tous deux à des évaluations des risques ne signifie pas pour autant que leurs résultats soient comparables », a déclaré M. Bierens. « L'interopérabilité est indispensable, tant au sein de la hiérarchie qu'entre ses différents échelons, pour garantir que vous parveniez à une capacité opérationnelle collective. »
Les facteurs culturels constituent également un obstacle majeur à la constitution d'équipes matures et hautement performantes. De nombreux organismes civils ne possèdent pas cette culture d'entreprise axée sur la mission qui est profondément ancrée dans les institutions de défense. « Ces défis sont aggravés par la persistance, chez certains, de l’idée selon laquelle la cybersécurité est… le problème de quelqu’un d’autre », a déclaré Dan Jones, ancien responsable de l’équipe chargée de la cybersécurité au ministère britannique de la Défense et aujourd’hui conseiller principal en sécurité chez Tanium (éditeur de ce magazine). «. Pour combler ce fossé, il faut une formation continue et un leadership. »
Malgré ces défis, les événements géopolitiques récents et la montée en puissance des menaces émanant des États-nations incitent (voire obligent) les organisations des secteurs public et privé à s'appuyer sur les conseils et les bonnes pratiques de leurs forces armées nationales.
Comment une approche hybride renforce les avantages d'un système de commandement et de contrôle décentralisé (tout en conservant une structure centrale)
Un modèle hybride de commandement et de contrôle permet aux pouvoirs publics de centraliser certaines fonctions essentielles – telles que le partage de renseignements, les relations avec les fournisseurs et les marchés publics technologiques d'envergure – tout en préservant la flexibilité des équipes d'intervention locales. « Il n’est pas nécessaire que tout soit centralisé de haut en bas », a déclaré Snape. « Vous devez tout d’abord prendre le temps de définir cette menace et d’évaluer vos propres capacités. » Ce n’est qu’alors que vous pourrez trouver un juste équilibre entre le pilotage stratégique centralisé et la rapidité d’action qu’implique une exécution décentralisée. »
«[Dans de nombreuses entreprises civiles], les difficultés sont aggravées par la persistance, chez certains, de l’idée que la cybersécurité est… le problème de quelqu’un d’autre. »Dan Jones, conseiller principal en sécurité chez Tanium
« La collaboration est essentielle », a déclaré M. Bierens, faisant référence au partage de renseignements assuré par Connect2Trust , qui permet aux responsables de la sécurité de l'information d', ainsi qu'à et à leurs centres SecOps, de collaborer de manière volontaire dans un environnement de confiance. Avoir des réglementations européennes est une chose, mais les mettre en œuvre dans différents pays en est une autre. As an example, the NIS2 Directive, an EU set of rules that force large organizations to improve their security stance, is translated into 27 different local laws, which might not be the most efficient way of working.
La réussite repose sur une doctrine commune, des incitations harmonisées et une prise de conscience partagée.
« Nous avons tiré une leçon des [États-Unis] « L’idée du général Stanley McChrystal d’une “équipe des équipes” », a déclaré Snape. Ce général, aujourd’hui à la retraite, a développé ce concept alors qu’il commandait les forces américaines en Irak : conscient que les structures hiérarchiques traditionnelles ne pouvaient pas suivre le rythme ni s’adapter à la rapidité et à la flexibilité des réseaux terroristes décentralisés, il a brisé les cloisonnements et favorisé une culture fondée sur une vision commune et une autonomie d’action au sein de toutes les unités. « En nous appuyant sur ce même principe, nous avons mis en place de petites équipes autonomes qui connaissent leur mission, partagent les mêmes outils et les mêmes procédures, et disposent de l’autonomie nécessaire pour agir rapidement », a déclaré Snape.
Ce type de collaboration existe entre différents organismes publics, mais on en trouve également des exemples dans le secteur privé, à mesure que de plus en plus d'acteurs malveillants poursuivent leurs intérêts économiques et géopolitiques dans le cyberespace. Exemple concret : les multinationales Allianz SE, BASF SE, Bayer AG et Volkswagen AG ont uni leurs forces en Allemagne en 2015 en lançant DCSO, la Deutsche Cyber-Sicherheitsorganisation (Organisation allemande de cybersécurité), afin de lutter contre la cybercriminalité organisée et l'espionnage industriel orchestré par des États.
Les experts prévoient une intensification de ces efforts de collaboration, d'autant plus que les acteurs malveillants exploitent la puissance de l'IA pour mener des cyberattaques plus rapides et plus acharnées.
Tout comme dans le domaine de l'IA, les défenseurs ne sont pas les seuls à s'adapter : des souches récentes de logiciels malveillants, telles que TransferLoader et Skitnet, montrent comment les cybercriminels ont recours à des stratégies décentralisées de commande et de contrôle pour renforcer leur résilience et échapper à la détection. TransferLoader utilise le système de fichiers interplanétaire décentralisé (IPFS) pour assurer la continuité de ses opérations même si son serveur principal est mis hors service, tandis que Skitnet recourt à une communication basée sur le DNS au sein d'une structure modulaire afin de rester indétectable. Une vague d'attaques par ransomware de type « » qui a frappé le secteur de la grande distribution britannique en mai dernier a mis en évidence des tactiques décentralisées permettant une propagation rapide et imprévisible au sein des systèmes.
Définition des rôles, des responsabilités et des compétences
Dans un modèle décentralisé (ou fédéré) de cyberdéfense, l'un des aspects les plus délicats réside dans l'attribution des pouvoirs. « Si vous imposez trop de règles », a averti Jones, « vous risquez d’étouffer l’esprit d’initiative. » Au contraire, l'expérience européenne privilégie les structures souples, fondées sur des coalitions de volontaires, soutenues par la confiance et l'intérêt mutuel.
«Nous avons constitué de petites équipes autonomes qui connaissent leur mission, partagent les mêmes outils et les mêmes procédures, et disposent de l’autonomie nécessaire pour agir rapidement. »Snape
« Les projets les plus réussis partent souvent de la base », a ajouté M. Bierens. « Il vous suffit d'identifier ceux qui ont le courage de partager leurs réussites et leurs difficultés, afin de permettre aux autres d'en tirer des enseignements et d'éviter de réinventer la roue. »
Le plus grand ennemi du progrès réside dans l'importance croissante accordée à la conformité et aux contrôles. « Les études montrent que la gestion des risques numériques diffère considérablement de celle de la conformité », a déclaré M. Bierens, « car la première permet un modèle fédéré, tandis que la seconde supprime tout sentiment d'appropriation aux niveaux tactique et opérationnel. » Une philosophie pragmatique consistant à « continuer jusqu’à ce que l’on soit appréhendé » – courante dans les milieux de la défense – peut s’avérer étonnamment efficace en matière de cybersécurité.
Le rôle de l'IA et de l'automatisation
Comme pour tant d’autres opérations, l’intelligence artificielle et l’automatisation permettront aux centres de commandement et de contrôle décentralisés de fonctionner à grande échelle. Snape envisage un avenir où l'IA « » va révolutionner les outils de cybersécurité, en jouant plus précisément trois rôles clés : renforcer les opérations des centres de sécurité (SOC) , accélérer la prise de décision au niveau de la direction et rationaliser les processus d'approvisionnement. « Si l’IA est capable de synthétiser les incidents, de simuler différentes options et de recommander des mesures à prendre, cela permet de réduire considérablement les cycles de décision », a-t-il déclaré. « C’est la seule façon pour nous de rester à la hauteur de nos adversaires, qui ne respectent pas les mêmes règles éthiques que nous. »
«» Chaque entreprise opère à l'international, tout comme la majeure partie d'Internet. Les menaces sont transnationales. Pourtant, nous continuons à réagir par le biais de lois et d’institutions nationales. »Bierens
En substance, l'IA ne rend pas superflue la supervision humaine ; elle exige davantage de la part des dirigeants. Les décideurs stratégiques doivent posséder des connaissances techniques suffisantes pour comprendre les modèles hybrides de commandement et de contrôle et utiliser efficacement les capacités disponibles.
Un contexte européen ayant une portée mondiale
Ces évolutions au sein de l'Union européenne ont des répercussions à l'échelle mondiale. Dans un monde interconnecté, la cyber-résilience repose sur la coordination entre les secteurs public et privé, une gouvernance centralisée et les initiatives locales. Comme l’a fait remarquer M. Bierens, « Toute entreprise a une dimension transfrontalière, tout comme l’essentiel d’Internet lui-même. » Les menaces sont transnationales. « Pourtant, nous continuons à réagir par le biais de lois et d’institutions nationales. »
La « Revue stratégique de défense » récemment publiée par le Royaume-Uni constitue l’un des signes les plus clairs à ce jour que cette approche n’est pas seulement théorique : elle est en train de devenir une doctrine.
Cette « 2025 Strategic Defence Review » souligne l'intérêt d'un commandement centralisé associé à une exécution décentralisée, notamment grâce à la création du Commandement des opérations cybernétiques et électromagnétiques de l' . Ce modèle considère le paysage numérique comme un écosystème flou et interdépendant qui nécessite une collaboration étroite non seulement au sein de l'administration, mais également avec le secteur privé, et ce dans les domaines de la technologie, des opérations et des ressources humaines.
Le SDR reconnaît également l'évolution de l'ampleur et de la complexité des menaces, ainsi que l'importance des stratégies fédérées en matière de cybersécurité. Les investissements continus du Royaume-Uni dans ce modèle hybride témoignent clairement de son efficacité dans le domaine de la défense numérique moderne.
En attendant, l'important, c'est de progresser plutôt que de viser la perfection. « N’attendez pas le modèle parfait », conseilla Snape. « Voyez grand, commencez modestement, agissez rapidement pour apporter de la valeur et instaurer la confiance. » « L'action est le seul véritable critère de réussite. »
