Suite page 4

Suite de la page 2

Journal des arts et métiers: Récemment, le site internet de Comparis a été victime d’une attaque de pirates informatiques qui a paralysé toutes ses fonctionnalités et donc l’ensemble de l’entreprise. Comment évaluez-vous les cyberrisques et la menace pour l’économie suisse en général?

Thomas Süssli: Aujourd’hui, toute entreprise qui utilise des ressources informatiques est confrontée à une cybermenacepermanente. Le nom-bre d’attaques par ransomware a augmenté: les pirates pénètrent dans le système informatique, cryptent les données et demandent une rançon pour les décrypter. D’autres cyberattaques ont pour but de voler des secrets commerciaux.

La cybermenace est devenue omniprésente et touche actuellement tous les secteurs de l’économie suisse, à quelques exceptions près. Cependant, chaque entreprise et chaque organisation peut prendre elle-même des mesures de protection efficaces. Cela commence par la sensibilisation des employés, car le premier vecteur d’attaque est presque toujours l’être humain. Ensuite, l’architecture du système informatique doit offrir de la sécurité. Enfin, il faut tout tenir à jour. Ce sont des investissements importants, mais c’est rentable en cas d’attaque.

Il y a quelque temps, l’armée a créé une unité de lutte et de défense contre les cyberrisques et dans la foulée formé ses collaborateurs. À quoi ressemble concrètement le profil de performance?

Dans le domaine cybernétique, l’Armée suisse remplit différentes tâches avec différents éléments. L’accent est clairement mis sur l’autoprotection. Afin d’assurer sa capacité opérationnelle et sa liberté d’action à tout moment et dans toutes les situations, l’armée est en permanence en mesure de reconnaître les cybermenaces, de se protéger contre les attaques et de se défendre contre celles-ci. En cas de conflit, elle peut également soutenir les opérations militaires par des cyberactions actives. Les cyberéléments mobiles doivent principalement accomplir des tâches dans le cadre d’opérations militaires, mais d’un autre côté, si les conditions cadres prescrites par la loi sont remplies, ils peuvent également être déployés à titre subsidiaire, par exemple pour soutenir des infrastructures critiques.

En collaboration avec l’organisation professionnelle, nos spécialistes de milice remplissent des tâches exigeantes et importantes. L’effectif total de cette force de milice sera porté à environ 600 militaires au cours des prochaines années. Le 1er janvier 2022, les formations de milice existantes seront fusionnées au sein d’un bataillon et d’un état-major cyber. Ceux-ci alimenteront le réservoir permettant d’assurer le fonctionnement de certains éléments critiques et de garantir la durabilité.

Comment l’armée contribue-t-elle à renforcer la sécurité des structures informatiques suisses?

D’une part, l’Armée suisse contribue déjà à renforcer ces structures en remplissant ses tâches de prévention, comme chaque entreprise et organisation en Suisse. D’autre part, elle contribue à contrer la pénurie de travailleurs qualifiés avec l’instruction dans le domaine cybernétique. Les diplômés sont très demandés dans le secteur privé et parmi les exploitants d’infrastructures critiques, comme les fournisseurs d’énergie et les corps de police. Sans exception, ils trouvent un emploi intéressant après leur service. En outre, l’armée soutient les partenaires du Réseau suisse de sécurité grâce à leurs connaissances spécialisées. Je pense par exemple aux contributions de nos cryptologues. Sur la base de la loi sur l’armée, l’armée est également en mesure de soutenir rapidement les autorités civiles avec des cyber-spécialistes – à titre subsidiaire et sous conditions.

Comment l’économie bénéficie-t-elle de ce travail? Pouvez-vous donner un exemple concret de l’interaction entre l›armée et l’économie dans la lutte contre les cyberrisques?

La cybersécurité dans l’administration fédérale repose sur trois piliers. Séparée sur le plan organisationnel, elle est interconnectée sur le plan procédural dans le domaine de l’analyse des cyberrisques. Le DFJP est responsable de la cyberpolice et collabore avec les autorités cantonales de police à cet égard. Au sein du DFF, le Centre national pour la cybersécurité (NCSC) s’occupe du thème de la cybersécurité. Le NCSC coopère étroitement avec les différents services internes et externes, comme le Service de renseignement de la Confédération (SRC) ou les opérateurs d’infrastructures critiques. Enfin, le DDPS est responsable du domaine de la cyberdéfense. Comme nous l’avons mentionné, les cyberforces de l’armée sont principalement là pour protéger leurs propres infrastructures. De la même manière que dans l’économie, chaque entreprise est responsable de sa propre sécurité.

Cependant, l’Armée suisse peut aussi être sollicitée via les autorités compétentes pour un soutien subsidiaire dans le domaine cybernétique si les ressources civiles ne sont pas suffisantes pour faire face à un incident. C’est donc le même mécanisme que la pandémie, sauf que des cybersoldats sont déployés au lieu de soldats sanitaires.

Autre exemple, l’instruction dans le domaine cybernétique mentionnée plus haut. Les participants effectuent aussi un stage, par exemple chez un opérateur d’une infrastructure sensible, comme un fournisseur d’électricité. De cette façon, ils apportent leurs connaissances à ces organisations et, à leur tour, rapportent ces connaissances précieuses lorsqu’ils sont en service. Un échange a lieu, qui est précieux pour toutes les personnes concernées. Pour les participants à l’instruction, l’armée et les infrastructures critiques. En d’autres termes, une situation gagnant-gagnant.

Quelles recommandations faites-vous aux PME sur la préparation aux cyberrisques?

La prévention et la sensibilisation des employés sont extrêmement importantes. Le premier vecteur d’attaque est presque toujours l’humain, c’est pourquoi il constitue donc la première ligne de défense. Une fois que l’attaquant se trouve dans le système, il ne reste plus qu’à limiter les dégâts.

La pandémie a révélé de graves lacunes dans la numérisation de l’administration publique. Comment l’armée peut-elle lui apporter son soutien?

La numérisation fait actuellement l’objet de nombreuses discussions et rapports. La vision du groupe de défenseveut que l’armée soit agile et numérique en 2030. Mon objectif sur la numérisation passe par plusieurs étapes vers l’utilisation de tout le potentiel numérique. Il est clair que la numérisation ne se limite pas aux «gadgets» ou à l’informatique. La numérisation est une affaire qui commence au sommet de la hiérarchie. Par ailleurs, le numérique se développe de manière exponentielle et je partage l’idée qu’il s’agit d’une vraie quatrième révolution industrielle. L’armée doit saisir les opportunités tout en limitant au maximum les risques.

La numérisation est en définitive une question culturelle. Il faut du courage pour emprunter de nouvelles voies numériques. Les erreurs doivent être possibles, afin de se relever rapidement et d’en tirer des leçons. Dans ce cas, je vois une opportunité de soutenir les partenaires: nous pouvons échanger des idées et apprendre les uns des autres.

L’armée est connue pour leurs processus bien structurés d’évaluation des situations et de prise de décision. Comment évaluez-vous le rythme de leadership de la Confédération dans la gestion de la crise actuelle pour faire face à la pandémie de Covid?

Je ne peux parler que pour l’armée. Nos processus militaires se sont une fois de plus révélés très efficaces: l’armée était là quand on a eu besoin d’elle, elle a rempli ses missions avec succès. Et une fois celles-ci terminées, nos miliciens sont retournés dans leurs familles et chez leurs employeurs.

Lors de la première vague, l’armée a été largement mobilisée. Peu après, on a entendu dire que les militaires n’étaient déployés que de manière limitée. Comment gérez-vous cette critique et, rétrospectivement, jugez-vous cette décision comme un succès?

Avec la fatigue liée à la pandémie, nous oublions parfois comment c’était au tout début. Beaucoup de choses étaient inconnues et personne ne pouvait dire comment la situation allait évoluer. L’engagement de l’armée visait donc, en cas de détérioration de situation, à pouvoir continuer à offrir des services dans le secteur de la santé et des douanes. À l’époque, la première priorité n’était pas l’efficience, mais l’efficacité: il fallait être en mesure de fournir des services pragmatiques et rapides dans toute la Suisse, quelle que soit l’évolution de la situation. Avec le déploiement approuvé par le Conseil fédéral à l’époque, nous avons atteint cet objectif dans son intégralité.

La mission de l’armée dans les premiers jours de la pandémie était de renforcer les capacités du secteur de la santé. Cela s’est fait. La situation n’ayant pas dégénéré comme on le craignait, nous avons pu libérer les premières troupes quelques semaines plus tard. Les autres organisations de soutien de la Confédération ainsi que le système de santé civil ont rapidement appris à adapter leur travail de manière plus efficace face à la pandémie. C’est à ce moment clé que nous avons dû et pu continuer à assurer notre soutien permanent, tout en recherchant aussi une plus grande efficacité.

Je suis donc convaincu que les décisions prises à l’époque étaient correctes et fructueuses. Pour une opération de cette ampleur, il faut toujours tenir compte de la vue d’ensemble et ne pas critiquer sous un seul angle. Grâce à notre approche, nous avons pu répondre à toutes les demandes de soutien.

De manière plus critique, si la première priorité n’est pas l’efficacité mais l’efficience, l’armée n’a-t-elle pas fait preuve d’un peu de facilité dans son évaluation de la situation?

L’armée a anticipé et planifié très tôt les éléments qui pourraient être déployés en cas de besoin pour soutenir le système de santé civil ou, si nécessaire, l’administration fédérale des douanes. La grande inconnue, cependant, était la quantité et la succession des demandes qui seraient adressées à la Confédération par les cantons. Afin d’être prêts à intervenir ici, nous avons proposé au Conseil fédéral une structure prévoyant des quantités connues. Dans le contexte de cette mobilisation, la formation liée à la mission devait également toujours avoir lieu, ce qui nécessitait des ressources et du temps. Notre objectif était de fournir le service immédiatement. Nous y sommes aussi parvenus.

Comment l’armée entend-elle tirer les enseignements de cet engagement et les mettre en œuvre en conséquence?

L’armée a appris à deux niveaux pendant cet engagement: d’une part, les militaires individuellement de tous grades déployés à la frontière, dans les hôpitaux, dans les ambulances ou également dans le backoffice, ont pu appliquer directement sur le terrain les compétences qu’ils avaient acquises à l’armée et en apprendre davantage. Les connaissances qu’ils ont acquises ont ensuite été intégrées à la formation des nouvelles recrues. Quant à l’armée, elle en a tiré des leçons sur le plan de l’organisation. Par exemple, entre la première et la deuxième vague, nous avons déjà rendu plus efficace la gestion des formations engagées afin de créer des interfaces moins nombreuses et plus simples – également pour les bénéficiaires civils.

Il y a quelques années, un exercice à grande échelle a été réalisé avec l’armée et l’administration sur le thème d’une «panne de courant et d’une pandémie simultanées». Dans quelle mesure les connaissances concrètes acquises lors de cet exercice peuvent-elles être mises en œuvre dans la situation actuelle?

Grâce à ces exercices, nous disposions d’avantages importants: qu’il s’agisse de la compréhension de l’environnement et de son évolution possible, de tâches, de coopération à mener avec les partenaires sur le plan fédéral et avec les cantons. Et aussi en termes de prestations possibles de l’armée.

Grâce aux exercices, nous avons pu anticiper la façon dont la situation évoluerait et comment le système de santé réagirait. Les contacts nécessaires étaient déjà établis, leur activation rapide et simple. Ainsi, nous n’avons pas eu à consacrer de temps à des clarifications, mais nous avons pu discuter directement de questions concrètes: quelles mesures mettre en œuvre pour améliorer les services et la durabilité du système de santé?

La valeur ajoutée de ces exercices avec les partenaires est claire: nous gagnons du temps, nous apprenons à nous connaître, nous répétons les procédures. Nous pouvons établir des hypothèses sur les services qui seront demandés. Bien sûr, les choses se passent ensuite différemment de ce qui avait été prévu, mais la mise en œuvre d’une bonne planification est plus facile que sans planification.

Lors de cet exercice à grande échelle, la direction, les structures de gestion et les processus de gestion ont également été mis en pratique. Les enseignements tirés à l’époque peuvent-ils l’être en ce qui concerne ces aspects? Existe-t-il un potentiel d’amélioration?

L’exercice de sécurité de 2014 a confirmé l’importance de disposer d’un système de mobilisation permettant de déployer l’armée ou des parties de celles-ci à brève échéance et en nombre suffisant. Grâce au développement de l’armée DEVA, c’est aujourd’hui possible. En 2012, à la suite de l’exercice, l’état-major de conduite de l’armée de l’époque a également examiné les processus de commandement. Les processus et les interfaces ont été optimisés et l’accent mis sur la formation des officiers d’état-major de la milice. Les interfaces avec les partenaires ont également été améliorées afin de disposer à tout moment d’informations provenant de tiers ou d’inclure rapidement leurs besoins dans l’évolution de la situation.

Pour chaque exercice et engagement, il existe un processus de suivi défini, qui permet à l’armée de s’améliorer. Ce n’est que si nous continuons à nous développer et à ne pas nous arrêter à ce que nous avons réalisé que nous pourrons relever de nouveaux défis à tout moment. C’est exactement pour ceci que l’armée, en tant que plus grande réserve stratégique de la Confédération, est engagée pour protéger le pays et sa population lorsque les ressources des autorités civiles ne suffisent plus pour faire face à une situation donnée.

Interview:

Gerhard Enggist