La stratégie de cybersécurité de Trump met l’accent sur les opérations offensives, la déréglementation et l’IA
La Maison Blanche a dévoilé une stratégie de cybersécurité articulée autour de six piliers, privilégiant les opérations offensives, l’adoption de l’IA et la déréglementation, tout en laissant les critiques se demander si la réduction des formalités administratives et le renforcement des infrastructures peuvent coexister.
La Maison Blanche a publié la stratégie de cybersécurité tant attendue du président Donald Trump , un document concis de sept pages qui rompt avec les approches précédentes en plaçant les cyberopérations offensives au cœur de la politique américaine.
Élaborée par le Bureau du directeur national de la cybersécurité (ONCD : Office of the National Cyber Director), la stratégie met l’accent sur la perturbation des adversaires, la déréglementation de l’industrie et l’accélération de l’adoption de l’intelligence artificielle, tout en abordant la défense des systèmes fédéraux et des infrastructures critiques.
« En plaçant la composante habituelle de « dissuasion » au premier plan et en se concentrant sur l’offensive, qui n’est généralement qu’évoquée superficiellement dans les stratégies non classifiées précédentes, l’administration a considérablement mis l’accent sur ce pilier, qui bénéficiera clairement de la plus grande attention à court terme », a déclaré Ari Schwartz , directeur général des services et politiques de cybersécurité chez Venable LLP, à CSO.
Le document présente le cyberespace comme un domaine de puissance nationale où des gouvernements étrangers et des réseaux criminels ciblent activement les Américains, les services essentiels et l’économie dans son ensemble — et fait suite à une violation du système d’écoutes téléphoniques du FBI avec une implication présumée d’un groupe de menace chinois .
« Nos adversaires ont subi et subiront de plus en plus les conséquences de leurs actes ; nous démantèlerons les réseaux, poursuivrons les pirates informatiques et les espions, et sanctionnerons les entreprises de piratage étrangères illégales », indique la stratégie. « Nous dévoilerons et dénoncerons l’espionnage en ligne, la propagande destructrice, les opérations d’influence et la subversion culturelle. »
Six piliers pour guider la réussite
Cette stratégie repose sur six piliers qui, selon la Maison Blanche, guideront sa mise en œuvre et permettront d’en mesurer le succès.
Pilier 1 : Influencer le comportement de l’adversaire. Les États-Unis visent à utiliser des cyberopérations offensives et défensives pour perturber et affaiblir les adversaires avant qu’ils ne puissent attaquer, démanteler les réseaux criminels et imposer des coûts réels à ceux qui ciblent les Américains.
Ce pilier, axé sur les cyberopérations offensives, est susceptible de susciter le plus de controverses et d’inquiétudes, même au-delà des clivages partisans. Attaquer proactivement les réseaux adverses, plutôt que d’attendre une riposte, soulève de sérieuses questions quant au risque que de telles opérations offensives n’incitent à des représailles contre les infrastructures critiques américaines . Les critiques affirment que les doctrines de « contre-attaque informatique » peuvent déclencher des cycles d’escalade difficiles à maîtriser.
Pilier 2 : Promouvoir une réglementation de bon sens. Les États-Unis prévoient de simplifier les réglementations en matière de cybersécurité, jugées trop contraignantes par l’administration Trump, afin de permettre au secteur privé d’agir plus rapidement tout en protégeant la confidentialité des données des Américains.
Ce pilier pourrait également s’avérer controversé, car les chercheurs en sécurité et les experts en infrastructures critiques craignent que le retrait des normes obligatoires ne laisse des systèmes clés exposés.
Pilier 3 : Moderniser et sécuriser les réseaux fédéraux. L’administration souhaite moderniser les systèmes gouvernementaux grâce à une architecture de zero trust , la cryptographie post-quantique , la migration vers le cloud et des défenses basées sur l’IA.
Ce pilier, ainsi que le pilier 5, souligne l’importance accordée par la stratégie à l’intelligence artificielle dans la cybersécurité.
« Ce qui ressort le plus, c’est l’engagement explicite de cette stratégie en faveur du déploiement de solutions basées sur l’IA », a déclaré Yejin Jang , vice-présidente des affaires gouvernementales chez Abnormal AI, fournisseur de solutions de sécurité de messagerie électronique, dans un communiqué. « En faisant de l’IA un élément central de la cybersécurité fédérale, l’ONCD reconnaît que le gouvernement doit allier automatisation et rapidité. »
Pilier 4 : Sécuriser les infrastructures critiques. L’ONCD a souligné la nécessité de renforcer la sécurité des services essentiels tels que le réseau électrique, les hôpitaux, les banques et les systèmes d’approvisionnement en eau ; d’éliminer les fournisseurs adverses ; et de sécuriser les chaînes d’approvisionnement.
Certains experts affirment que ce pilier pourrait contredire la volonté de déréglementation de l’administration, car il préconise le renforcement des infrastructures critiques tout en réduisant les réglementations qui imposent fréquemment des mesures de sécurité pour ces infrastructures.
Cinquième pilier : Maintenir la suprématie dans les technologies émergentes. L’administration cherche à préserver le leadership américain en matière d’IA, d’informatique quantique et de cryptomonnaies/blockchain, et à contrer les plateformes technologiques étrangères qui censurent ou surveillent les utilisateurs.
La mention des cryptomonnaies et de la technologie blockchain reflète la position plus générale du gouvernement en faveur des cryptomonnaies, désormais intégrée à sa politique de cybersécurité. C’est la première fois que les monnaies alternatives sont évoquées dans une stratégie nationale de cybersécurité.
Pilier 6 : Développer les talents et les compétences. Les États-Unis investiront dans la formation de la main-d’œuvre en cybersécurité, notamment dans les établissements scolaires, l’industrie et les forces armées, afin de recruter et de former la prochaine génération de professionnels de la cybersécurité.
Bien que peu précis, ce pilier est sans doute le plus consensuel et le moins controversé, car la pénurie de main-d’œuvre en cybersécurité est largement reconnue au-delà des clivages partisans.
Réaction du secteur et prochaines étapes
La réaction du secteur a été globalement positive, même si, notamment, bon nombre des soutiens les plus fermes sont venus d’entreprises de cybersécurité susceptibles de bénéficier de l’accent mis par la stratégie sur l’adoption de l’IA et le rôle accru du secteur privé dans la défense nationale.
Drew Bagley, responsable de la protection de la vie privée et des politiques chez CrowdStrike, a déclaré : « Cette stratégie répond aux menaces modernes par des politiques concrètes qui renforceront la cybersécurité des États-Unis. Chaque pilier est important, et l’accent mis sur la sécurisation des technologies de pointe reconnaît à juste titre que l’IA est un accélérateur pour nos adversaires et un domaine d’expertise indispensable pour les équipes de première ligne. »
Dans un communiqué, Nikesh Arora, PDG de Palo Alto Networks, a déclaré : « Je félicite le directeur de l’ONCD, Sean Cairncross, et la Stratégie nationale de cybersécurité pour leur approche novatrice face aux défis critiques en matière de cybersécurité. Il convient de souligner que l’accent mis sur la promotion d’une sécurité à l’épreuve des attaques quantiques et de la sécurité de l’IA permet aux États-Unis de conserver leur leadership technologique dans un contexte de menaces en constante évolution. »
« Je félicite le directeur Cairncross pour sa vision lucide, et notamment pour son approche novatrice des cyberopérations offensives visant à influencer le comportement de nos adversaires », a déclaré Frank Cilluffo, directeur du McCrary Institute, dans un communiqué. « Nous n’avons pas su dissuader nos ennemis depuis trop longtemps. »
La stratégie étant désormais publique, l’attention se porte sur sa mise en œuvre. Ce document concis de sept pages, qui couvre l’ensemble de la politique américaine en matière de cybersécurité, est par définition un énoncé de vision, et non un plan opérationnel.
Le véritable test résidera dans les instruments politiques de suivi que la Maison Blanche annonce être à venir : des mémorandums sur la sécurité nationale liant les agences à des exigences spécifiques, des orientations réglementaires secteur par secteur et, surtout, des demandes budgétaires qui indiqueront si les ambitions de la stratégie seront dotées des ressources nécessaires ou resteront de simples aspirations.
Ari Schwartz a souligné que le secteur se projette déjà dans l’avenir. « Nous attendons avec intérêt de connaître les détails du plan d’action et d’autres informations sur sa mise en œuvre dans un avenir proche. »