Avons-nous besoin d'une Convention de Genève numérique ?

Brad Smith, président de Microsoft

La Convention de Genève, signée par des nations fatiguées par la guerre en août 1949, oblige désormais 196 pays à protéger les civils dans les zones de guerre. Le président de Microsoft, Brad Smith, affirme que les États-Unis et d'autres pays doivent désormais élaborer un équivalent numérique pour protéger les civils et les entreprises pris entre les feux croisés d'une cyberguerre constante.

Ces dernières années, les entreprises informatiques et de sécurité ont découvert ou ont été victimes de logiciels malveillants et d'attaques de réseau qui semblent liés à des agences militaires ou de renseignement. Smith a déclaré mardi à un auditoire lors de la plus grande conférence mondiale sur la sécurité que la diplomatie internationale est nécessaire pour atténuer les effets négatifs sur les entreprises privées et les citoyens.

Exigences proposées par Smith

• 1. Aucun ciblage des entreprises technologiques, du secteur privé ou des infrastructures critiques.

• 2. Soutenir les efforts du secteur privé pour détecter, contenir, répondre et récupérer des événements.

• 3. Signalez les vulnérabilités aux fournisseurs plutôt que de les stocker, de les vendre ou de les exploiter.

• 4. Faites preuve de modération dans le développement de cyberarmes et assurez-vous que celles qui sont développées sont limitées, précises et non réutilisables.

• 5. Engager des activités de non-prolifération envers les cyberarmes.

• 6. Limiter les opérations offensives pour éviter un événement de masse.

Le piratage d'États-nations s'est transformé en attaques contre des civils en temps de paix, a déclaré Smith lors de la conférence RSA à San Francisco, faisant écho au langage de la Convention de Genève. Nous devons appeler les gouvernements du monde à se rassembler [comme] ils se sont réunis en 1949 en Suisse. Smith, qui est également directeur juridique de Microsoft, a récemment fait pression pour des réformes juridiques afin de mettre à jour les protections de la vie privée et de la sécurité à l'ère d'Internet (voir « Microsoft's Top Lawyer Becomes a Civil Rights Campaigner »).

Smith a énuméré six exigences qu'un tel accord pourrait imposer aux pays, par exemple de ne pas cibler les entreprises privées ou les infrastructures critiques avec des campagnes numériques.

Il a déclaré que l'attaque de 2014 qui a paralysé Sony Pictures - une attaque que les États-Unis ont imputée à la Corée du Nord - était un exemple du genre d'événement qui montre la nécessité d'un accord international sur le piratage. La Corée du Nord aurait ciblé Sony en raison de son mécontentement à l'égard du film L'interview , qui a fait la satire de son chef, Kim Jong-Un.

Smith a cité un accord de 2015 signé par la Chine et les États-Unis s'engageant à ne pas mener ou encourager le cyberespionnage d'entreprise comme preuve que la diplomatie internationale peut freiner ce qui se passe dans le cyberespace. Les experts en sécurité et le gouvernement américain se sont plaints pendant des années que l'armée chinoise aidait à voler des secrets d'entreprise. La Chine a toujours nié de telles affirmations, mais les responsables américains et les sociétés de sécurité affirment que l'incidence des attaques en provenance du pays a diminué (bien que certains experts restent sceptiques quant à la cause). Le G20 a ensuite signé un pacte similaire.

Les sentiments de Smith sur l'importance de la diplomatie pour résoudre ce qui est souvent considéré comme un problème technique ont été repris mardi par Michael McCaul, président du House Homeland Security Committee.

Les pays différeraient toujours dans leurs attitudes en matière de confidentialité et de sécurité, mais la coordination est nécessaire pour empêcher les cyberattaques de causer de graves dommages, a déclaré McCaul, s'exprimant également à la RSA. Les États-Unis devraient s'engager avec des partenaires étrangers, a-t-il déclaré. Nous devons élaborer des règles de conduite claires en matière de cyberguerre.

McCaul a cité des preuves que la Russie avait utilisé le piratage pour tenter d'influencer l'élection présidentielle américaine comme exemple des conséquences de politiques laxistes sur les cyberattaques. Des pirates informatiques soutenus par la Russie ont également été accusés d'avoir détruit les réseaux électriques en Ukraine l'année dernière.

Mikko Hypponen , responsable de la sécurité chez F-Secure, et qui a aidé à suivre l'évolution des logiciels malveillants gouvernementaux, a déclaré Examen de la technologie MIT que l'idée d'une sorte de Convention de Genève numérique est plausible. Mais bien qu'il ait qualifié l'accord américano-chinois de succès, il est sceptique quant à l'arrivée prochaine d'un tel accord.

Hypponen recommande de se tourner vers une autre période de l'histoire comme modèle de la façon dont les prochaines années de l'ère de la cyberguerre se dérouleront. Cette course aux armements n'en est qu'à ses débuts, dit-il, car les pays sentent encore qu'ils ont beaucoup à gagner sur leurs concurrents en développant de manière agressive les capacités d'espionnage et d'attaque numériques. Je crois que nous finirons par arriver au désarmement et au contrôle comme nous l'avons fait avec les armes nucléaires, mais cela prendra du temps.

cacher