Du 07 novembre 2008 au 09 janvier 2009, la commission Européenne mène une consultation en ligne , à destination du public le plus large, sur la politique à mener au niveau de l’Union Européenne pour la sécurité des réseaux et de l’information.
Les questions portent sur trois thèmes :
- défis : « quels sont les défis principaux pour la sécurité des réseaux et de l’information à considérer aux niveaux national, de l’UE et international, notamment en ce qui concerne la résilience des réseaux de télécommunications et des infrastructures électroniques d’information ? »,
- priorités : « quelles seraient les trois priorités-clés qu’une politique devrait aborder pour relever les défis dus à l’évolution de la sécurité des réseaux et de l’information aux niveaux de l’UE et international ? »
- et moyens : « Quels instruments sont nécessaires au niveau de l’UE pour aborder les défis et pour soutenir les priorités politiques dans le domaine de la sécurité des réseaux et de l’information? En particulier, quels instruments ou mécanismes sont-ils nécessaires pour améliorer la préparation pour traiter les cyber-disruptions à grande échelle et pour assurer des niveaux élevés de sécurité et de résilience des réseaux et infrastructures électroniques ? ».
Personnellement, parmi les défis, je citerais : le manque d’information sur les phénomènes, le temps de réaction disponible qui se restreint (attaques 0-day, haut débit…), les paradis numériques, la compétence des utilisateurs, l’avènement de l’identité numérique partout et de la démocratie électronique.
Mes trois priorités seraient : l’amélioration de la circulation de l’information par la confiance, la formation et le développement de capacités de réaction coordonnées (au plan national, européen ou international).
L’exemple de l’affaire McColo récente est exemplaire à ce sujet, qui a montré que finalement les acteurs techniques pouvaient agir efficacement pour lutter contre les sources de problèmes (et donc ne sont pas toujours neutres sur le réseau) et la suite nous montrera que l’absence d’action policière et judiciaire coordonnée (supposée) risque de voir rebondir les mêmes acteurs avec les mêmes compétences ailleurs… Dans d’autre cas, les services d’enquête ou les organismes officiels chargés de la sécurité informatique dans les Etats ont dû agir par leurs seuls moyens judiciaires ou administratifs, sans aucun soutien des opérateurs.
Enfin, en termes de moyens : ils doivent être juridiques (la création d’un Espace Schengen du numérique), un rôle peut-être plus opérationnel de l’agence européenne ENISA (ou une coordination ENISA/Eurojust/Europol/OLAF sur ces sujets), et une implication préventive des acteurs techniques.
