Cyber­sé­cu­rité: la coopé­ra­tion est plus effi­cace que la contrainte éta­tique

En matière de cyber­sé­cu­rité, tous les acteurs poli­tiques, éco­no­miques et sociaux visent un inté­rêt com­mun: pro­té­ger les don­nées sen­sibles et les infra­struc­tures cri­tiques. Mal­gré ces aus­pices har­mo­nieux, la poli­tique fédé­rale mise tou­jours plus sur la régle­men­ta­tion éta­tique et les mesures de contrainte, en ren­for­çant la loi sur la sécu­rité de l’in­for­ma­tion (LSI) par exemple. La confiance envers les entre­prises suisses semble faible. Pour­tant, dans ce domaine en par­ti­cu­lier, l’in­tro­duc­tion d’une contrainte décré­tée par l’État n’est ni une bonne idée, ni effi­cace. La voie vers une plus grande sécu­rité ne passe pas par encore plus de règles détaillées et cer­tai­ne­ment pas non plus en allant contre les entre­prises. D’autres mesures, comme celles dis­cu­tées actuel­le­ment en lien avec la motion 24.3810, tiennent davan­tage du coup de mas­sue et causent éga­le­ment plus de mal que de bien.

«La poli­tique devrait miser sur la coopé­ra­tion, pas sur la contrainte»

La révi­sion de la LSI et, désor­mais, le pro­jet d'or­don­nance sur la cyber­sé­cu­rité ont mon­tré que, dans ce domaine hau­te­ment sen­sible, l’État revient sans cesse à une com­pré­hen­sion des rôles plus nui­sible que favo­rable. Avec les mesures de contrainte, il prend d'abord une res­pon­sa­bi­lité qu’il ne peut pas du tout assu­mer, crée ensuite des obs­tacles inutiles pour les entre­prises qui inves­tissent déjà acti­ve­ment dans leur sécu­rité et, enfin, entrave une culture posi­tive de l’er­reur. Plu­tôt que de miser sur la contrainte, la poli­tique devrait adop­ter une approche coopé­ra­tive où tous les acteurs peuvent appor­ter leur exper­tise et leurs res­sources.

Il serait peu judi­cieux que la police véri­fie la soli­dité des cade­nas de vélos (aux frais du pro­prié­taire) sur les râte­liers à vélos et sanc­tionne les per­sonnes qui uti­lisent des modèles jugés trop faibles. Au lieu de cela, il fau­drait com­mu­ni­quer clai­re­ment quels cade­nas offrent quels avan­tages en matière de sécu­rité. La res­pon­sa­bi­lité demeure auprès des pro­prié­taires, qui choi­sissent eux-mêmes les mesures leur sem­blant judi­cieuses. Il en va de même pour la cyber­sé­cu­rité: la contrainte et les sanc­tions à elles seules ne suf­fisent pas. Il est plus impor­tant que les entre­prises connaissent les mesures vrai­ment effi­caces pour pro­té­ger leurs sys­tèmes.

L’ob­jec­tif doit être de créer un cadre sûr, basé sur la confiance, la coopé­ra­tion et des mesures réa­li­sables, car la cyber­sé­cu­rité ne peut pas être atteinte avec une men­ta­lité «casco com­plète», où l’on s’at­tend à ce que des contrôles éta­tiques remé­dient à chaque faille. Il faut plu­tôt un sys­tème de clés équi­li­bré – comme dans la vie quo­ti­dienne, où nous veillons à la sécu­rité de nos mai­sons sans les bar­ri­ca­der com­plè­te­ment. C’est le seul moyen de réus­sir à ins­tau­rer une stra­té­gie de sécu­rité effi­cace et durable.

La tech­no­lo­gie dans le domaine de la cyber­sé­cu­rité pro­gresse très vite et de nou­velles solu­tions émergent grâce à la concur­rence et à l’in­no­va­tion. Une sur­ré­gle­men­ta­tion éta­tique pour­rait frei­ner cette évo­lu­tion et limi­ter la capa­cité d’adap­ta­tion du mar­ché. La cyber­sé­cu­rité n’est pas une fin en soi ni une ques­tion pou­vant être réglée avec tou­jours plus de dis­po­si­tions légis­la­tives. Il faut une orien­ta­tion pra­tique, de la coopé­ra­tion et du prag­ma­tisme.