Sébastien Garnault (CyberTaskForce) "Les discours pro-souveraineté numérique préfèrent souvent troquer la sécurité contre la pureté nationale"

Sébastien Garnault, fondateur de CyberTaskForce, un think tank français de cybersécurité, et du Paris Cyber Summit, un événement annuel dédié au secteur, juge les discours sur la souveraineté numérique trop radicaux.

JDN. Selon vous, les discours sur la souveraineté numérique vont trop loin. Pourquoi ?

Sébastien Garnault. Ces discours promeuvent souvent une idéologie de pureté nationale dans le numérique, loin de tout pragmatisme. C'est par exemple le cas de Souveraine Tech, mais cela peut aussi être le cas d'autres courants, qui vont de la souveraineté identitaire jusqu'à celui de l'open source pour tout, en passant par le souverainisme béat porté par des politiques, que je préfère ne pas nommer. Les discours pro-souveraineté numérique préfèrent souvent troquer la sécurité contre la pureté nationale. Si une solution étrangère est meilleure que les solutions françaises dans la lutte contre la pédocriminalité, pourquoi s'en priver ?

Pouvez-vous l'illustrer avec un exemple réel ?

Prenons un exemple qui concerne l'Etat. Celui de la messagerie open source Tchap, intégrée dans LaSuite portée par la Dinum, dont l'usage est préconisé dans tous les ministères. A peine était-elle lancée en 2019 qu'une importante vulnérabilité y a été trouvée. Pour plus de sécurité, il serait préférable d'utiliser la messagerie américaine Signal en y greffant la surcouche de sécurité fournie par l'entreprise française CryptoNext, qui renforce la confidentialité des échanges. Et pour les échanges sensibles, le français Olvid peut être utile. Il faut parfois recourir à des solutions étrangères le temps que des équivalents français se développent. La DGSI a utilisé l'américain Palantir jusqu'à ce que ChapsVision puisse le remplacer. Mais plutôt que d'encourager des innovations françaises, l'Etat a préféré développer lui-même Tchap, un produit peu performant et peu sécurisé, pour le maitriser totalement, au nom d'une souveraineté totale.

Une grande partie des données étatiques sont critiques… Ne trouvez-vous pas dangereux de les confier à des solutions extra-européennes ?

Pour les données stratégiques et régaliennes, comme celles liées au ministère des Armées, je pense qu'une maîtrise numérique totale est en effet nécessaire, avec des solutions souveraines. Concernant les données des infrastructures critiques, comme les opérateurs d'importance vitale, du type SNCF ou EDF, cela doit dépendre du degré de criticité des données. Enfin, les autres données, qui ne sont pas sensibles, comme celles du Tour de France du Numérique, par exemple, ne nécessitent pas un hébergement ou un traitement par des solutions souveraines, selon moi. Or, à entendre les promoteurs de la souveraineté numérique pour tout, il faudrait que toutes les données de toutes ces organisations soient hébergées dans du SecNumCloud, voire les données de toute la société civile.

D'ailleurs, même le SecNumCloud ne trouve pas grâce à leurs yeux puisque cette qualification peut être obtenue par des solutions d'hébergement issues de partenariats avec des acteurs américains, comme S3NS avec Thales et Google. Ils avaient alors reproché à l'Anssi la possibilité de qualifier de tels partenariats. Son directeur général, Vincent Strubel, s'était défendu, lors d'une audition à l'Assemblée nationale, en expliquant que cette qualification relevait plus d'une logique de sécurité que d'une logique de souveraineté. D'ailleurs, les Américains aussi utilisent parfois des solutions étrangères…

Pouvez-vous citer des exemples de solutions françaises utilisées par les Etats-Unis ?

Le FBI utilise les services de Filigran, Thales équipe des administrations fédérales et les forces armées américaines, Atos, très implanté aux Etats-Unis, fournit des solutions de cybersécurité à des agences fédérales américaines, OVH Cloud équipe des clients privés américains, etc. Travailler avec des fournisseurs américains serait un problème pour nous, mais fournir les Etats-Unis n'en serait pas un ? Plutôt qu'une opposition entre les Etats-Unis et la France, je prône une compréhension mutuelle de nos différents intérêts, sans renier nos désaccords. C'est dans cet esprit que j'organise tous les ans, à Washington, des rencontres avec une délégation de parlementaires français et d'entreprises françaises, membres d'Hexatrust et de l'Alliance pour la confiance numérique, comme AnozrWay et Cap Gemini.

Notre stratégie d'investissement en cybersécurité n'est-elle pas pertinente ?

La stratégie d'accélération intégrée à France 2030 prévoit 720 millions d'euros de financements publics alloués à la cybersécurité. Certaines entreprises innovantes comme YeWeHack, désormais déployée à l'échelle mondiale, en ont bénéficié, et c'est tant mieux. D'autres entreprises, pas du tout innovantes, que je ne nommerai pas, aussi. J'ai parfois l'impression que ces programmes de financement préfèrent soutenir des entreprises à faible valeur ajoutée plutôt que de prendre le risque d'investir dans des innovations à fort potentiel pour l'avenir. Mieux vaut financer l'ordinateur quantique qu'une solution de détection que l'on retrouve partout ailleurs. Par ailleurs, on nous explique qu'il faut diriger la commande publique vers des entreprises françaises. Mais quand il s'agit d'équiper les ministères de solutions bureautiques, l'Etat préfère concevoir LaSuite, que j'évoquais, plutôt que de faire appel à des entreprises françaises dans lesquelles il a investi, comme Olvid. L'Etat empêche donc des start-up françaises dans lesquelles il investit d'avoir comme premier client l'administration…