La Direction de Netcom remercie la revue Orbis: A Journal of World Affairs pour lui avoir permis de publier en exclusivité la version française de cet article. Références originales: Edward M ROCHE & Michael J. BLAINE, « International Convention for the Peaceful Use of Cyberspace », Orbis: A Journal of World Affairs, Spring 2014, Vol. 58 Issue 2 pages 282-296. Texte original reçu à la rédaction le 25 Août 2014.
- 1 Henry Bakis (1987), p. 71 ; Ron Schleifer (2009), pp.221-238 ; Nicolas Arpagian (2010), pp. 23-27.
- 2 Pour une discussion historique des capacités américaines, voir Edward Hunt (2012), pp.4-21.
1Le déploiement des armes cybernétiques est à présent une extension du pouvoir de l’Etat1. Les Etats-Unis ont mis sur pied une autorité de cyber-commandement, équipée d’outils de défense et d’attaques cybernétiques2. Une escalade similaire a lieu en Chine et en Russie ainsi que dans un grand nombre d’autres pays. Une course aux armes cybernétiques est en train de se produire.
- 3 Stephen W. Korns & Joshua E. Kasterberg (2009), pp. 60-76. For Kyrgyzstan, see Jose Nazario (2009), (...)
2Les Etats-Unis sont attaqués. Au Printemps 2013, la Mandiant Corporation avait posté sur Internet la preuve qu’une organisation de hackers contrôlée par l’Armée de Libération du Peuple Chinois (ALP) faisait du cyber espionnage contre des sociétés américaines. Les gouvernements ont embauché des pirates informatiques « sauvages » pour apprendre les techniques de la cyber guerre. In 2007, suite à une controverse à propos d’une statue commémorative des pertes Russes lors de la Seconde Guerre Mondiale, la Lettonie subit une vague importante d’attaques cybernétiques qui mit le gouvernement à genou. Un incident similaire se produisit deux ans plus tard en Géorgie3, et, en 2013, la Corée du Sud était attaquée avec des armes cybernétiques Nord-Coréennes.
- 4 Pour les observateurs populaires en matière d’alertes concernant la cyber guerre, voir Richard A. C (...)
3Les cibles de ces attaques sont principalement des civils, mais pas uniquement. Les centrifugeuses d’enrichissement d’uranium iraniennes avaient fait l’objet d’une attaque par le virus Stuxnet, largement supposée d’origine américaine et israélienne. L’Iran riposta à cette provocation en cyber-attaquant les facilités pétrolières d’Arabie Saoudite. Quelque soit la source des attaques, ces démonstrations de cyber pouvoir indiquent que les armes cybernétiques représentent une menace pour les gouvernements et les peuples qu’ils représentent4.
- 5 Voir James P. Farwell, Rafal Rohozinski (2009), pp. 31-36 ; Richard Brust (2012), p. 40 ; Samuel Gr (...)
- 6 Randall R. Dipert (2010), pp. 384-410.
4Les dangers sont si graves que les armes cybernétiques sont considérées comme des armes de destruction massive5. Ce qui autrefois pouvait être obtenu grâce au bombardement stratégique, peut l’être à présent de manière beaucoup plus précise par les armes cybernétiques6. Perte d’informations importantes, perturbations de réseaux d’infrastructure d’importance capitale, mise hors d’usage de systèmes de protection, une catastrophe financière causée par la paralysie des systèmes de transactions concernant titres mobiliers, crédit, paiement, et échange avec l’étranger - toutes ces menaces constituent la raison de la mise en place d’outils de défense et d’attaque cybernétiques afin de permettre la riposte à l’attaque.
- 7 Robert Jervis (1993), pp. 239-253 ; Thomas C. Schelling (1958) ; Winn Schwartau (2000), pp. 197-205
5La course aux armes cybernétiques se développe à une allure fulgurante et totalement hors de contrôle. La nature asymétrique des armes cybernétiques encourage les pays à rechercher des avantages de l’offensive et de la première frappe (First-strike) conduisant à la possibilité d’escalades préemptives suivant la logique de « la crainte d’attaques surprises réciproques » de Thomas Schelling7.
- 8 Rex Hughes (2010), pp. 523-541 ; Daniel Ventre (2012), pp. 83-91.
6En conséquence, la seule façon d’arrêter la course aux armes cybernétiques est, pour les pays, d’entamer des négociations multilatérales afin de limiter le développement de ces armes pratiquement invisibles et dangereuses8.
7Il n’existe pas de modèle dans la manière dont la communauté internationale fait face aux menaces systémiques. Quelque fois une convention internationale est l’aboutissement d’une longue série d’échecs de tentatives pour contrôler un problème. Dans d’autres occasions, la communauté internationale semble capable d’anticiper une menace avant qu’elle se manifeste, et développe un accord international préemptif. Certains accords semblent être de forme hybride : un accord international est produit après que la menace soit devenue évidente mais avant qu’elle ne se soit répandue. Chaque scenario est représenté ci-dessous par un exemple.
8Le « Modèle Anticipatoire »/The « Anticipatory Model ». Dans le passé, la communauté internationale est parvenue à entraver la prolifération d’armes de destruction massive. En 1967, le Traité sur les principes régissant les activités des Etats en matière d’exploration et d’utilisation de l’espace extra-atmosphérique9, y compris la Lune et les autres corps célestes stipulait que les Etats « s’engagent à ne mettre sur orbite autour de la Terre aucun objet porteur d’armes nucléaires ou de tout autre type d’armes de destruction massive, à ne pas installer de telles armes sur des corps célestes et à ne pas placer de telles armes, de toute autre manière, dans l’espace extra-atmosphérique. » (Article IV), et que les Etats seront « responsable du point de vue international des dommages causés par ledit objet ou par ses éléments constitutifs (Art. VII). Cette partie du droit est quelque fois appelée corpus juris spatialis.
- 10 Vladlen S. Vereshchetin & Gennady M. Danilenko (1985), pp. 22-23 ; Alexander Iakovenko (1999), pp. (...)
9Cette convention fut rédigée précisément parce qu’il était devenu évident qu’en absence de limites acceptées par toutes les parties, l’espace serait militarisé. A cette époque, les Etats-Unis envisageaient la possibilité de développer et de déployer des avions à propulsion atomique pour transporter des armes nucléaires destinées à demeurer de manière permanente dans l’atmosphère. On n’était qu’à un pas de l’espace. A cet égard, l’humanité a eu de la chance car le traité fut finalisé avant qu’aucune nation n’ait déployé des armes dans l’espace10.
10Le « Modèle de la fin » /The « Tail –End Model », décrit un accord conclu seulement à l’issue d’une longue période d’échecs de tentatives de contrôle. Les accords internationaux destinés à contrôler la prolifération d’armes chimiques et biologiques ont été une entreprise de longue haleine. En 1675, la France et le Saint Empire Romain signaient le Traité de Strasbourg limitant l’utilisation de boulets empoisonnés. En 1874, la Conférence de Bruxelles recommandait l’interdiction de l’usage des armes empoisonnées. La Déclaration de La Haye sur l’utilisation de projectiles dont le but est la diffusion de gaz asphyxiant et délétères de 1899 rendait illégale la « diffusion de gaz asphyxiants ou délétères ».
11Au cours de la Première Guerre Mondiale, plus d’un million de personnes furent tuées ou blessées par des armes chimiques. En 1925, le Protocole concernant la prohibition d’emploi à la guerre de gaz asphyxiants, toxiques ou similaires et de moyens bactériologiques interdisait l’utilisation d’armes chimiques et bactériologiques mais ne put restreindre leur production, stockage ou transfert. En 1975, la Convention sur les armes biologiques (CAB) ou Convention sur les armes biologiques ou à toxines (CABT), entrait en vigueur mais se limitait à imposer aux Etats membres de négocier « de bonne foi » afin de limiter la mise au point, production, et stockage de ces armes. Elle en imposait également leur destruction, puisqu’à cette époque les deux super puissances qu’étaient les Etats-Unis et l’URSS avaient constitué des réserves importantes en cas de guerre.
- 11 Amy E. Smithson (1992), pp. 36-40.
- 12 Graham S. Pearson (1994), pp. 14-17 ; Terence Taylor (1994), pp. 32-35 ; Jessica E. Stern (1994), p (...)
12Vers 1984, un groupe de travail américano-russe avait rédigé un projet de convention. En 1988, des photos de l’attaque chimique sur des civils dans le nord de l’Iraq11 semblaient apporter de l’urgence aux négociations qui avaient échoué sur la question des effets de ladite convention sur le commerce international et sur sa vérifiabilité12. En 1992, la Convention sur l’interdiction de la mise au point, de la fabrication, du stockage et de l’emploi des armes chimiques et sur leur destruction (CIAC) était signée, soit 317 ans après l’Accord de Strasbourg. Son objectif était d’interdire la fabrication d’armes chimiques et d’imposer la destruction des stocks existants. La vérification du respect de la Convention était confiée à l’Organisation pour l’interdiction des armes chimiques (OIAC), organisation indépendante créée à l’issue de son entrée en vigueur, avec son siège à La Haye ; elle œuvre actuellement en Syrie.
- 13 La mise en œuvre de la CIAC nécessitait un accord sur plusieurs principes importants : 1) la conven (...)
13Contrairement à l’interdiction des armes de destruction massive dans l’espace, le contrôle des armes chimiques et biologiques (ACB) s’est avéré beaucoup plus difficile à réaliser. Les armes avaient déjà été mises au point et utilisées avant l’entrée en vigueur des conventions internationales. Le contrôle du respect des conventions était difficile et requérait la création d’un organisme indépendant13.
- 14 United States Strategic Bombing Survey (USSBS). Voir USSBS (1947), Kiyoshi Shizuma et al (1992), pp (...)
14« Le Modèle Hybride »/ »The Hybrid Model ». La communauté internationale a dû affronter un challenge difficile afin de faire face à la force destructive majeure des armes nucléaires. Contrairement aux ACB, la force nucléaire constitue une technologie à double usage (dual-use). D’un côté, elle fournit de l’énergie nucléaire à des millions de personnes dans le monde. De l’autre, elle constitue la base d’armes de destruction massive inimaginable dont les effets sont décrits dans le Rapport sur les bombardements stratégiques américains14.
15En conséquence, l’initiative « Atoms for Peace » du Président Dwight D. Eisenhower paraissait ouvrir un futur prometteur pour les usages civils (pacifiques) de la force nucléaire. Ironiquement, c’est grâce à ce programme que l’Iran et le Pakistan ont obtenu leurs premiers réacteurs nucléaires. Le Traité de non-prolifération des armes nucléaires (TNP) de 1970 a eu pour objectif la poursuite de l’utilisation pacifique de l’atome, mais limite strictement le développement de l’arme nucléaire en dehors des cinq Etats dotés de l’arme nucléaire ayant fait exploser un engin nucléaire (Etats-Unis, URSS, Royaume Uni, France, et Chine). La plupart des pays ne se sont pas dotés de l’arme nucléaire, mais l’Inde, le Pakistan, la Corée du Nord, et Israël l’ont développée.
16Dans le cas d’armes nucléaires, la communauté internationale a adopté un système intermédiaire par lequel les Etats possédant l’arme nucléaire ne sont pas obligés d’abandonner cette technologie, mais les Etats qui ne la possèdent pas ont l’obligation de s’abstenir de la développer. Le TNP est un exemple du « modèle hybride » : l’accord international est obtenu une fois que la menace s’est clairement manifestée, mais avant qu’elle ait pu se propager.
17Le précédent résumé des traités internationaux fournit un aperçu significatif des caractéristiques que doivent comporter les conventions qui ont été couronnées de succès. Partant de l’étude de celles-ci, ainsi que d’autres, nous avons identifié huit conditions nécessaires et suffisantes que doit comporter un accord international acceptable destiné à limiter la mise au point et l’utilisation des armes cybernétiques.
18A l’heure actuelle, la situation en matière d’armes cybernétiques est semblable, sur le plan international, à celle qui existait, en matière d’armes nucléaires, antérieurement au traité de non-prolifération. Plusieurs cyber super-puissances (Etats-Unis, la Chine, la Russie, et Israël) ont mis au point et déployé des armes cybernétiques soit de manière défensive soit de manière offensive et les ont utilisées bien que de manière non extensive. Les pays se démènent pour construire leurs cyber capacités, derrière la Grande Muraille du Secret caractéristique de l’Etat de sécurité nationale. De la même manière, comme c’est le cas pour la mise au point d’armes nucléaires, la crainte et l’incertitude concernant les effets de la cyber guerre agissent comme des forces puissantes stimulant cette course aux armes virtuelles. Cependant, les effets potentiellement dévastateurs d’une cyber guerre sont suffisamment sérieux pour rendre possible l’achèvement d’un consensus autour du contrôle de la prolifération de ces armes.
Nous présentons ci-après quelques considérations sur les conditions clés requises pour un tel accord :
191. Universalité
Toutes les parties concernées doivent être inclues dans l’accord final. Cette condition est sans doute la plus important de toutes.
202. Nécessité d’une définition claire du terme armes cybernétiques
Dans le cas des armes chimiques et biologiques (ACB), la définition des armes ne comportait aucune référence spécifique aux détails de leurs divers composants ou de leurs composants biologiques. Ceci évitait l’embûche des polémiques interminables à propos de ce qui constitue, ou non, une arme chimique et biologique. De la même manière, à propos des armes nucléaires, les définitions adoptées étaient suffisamment larges pour qu’elles puissent couvrir n’importe quoi depuis un missile à têtes multiples indépendamment guidées (MIRV) jusqu’à une valise piégée. Une semblable définition, au sens large et généralisable, est un pré requis pour rédiger valablement une convention à propos des armes cybernétiques.
- 15 Pour une discussion de l’utilisation d’acteurs du secteur privé par des nations-Etats, voir Susan W (...)
- 16 Le néologisme « hacktivistes » est la combinaison des mots “hacker” et « activistes » (NDLR).
213. Nécessité d’une définition du terme cyber-attaque
Les attaques cybernétiques (cyber-attaques) se présentent sous de multiples formes, et leurs conséquences malencontreuses ne sont pas toutes voulues ou anticipées. Une convention internationale doit limiter son champ d’application aux activités initiées, soit directement soit commanditées15, par les gouvernements. Les activités des syndicats de crime organisé opérant au niveau international, les attaques d’ hacktivistes16 isolés, ainsi que les cyber accidents causés par des civils, relèvent déjà de la compétence du système de justice pénale internationale. Cependant, dans les cas où ces acteurs privés, ou d’autres, sont soit commandés par le gouvernement, soit secrètement liés à lui, ils doivent relever de la compétence de la convention internationale.
- 17 Voir ci-après la partie : « Modèle pour une convention internationale » (NDLR).
224. Vérifiabilité
Comme d’autres conventions antérieures, tout accord ayant pour objet la limitation de la prolifération d’armes cybernétiques doit contenir une disposition concernant sa vérifiabilité. En raison de la nature invisible des armes cybernétiques, cette disposition posera un problème difficile. Néanmoins, une organisation indépendante, du type de l’OIAC mentionnée précédemment, doit être créée et dotée d’une structure appropriée. Un certain nombre d’organisations existent déjà, comme le CERT Coordination Center (CERT/CC) aux Etats-Unis ou les Kaspery Labs en Russie, qui possèdent les germes de capacités pour ce rôle. Ces équipes peuvent institutionnaliser leur présente coordination ad hoc, et peuvent être groupées sous les auspices des Nations Unies pour former une agence transnationale d’investigation des cyber incidents et de vérification de la bonne application de la convention17.
- 18 « Maintenir la paix et la sécurité internationales et à cette fin : prendre des mesures collectives (...)
235. Intégration dans la Charte des Nations Unies
Les attaques cybernétiques peuvent conduire à la cyber guerre, et ainsi devraient être considérées comme entrant dans le champ d’application de l’Article 1.1 de la Charte des Nations Unies18 qui définit une menace potentielle à la paix et à la sécurité internationale et qui fournit des moyens pour arriver à une résolution pacifique des différends entre Etats. Les activités du Conseil de Sécurité couvertes par les Chapitres VI (Règlements pacifiques des différends) et VII (Action en cas de menace contre la paix, de rupture de la paix et d’acte d’agression) doivent être comprises comme incluant les armes cybernétiques et leur utilisation.
- 19 Ce mot fait référence à une légende hindoue, mais est employé dans un sens métaphorique. Il rend l’ (...)
- 20 Leonard R. Sussman (2000), pp. 537-545 ; Markus Muller (2005), pp. 709-748 ; Assafa Endeshaw (2004) (...)
246. Non ingérence avec les Droits de l’Homme
Certains craignent que toute convention internationale visant à « contrôler » l’Internet le transformera en un juggernaut19 géant manipulé par les Etats qui imposera la censure et permettra la répression politique au niveau international. Des idées très différentes concernant le rôle de l’Etat dans le contrôle du cyber espace existent déjà20. D’un côté, la Chine promeut ouvertement la censure, de l’autre - diamétralement opposé -, les Etats-Unis appliquent les droits du Premier Amendement aux communications par Internet. Le contrôle des armes cybernétiques ne doit pas servir de subterfuge pour anéantir la Déclaration Universelle des Droit de l’Homme. Cette déclaration demande « un monde dans lequel tout individu a le droit à la liberté d’expression et d’opinions, » en particulier l’Article 19 qui stipule que : « Tout individu a droit à la liberté d’opinion et d’expression, ce qui implique le droit de ne pas être inquiété pour ses opinions et celui de chercher, de recevoir, et de répandre, sans considération de frontière, les informations et les idées par quelque moyen d’expression que ce soit ».
257. Flexibilité et adaptabilité aux évolutions de la technologie
Le développement rapide des technologies de l’information et des télécommunications ne doit pas permettre de rendre la convention obsolète. En conséquence, elle doit demeurer d’applicabilité générale de la même manière que le CIAC et le TNP couvraient toute sorte d’armes, tout en évitant l’exigence gênante de la spécificité.
- 21 Italiques ajoutées par les auteurs.
268. Exécution
L’exécution est indispensable à toute convention internationale pour être efficace. Cette disposition va demander quelques ajustements aux mesures d’escalade dont dispose le Conseil de Sécurité grâce au Chapitre VII, de même que leurs ciblages afin d’être adaptées à des scénarios spécifiques de cyber guerre. En particulier, l’Article 41 qui indique que » les mesures n’impliquant pas l’emploi de la force armée » devraient inclure les attaques cybernétiques. Après tout, l’Article 41 indique que « Celles-ci [mesures n’impliquant pas l’usage de la force armée] peuvent comprendre l’interruption complète ou partielle des relations économiques et des communications ferroviaires, maritimes, aériennes, postales, télégraphiques, radioélectriques, et des autres moyens de communication ainsi que la rupture des relations diplomatiques »21.
27La négociation et la signature d’une convention internationale sur le contrôle des armes cybernétiques poseront des problèmes liés au champ d’application et à la globalité de l’Internet et d’autres réseaux publics et privés. Contrairement à d’autres domaines, comme celui des armes militaires, la pénétration de l’Internet dans la société en général est profonde, avec les entreprises et les particuliers qui utilisent ces systèmes 24 heures sur 24 et 7 jours sur 7. Les types de perturbations des systèmes informatiques sont nombreux, de même que les parties qui peuvent être soit responsables soit victimes d’une attaque cybernétique.
28Le Tableau 1 ci-après fournit une liste des principaux auteurs de perturbations ainsi que leurs motifs. Les acteurs sont les gouvernements, le secteur privé, les groupes terroristes, les groupements criminels, et les personnes physiques. Leurs motifs vont de la perturbation économique et vol de données personnelles jusqu’à la dégradation ou destruction des sites Internet des gouvernements, organisations ou personnes privées.
Tableau 1 : Le paysage de l’instabilité dans le cyber espace
|
|
Défenseur
|
|
|
Gouvernement
|
Secteur privé
|
Groupe
|
Personne privée
|
Attaquant
|
Gouvernement
|
Espionnage
Cyber guerre
|
Espionnage économique ;
Sabotage ;
Renseignements
Terrorisme
|
Perturbation politique
|
Exécution
judiciaire;
Espionnage
|
Secteur privé
|
Espionnage commercial (contrats, appel d’offres) ; intelligence économique
|
Espionnage industriel
|
Intelligence commerciale ;
Perturbation politique
|
Atteinte à l’intimité de la vie privée
|
Groupe ou
personne privée
|
Cyber-perturbation ;
Communication d’ordre politique ;
Changement de régime
|
Communications politiques ;
Activité criminelle ;
Sabotage
|
Perturbation politique
|
Activité criminelle ;
Atteinte à l’intimité de la vie privée
|
- 22 Pour une discussion sur la façon d’améliorer la coopération internationale pour combattre le cyber (...)
29Le Tableau 2 ci-après fournit une liste des types de lois qui contrôlent déjà de telles cyber actions. La plupart d’entre elles sont déjà couvertes par le droit national pénal et civil ; ainsi que par le présent système judiciaire international lorsqu’une personne physique ou morale commet un cyber crime sur le plan international, il existe diverses formes de coopération judiciaire internationale pour résoudre ces problèmes22. En dehors de ces domaines, la zone critique des cyber conflits se situe au niveau des gouvernements entre eux (gouvernement-à-gouvernement) ; et, en conséquence, le champ d’application et la portée d’un traité de limitation des armes cybernétiques internationales devrait être limité à des actes qui sont uniquement sous le contrôle et la responsabilité des gouvernements nationaux.
Tableau 2 : La plupart des attaques cybernétiques sont de la compétence des droits nationaux, pénal et civil. Le projet de convention est applicable seulement au domaine de gouvernement à gouvernement
|
|
Défenseur
|
|
|
Gouvernement
|
Secteur privé
|
Groupe
|
Personne privée
|
Attaquant
|
Gouvernement
|
Convention internationale
|
Droits nationaux, y compris perquisitions et saisies
|
Secteur privé
|
Droit pénal national
|
Droit national de responsabilité civile ;
Droit pénal national ;
Droit commercial international
|
Droits nationaux conc. le respect de l’intimité de la vie privée ;
Droit pénal national
|
Groupe ou
personne privée
|
Droit pénal national ;
Droit national de responsabilité civile
|
- 23 De l’anglais "Electro-magnetic Pulse" (EMP). Il s’agit d’une brève émission d’ondes électro-magnéti (...)
30Même si le champ d’application de la convention internationale se limite aux attaques de gouvernement contre gouvernement, la communauté internationale est tout de même confrontée au problème décourageant de l’évolution rapide de la technologie. La complexité théorique de la dimension technologique n’est pas bien comprise, car il existe un nombre quasi incalculable de réseaux et de systèmes inter-reliés. Pour d’autres traités internationaux, comme le Protocole de Kyoto, le rythme de l’évolution technologique se mesure en décades, ce qui donne suffisamment de temps pour peaufiner les détails d’une convention. Cependant, dans la sphère du cyber, le rythme de l’évolution technologique se mesure en semaines ou au mieux en mois, ce qui rend difficile la rédaction de définitions et de protections contre les attaques cybernétiques qui soient précises .Une fois qu’une arme ou action spécifique est rendue illégale, une nouvelle technologie encore plus destructrice peut être mise au point pour la remplacer. La recherche en matière des sciences de l’environnement et de la nature date depuis longtemps ; mais concernant les armes cybernétiques, la recherche et l’étude scientifique sérieuses datent au mieux des 15 dernières années, avec le plus gros du travail accompli au cours des 5 dernières années. A cela, il faut ajouter la décourageante complexité technique du cyber-armement qui requiert la connaissance des systèmes de commutation, de la téléphonie mobile et des smart phones, de l’impulsion électromagnétique23, de l’attaque par déni de services, et de tous les types de logiciels et de programmations.
31L’étendue et la complexité du problème posé par les armes cybernétiques sont également amplifiées par le rôle des entreprises privées multinationales en tant que cibles de nombreuses attaques cybernétiques. A titre d’exemple, le courrier électronique est fourni par Google, les réseaux sociaux par Facebook et LinkedIn, et des centaines de milliers de sites Internet commerciaux sont utilisés pour faire du commerce électronique - tout cela dans le seul cadre du secteur privé, même dans les pays où le gouvernement exerce un contrôle routinier de l’Internet. En conséquence, une cyber convention internationale est impossible sans la participation du secteur privé. Et ceci pour deux raisons. D’abord, ces organisations sont les seules entités à comprendre réellement la technologie à la base du problème. Deuxièmement, les gouvernements ont besoin d’aide concernant la dimension technique, mais également sur la façon de protéger les intérêts des entreprises qui soutiennent leurs économies.
32La méthode acceptée par les gouvernements pour obtenir l’expertise du secteur privé passe par l’intermédiaire des Comités consultatifs. Au niveau international, le système des groupes consultatifs, qui a démarré aux Etats-Unis, a été reproduit, particulièrement dans des domaines plus techniques tels que les télécommunications. L’Union internationale des télécommunications (UIT) s’appuie sur des centaines de comités consultatifs organisés en groupes spécialisés chargés de résoudre des problèmes spécifiques. A titre d’exemple, les normes techniques permettant à un appel téléphonique d’être passé depuis Moscou et d’être reçu à Santiago du Chili ont leur origine dans le vaste et ultra technique système de comités organisés et gérés par l’UIT. Sans ces comités techniques, chaque pays ou région du monde devrait posséder ses propres normes techniques, et il n’y aurait aucune inter-opérabilité entre une partie du monde et une autre. Ainsi, pour la rédaction d’une convention internationale de limitation des armes cybernétiques, les mesures initiales pourraient avantageusement être prises par une initiative combinée du secteur privé et du gouvernement.
33Même si tous les problèmes énoncés sont résolus, la question essentielle demeure : pourquoi un Etat-nation participerait-il à un tel traité ? Il est bien évident que l’adhésion au traité imposera des limitations au droit d’une nation de développer des armes cybernétiques offensives, ce qui, en essence, constitue un abandon de souveraineté nationale. En conclusion, et en termes les plus simples, un Etat-nation doit arriver à la conclusion que les avantages de son adhésion à la convention sont supérieurs au coût réel ou estimé de la perte d’une partie de sa souveraineté nationale.
34Quant aux pays plus faibles en cyber capacités - ceux ayant peu de perspectives de développer des armes cybernétiques ou de participer à la course aux armes cybernétiques-, la motivation de leur adhésion à la convention est claire : celle-ci offre l’espoir que les cyber super-puissances limiteront de manière volontaire le déploiement de ces armes, et, par voie de conséquence, restreindront l’élargissement du fossé qui se serait creusé en l’absence d’un tel traité.
35Quant aux pays intermédiaires - ceux qui possèdent des cyber capacités mais qui n’ont pas le statut de cyber super-puissances -, la motivation est double. D’abord, et supposant qu’ils n’aient pas à démanteler les armes cybernétiques qu’ils possèdent déjà, leur adhésion à la convention leur permettra de « verrouiller » un avantage par rapport aux nombreux autres pays moins développés ; et ensuite, leur donnera peut être la possibilité de contenir le déploiement effréné des armes cybernétiques des super-puissances.
36Les motivations des cyber super-puissances sont plus complexes. Certaines études de science politique ont appliquées la théorie du jeu, particulièrement celle du « dilemme du prisonnier », au problème de la coopération internationale et ont trouvé des voies possibles vers un équilibre par lequel l’abandon de certaines prérogatives nationales peut conduire à une meilleure issue finale. Dans sa forme la plus simple, le participant n’accepte pas tant d’être lié par les règles de la convention pour le bénéfice des autres que de profiter des bénéfices de ne pas avoir à participer à une course incontrôlée aux armes cybernétiques. Ainsi, en acceptant de ne pas utiliser leur pouvoir au maximum, les super-puissances reçoivent l’assurance que les autres en feront autant. L’essence du concept est que « les règles internationales font rarement l’objet d’exécution forcée mais sont généralement respectées ».
37Un dernier problème qui compliquera certainement les négociations d’une convention internationale concerne la nécessité de trouver un équilibre entre le respect des droits de l’homme et le contrôle gouvernemental. Cette question présente également des implications à propos de la viabilité globale et de l’efficacité économique de la cyber infrastructure mondiale. Afin que les gouvernements puissent assurer que la cyber infrastructure est bien protégée, ils doivent surveiller le système contre toutes attaques ou perturbations. Malheureusement, cette surveillance signifiera sans doute la mise sur écoutes des cyber communications des personnes physiques et morales et des organisations. En philosophie politique, il existe une différence profonde concernant le rôle de l’Etat dans son contrôle de l’accès à l’information et dans la dissémination de cette information. Certains pays pratiquent la censure du cyber espace de manière routinière. D’autres ne pratiquent pas la censure mais surveillent le cyber espace. Un souci communément exprimé est qu’une convention internationale destinée à sécuriser le cyber espace servira éventuellement de Chambre Etoilée internationale dans laquelle la surveillance du gouvernement jettera un voile obscur sur l’humanité entière.
38Une question similaire concerne l’efficacité économique de l’Internet et de ses réseaux d’apport qui le soutiennent. Un souci légitime à ce sujet réside dans le fait qu’une réglementation gouvernementale augmentera les coûts aux entreprises et aux particuliers, et peut-être constituera une menace pour l’innovation. Cette question est de toute première importance pour les entreprises multinationales et pour toutes les entreprises en général, parce que la majeure partie de leurs transactions économiques transite à présent par le cyber espace. Par conséquent, afin d’aboutir à un certain type d’accord pratique sur la limitation des armes cybernétiques - même de nature préliminaires - les nations devront examiner en détail ces préoccupations avec toutes les parties prenantes concernées et devront arriver à un accord sur la façon d’éviter des conséquences dommageables sur le plan économique et social. Il est clair que toute convention internationale devra accommoder des perspectives diverses sur le contrôle des Etats-nations de l’Internet ainsi que de son infrastructure sous-jacente. Ces conditions étant données, il est possible d’exposer les obligations des Etats qui constitueraient la substance d’un traité de limitation des armes cybernétiques. On peut illustrer ceci à l’aide du scenario suivant. Un pays signataire de la convention est victime d’une attaque cybernétique majeure. Que seraient les obligations de chaque signataire de la convention dans ce cas ?
39D’une manière générale, un tel scénario est caractérisé par trois phases : 1) l’attaque prend place ; 2) l’Etat victime est incapable d’identifier l’origine de cette attaque ; 3) des actions sont prises pour identifier l’origine de l’attaque, amener les auteurs devant la justice, ou d’une manière générale restaurer la paix.
Considérant ce qui a été exposé dans cet article, nous pouvons suggérer un contenu préliminaire qui pourrait constituer le fondement d’une convention internationale acceptable.
40Considérant que le fonctionnement ininterrompu de l’Internet et d’autres réseaux de communication d’ordinateur à ordinateur a été reconnu comme essentiel à l’économie mondiale et à la bonne marche des grands réseaux techniques d’infrastructures;
41Considérant que l’Internet et d’autres réseaux de communications entre ordinateurs ont été soumis à des attaques cybernétiques (cyber-attaques) contre leur intégrité et leur fonctionnement efficace, causant de la sorte des préjudices économiques et des menaces à l’encontre de la paix et la sécurité internationales;
- 24 Jeffrey T. G. Kelsey (2008), pp. 1427-1451; Joshua E. Kastenberg (2009), pp. 43-64.
42Considérant que beaucoup de ces attaques cybernétiques violent la neutralité du pays de transit24;
- 25 L’auteur utilise ici l’expression “traditional military kinetic weapons”. Il s’agit d’une terminolo (...)
Considérant qu’il a été reconnu que l’utilisation d’armes cybernétiques (cyber-armes) peut être aussi nocive que l’utilisation d’armes cinétiques militaires traditionnelles25;
43Considérant qu’il est essentiel que tous les peuples du monde, y que la communauté scientifique et les établissements d’enseignement accèdent à la liberté de communication;
44Considérant que la majorité des transactions commerciales mondiales sont effectuées sans intervention humaine conduits d’ordinateur à ordinateur;
45Les nations signataires de la présente convention décident de veiller à ce que le cyber-espace soit utilisé à des fins pacifiques, et conviennent de ce qui suit:
46Aux fins de la présente convention, une arme cybernétique sera définie comme tout code ou procédure créée par un Etat-nation et conçue dans le but d’interrompre, désactiver ou accéder sans autorisation à une partie du système de communication informatique mondial, y compris tous les réseaux de données.
- 26 Cette disposition permet la création et la maintenance d’outils informatiques (tels les logiciels d (...)
47Une technologie à double usage26 utilisées à des fins offensives doit être considérée comme une arme cybernétique.
- 27 Jay P. Kesan & Carol M. Hyes (2012), pp. 429-543; David Danks & Joseph H. Danks (2013), pp. 18-33; (...)
48Rien, dans la présente convention, ne sera interprété de manière à limiter le droit de légitime défense de tout Etat signataire, y compris le droit de garder certaines informations de sécurité nationale confidentielles27.
49Chaque Etat membre ne devra pas fabriquer ou créer des armes cybernétiques offensives.
50Chaque Etat membre ne devra pas transférer des armes cybernétiques offensives à tout autre Etat.
51Rien dans la présente convention ne devra empêcher tout Etat membre d’exercer le droit de déployer des mesures défensives afin de prévenir ou atténuer les attaques cybernétiques.
52Une Autorité Cybernétique Internationale (ACI) sera créée ; elle sera rattachée à l’Union internationale des télécommunications.
53Un Comité permanent dirigera l’Autorité Cybernétique Internationale. Il sera composé de sept (7) membres permanents et de quatre membres (4) non permanents.
54Les membres permanents seront : (1) les États-Unis d’Amérique; (2) la Fédération de Russie; (3) La République populaire de Chine; (4) le Japon; (5) l’Inde; (6) l’Indonésie; et (7) l’Union européenne.
- 28 Assemblée générale du Conseil de sécurité des Nations Unies (NDLR).
55Les quatre membres non permanents du Comité permanent seront nommés par l’Assemblée générale28 pour des mandats de trois ans.
- 29 Conseil de sécurité des Nations Unies (NDLR).
56L’Autorité Cybernétique Internationale sera activée à la demande du Conseil de sécurité29.
57L’Autorité Cybernétique Internationale rendra compte directement au Conseil de sécurité.
58L’Autorité Cybernétique Internationale sera habilitée à enquêter sur tout incident de nature cybernétique.
59L’Autorité Cybernétique Internationale pourra coordonner les enquêtes sur une attaque cybernétique.
60L’Autorité Cybernétique Internationale enregistrera toutes les données concernant la sécurité mondiale dans le cyberespace. Il devra publier un rapport annuel résumant l’état de l’infrastructure du système de communication informatique mondial, et les statistiques sur les incidents de nature cybernétique.
61Afin de s’acquitter de ses responsabilités, l’Autorité Cybernétique Internationale aura le pouvoir de conclure des accords de coopération tant avec les organisations commerciales qu’avec les organisations non gouvernementales (ONG).
62L’Autorité Cybernétique Internationale sera dotée selon les règles de la fonction publique internationale.
63L’Autorité Cybernétique Internationale pourra demander à chaque Etat membre de coopérer lorsqu’elle enquêtera sur la source de toute attaque cybernétique.
64Si une attaque cybernétique traverse le territoire d’un ou plusieurs Etats signataires, chacun d’eux coopérera avec l’Autorité Cybernétique Internationale.
65Chaque Etat signataire s’engage à fournir les renseignements demandés par l’Autorité Cybernétique Internationale, sous réserve que cela n’entre pas en conflit avec son droit à l’auto-défense.
66Une attaque cybernétique d’une nation contre une autre peut être portée devant le Conseil de sécurité si elle est considérée comme constituant une menace pour la paix et la sécurité internationales.
67Les procédures de Règlement Pacifique des Différends de la Charte des Nations Unies seront applicables30.
68Une attaque cybernétique peut être considérée comme une menace à la paix, comme une rupture de la paix ou comme un acte d’agression en vertu du Chapitre VIII de la Charte des Nations Unies. Le Conseil de sécurité peut être saisi de l’affaire.
69Rien dans la présente convention ne doit diminuer les obligations de chacune des parties signataires telles que cela est stipulé aux articles 19 et 20 de la Déclaration universelle des droits de l’homme.
- 31 Ce Pacte international interdit tout "appel à la haine nationale, raciale ou religieuse qui constit (...)
- 32 International Covenant on Civil and Political Rights (ICCPR)”. Voir: http://ec.europa.eu/justice/po (...)
Rien dans la présente convention ne doit porter atteinte aux droits de chaque signataire à prendre des mesures en conformité avec le Pacte international relatif aux droits civils et politiques31 (PIDCP)32.
70Rien dans la présente convention ne portera atteinte aux droits commerciaux des entreprises publiques ou semi-publiques à s’engager dans le commerce international.
71Les cloches d’alarme sur la course aux armements cyber sonnent dans trois domaines académiques différents: (1) dans les milieux du droit international; (2) dans le domaine des relations internationales et des sciences politiques (y compris celui de la stratégie militaire); et (3) dans les milieux techniques. Les chercheurs de ces différents milieux ont examiné les grands événements cybernétiques des cinq à sept dernières années selon leurs propres perspectives. Il est remarquable qu’ils en soient venus aux mêmes conclusions.
- 33 Richard Brust, “Cyberattacks: Computer Warfare Looms as Next Big Conflict in International Law,” AB (...)
- 34 Sur ce terme, voir la note n° 31.
- 35 Charles J. Dunlap, Jr., “Some Reflections on the Intersection of Law and Ethics in Cyber War,” Air (...)
72Dans les milieux du droit international, les chercheurs s’accordent à dire que un "régime juridique... bien adapté aux caractéristiques particulières des attaques cybernétiques "est essentiel, mais problématique à définir. En dépit de la «Stratégie internationale pour le cyberespace» du gouvernement américain, les règles juridiques sont ambiguës, et compliquent la pensée militaire. « Les avocats au sein du gouvernement ont soulevé tant de questions juridiques paralysantes sur la cyberguerre qu’ils ont laissé notre armée incapable de combattre, ou même de prévoir une guerre dans le cyberespace »33. Certains font valoir que le droit des conflits armés fixe des normes minimales, mais le droit des conflits armés a été conçu pour résoudre les conflits menés principalement avec des armes cinétiques34 et non pour résoudre un conflit cybernétique.35
- 36 Richard B. Andres & Scott J. Shackelford, “State responsibility for cyber attacks: competing standa (...)
Il est difficile d’attribuer la responsabilité de l’État pour les attaques cybernétiques, car ces dernières sont difficiles à retracer, et les gouvernements peuvent engager des «pirates» pour faire le travail à leur place. La nature des attaques cybernétiques permet de dissimuler leur origine véritable.36
73Certains en ont conclu que ce ne sont pas les criminels mais les États qui, dans le système international, constituent la plus grande menace en matière de cybersécurité mondiale: il est difficile de répartir les menaces planant sur la sécurité de l’Internet entre ces deux groupes, tout comme le lien entre le crime organisé et l’Etat est de plus en plus flou.
74"Le" hacktivistes "a fait l’objet d’une attention particulière dans les recommandations en vue d’une réforme juridique. Même si la poursuite des cybercriminels se fait, les questions juridiques restent complexes, notamment sur les points suivants : (1) les questions de compétence des tribunaux; (2) les règles en matière de preuve; (3) la régularité de la procédure ; (4) la reconnaissance de la validité et l’exécution des décisions internationales. Aussi, en matière de droit international, il y a beaucoup de terrain à couvrir dans la création d’une convention internationale, puis dans la mise en œuvre de procédures parfaitement compatibles avec la législation nationale.
Dans les relations internationales et les sciences politiques, la discussion a porté sur la façon dont les armes cybernétiques constituent un élément du pouvoir d’Etat. Des milieux techniques ont souligné la complexité du "cyber-espace" géant mondial, et souligné la nature de ce phénomène qui dépasse facilement et durablement toute frontière nationale.
Certains trouveront sans doute l’analyse qui précède peu convaincante, peut-être même banale. Ils estimeront que l’approche est trop simpliste pour une question de cette ampleur. Ils considèreront que les obstacles à la négociation d’une convention internationale sont trop intimidants. Mais nous avons jugé bon de procédé à cette analyse et d’engager le débat, même s’il peut sembler être naïf ou fou de penser qu’une action reste possible.
75L’importance de la question de la guerre cybernétique et les énormes coûts potentiels de cyber-attaques promeut ce sujet au rang de préoccupation pour tous. Atteindre un large public est requis pour pouvoir répondre à l’immense complexité que représente la négociation d’une convention en vue de la limitation des armes cybernétiques.
76Pour ceux qui s’intéressent de manière plus spécialisée aux implications juridiques d’un tel traité, ou à ses implications en matière de politique scientifique précisons que la plupart de ces problèmes ont été abordés dans les textes auxquels renvoient nos notes infrapaginales. Ce choix des auteurs vise à présenter au lecteur un corps du texte lisible et susceptible de servir directement à un appel général à l’action. Le problème est important; le moment est venu. Pour commencer à avancer en ce sens, espérons que nous n’aurons pas besoin d’un cyber-Hiroshima.