Trop souvent, la littérature cyber se contente d'une catégorisation des acteurs, d'ailleurs assez sommaire : pour faire simple, on trouve un triptyque États - groupes criminels (on distingue selon les cas les terroristes des mafias) - hackers. Et en gros, il y a les bons États (nous) et les méchants États (eux). Quant aux groupes et aux hackers, ce sont des méchants, ouh la la !
Les mêmes enchaînent avec une catégorisation des menaces (implicitement liées à la taille des acteurs, du DDOS classique à l'intrusion troyenne à la bombe logique et autres farandoles rigolotes), mais aussi aux dommages causés : du redémarrage de l'ordi à la perte de données à l'usurpation d'identité à la déstabilisation de SCADA à cyber-Armageddon. Tremblez, bonnes gens.
Il y a juste un problème : voilà une présentation analytique, séquentielle : elle est mécanique car en catégorisant, elle suppose un rapport constant des acteurs. C'est oublier le fondement de la stratégie : elle est dialectique des volontés.
Volonté ? oui. Ce qui signifie une intention hostile. C'est l'intention hostile qui permet de définir l'acteur, après (après seulement) on regarde ses caractéristiques, d'autant qu'elles sont mutables dans le temps. L'arme cyber sera mise à la disposition de cette intention : en fait, la volonté détermine la cible puis construit l'arme en fonction de cette cible.
Car outre la volonté, la deuxième caractéristique de la stratégie est la dialectique : ce qui signifie qu'il n'y a pas de "guerre en soi", mais une guerre (un conflit) entre deux (ou plusieurs) acteurs : et cette guerre suppose l'adaptation à l'autre, mais aussi le contournement. La dialectique entraîne la nécessité de la recherche de la surprise.
Ainsi, il n'y a pas d'arme universelle ou absolue, dans les milieux stratégiques (et il n'y a d'ailleurs pas de bataille décisive). Et notamment pas dans le monde cyber (je pourrais disserter sur le cas du nucléaire qui constitue justement un cas particulier). Dans le cyberespace, il n'y a que des armes relatives, qui sont fonction du rapport stratégique entre acteurs.
Il reste pourtant que s'il n'y a pas de catégorie, il y a des gammes technologiques : si on ne combat pas entre catégories, on combat en revanche dans sa gamme technologique : ce qui nous renvoie à la notion de "guerre low cost et high cost" : on se reportera l'article "Gammes de la guerre et valeur militaire" que j'avais écrit dans ce cahier AGS Guerres low-cost qui demeure excellent, fallait-il le rappeler (le cahier, j'entends).
O. Kempf
NB : Ces propos n'engagent que moi et aucune des organisations pour lesquelles je travaille.