Vous avez sans doute lu ou entendu que le musée du Louvre a été cambriolé dimanche matin en l’espace de quelques minutes. Sur internet, certains ont même ironisé en lançant : « vérifiez le British Museum » — une remarque un peu amusante.
Plus sérieusement, une aile du musée fermée pour travaux a été ciblée : les auteurs ont utilisé un monte‑meuble, contourné une fenêtre, brisé deux vitrines blindées et dérobé des bijoux qui avaient appartenu à des reines et impératrices. Deux objets ont depuis été retrouvés — dont la couronne de l’impératrice Eugénie, maintenant endommagée — et le second, encore non identifié, serait lui aussi probablement abîmé.
La fenêtre n’était pas renforcée. Un audit de sécurité antérieur avait recommandé de renforcer et de moderniser plusieurs dispositifs, mais ces mesures n’ont jamais été mises en œuvre, même si le budget alloué aux activités récréatives avait quant à lui été augmenté.
Lorsqu’on analyse les faits, on détecte des indices d’une menace interne : un groupe de personnes savait que les travaux étaient en cours, un autre connaissait les horaires de fermeture de l’aile, un autre encore connaissait les rondes de sécurité de cette zone, certains pouvaient organiser l’accès au monte‑meuble, d’autres connaissaient les failles de sécurité, le type de verre utilisé et sa capacité à se briser… Si l’on met tous ces éléments en regard les uns des autres, on voit se dessiner un croisement précis d’informations et de connexions entre individus.
Cela dit, reporter des mises à jour de sécurité est relativement courant, tant dans le secteur public que dans le privé. Combiné au fait que la majorité des financements se concentrent sur la sécurité des systèmes et technologies de l’information ou le cyber (SECTI, COMSEC), ce qui entraîne la négligence de nombreux domaines de sécurité non techniques (SECMAT, SECOP, SECPER). L’EMSEC, en particulier, est presque entièrement éclipsée par le cyber.
L'histoire nous rappelle que dans les années 1940, les conseillers des États-Unis suggéraient que les guerres futures se dérouleraient principalement dans les airs (nucléaires et air-air) et que les troupes terrestres auraient beaucoup moins d'importance. Après une décennie axée sur la supériorité aérienne, la stratégie et la politique américaines ont évolué vers une « réponse flexible », ce qui a conduit à accorder moins d'attention à l'armée de terre et davantage à l'armée de l'air. Quelques années plus tard, la guerre du Vietnam éclate et les États-Unis sont mal préparés pour une invasion terrestre.
Le droit international humanitaire impose, entre autres, le principe de proportionnalité ; on ne peut donc pas simplement intervenir en utilisant des armes nucléaires.
Qu'est-ce que tout cela signifie ? Ne vous concentrez pas uniquement sur un seul domaine de sécurité. Vous devez vous concentrer sur tous les domaines. C'est le principe fondamental du Centre.
Le général Hyten, aujourd'hui à la retraite, l'a très bien exprimé : « Il n'y a pas de guerre dans le cyberespace, il n'y a que la guerre. »
En 2017, il a ajouté : « nous devons trouver comment vaincre nos adversaires, et non pas vaincre les domaines dans lesquels ils opèrent. »
Concentrez-vous sur les menaces et les risques et défendez tous les domaines de la sécurité, pas seulement celui qui a été violé en dernier. Il est vrai que le cyberespace attire l’attention et une grande part des financements, et il existe des articles vraiment effrayants sur ce que les adversaires peuvent faire. Mais les méthodes traditionnelles de criminalité, d'espionnage et de sabotage demeurent toujours présentes, et le cyberespace n'est qu'un moyen différent de les mettre en œuvre.
