Près d'une centaine d'experts en informatique de 16 pays européens et américains ont travaillé ensemble, dans le cadre d'un exercice de simulation, pour contrer des cyber-attaques d'envergure ciblant notamment des agences de sécurité et des centrales électriques de l'Union européenne.

L'opération Cyber Atlantique 2011, qui s'est déroulée hier, est le premier exercice conjoint mené par l'UE et les États-Unis en matière de cyber-sécurité. Deux scénarios ont été préparés. Le premier consistait en une attaque ciblée et furtive de type APT (advanced persistent threat) visant à soutirer des informations secrètes aux agences de cyber-sécurité des États membres de l'Union et à les diffuser. Les experts en sécurité de l'ENISA, l'agence européenne chargée de la sécurité des réseaux et de l'information, ont déclaré que ce type d'attaques pouvait tout à fait se produire dans la réalité. « Ce genre de menace est typique de ce qui pourrait arriver, même si l'exercice n'est pas fondé sur une situation particulière. Nous avons choisi des menaces qui nous paraissaient réelles. Et nous n'avons pas choisi des attaques faciles à repousser », a expliqué Graeme Cooper, le porte-parole de l'ENISA.

Attaques sur les productions énergétiques

La seconde simulation concernait la perturbation des systèmes de contrôle et d'acquisition de données (SCADA) dans les infrastructures de production d'électricité. Cette menace est prise très au sérieux par les autorités de l'UE, d'une part à cause d'allégations selon lesquelles le groupe de pirates Anonymous aurait tenté d'infiltrer les centrales françaises et suite également à l'attaque par le ver Stuxnet qui a endommagé les installations nucléaires iraniennes. Plus de 20 pays de l'UE ont participé à l'exercice, dont 16 activement. La Commission européenne a dirigé l'opération et le département américain de la Sécurité Intérieure a apporté son soutien aux équipes de sécurité mobilisées. L'un des objectifs était de voir comment l'UE et les États-Unis pouvaient se soutenir et coopérer en cas de cyber-attaques sur leurs infrastructures d'information critique. L'opération faisait également suite au premier stress test de sécurité informatique réalisé au niveau de l'Europe l'an dernier, Cyber Europe 2010.

Les enseignements tirés de Cyber Atlantique 2011 serviront de base pour planifier de futurs cyber exercices entre l'UE et les États-Unis. « Nous devons faire plus pour comprendre la façon dont les choses fonctionnent. Certes, nous nous sommes concentrés sur l'IT. Mais il reste des questions plus larges. Par exemple, que se passerait-il en termes de sécurité si des données sensibles étaient volées. Cela implique la sécurisation des systèmes informatiques et suppose une capacité à repousser les attaquants et les logiciels malveillants, » a déclaré Graeme Cooper.